Cuentas de servicio API

Acerca de las cuentas de servicio

Cuando un cliente realiza solicitudes a través de la API externa , esas solicitudes se realizan en nombre de la cuenta de usuario asignada al cliente a través de la configuración de la cuenta de servicio.

• Todos los eventos de solicitud de cliente API se registrarán como pertenecientes al usuario de la cuenta de servicio.
• Las verificaciones de control de acceso se basarán en el usuario de la cuenta de servicio. Esto significa que puedes usar roles y permisos para controlar las acciones que un cliente específico puede realizar a través de su usuario de cuenta de servicio.
• Las restricciones de tenencia múltiple se aplicarán a los usuarios de cuentas de servicio que pertenezcan a un arrendatario específico.

Restricciones del usuario de la cuenta de servicio

Para poder realizar con éxito solicitudes de API, el usuario de la cuenta de servicio debe ser válido y tener un nivel mínimo de acceso. Para los clientes de la API de inquilino, el usuario de la cuenta de servicio debe pertenecer al mismo inquilino que el cliente de la API.

Se realizan las siguientes verificaciones para garantizar que el usuario de la cuenta de servicio cumpla con estos requisitos:

• No tiene un estado de eliminado o suspendido
• No es un usuario invitado
• No es un administrador del sitio
• El portador del usuario de la cuenta de servicio coincide con el portador del cliente API (p. ej., usuario a nivel del sistema para clientes del sistema o pertenece al mismo portador que el cliente para clientes a nivel del portador)

Si una o más de estas comprobaciones fallan, todas las solicitudes a la API del cliente fallarán y el cliente será marcado como inválido. Luego, deberás actualizar la cuenta de servicio para seleccionar un nuevo usuario de cuenta de servicio válido.

Roles y permisos de la cuenta de servicio

El acceso que tendrá un cliente específico dentro del sistema será controlado por los roles asignados a la cuenta de servicio del cliente. Al configurar la cuenta de servicio, es una buena práctica limitar la cuenta de servicio para que solo otorgue los permisos que necesita. Esto significa que, si los tokens del cliente API fueran interceptados, limitaría lo que se podría hacer con ellos.

Hay un rol de usuario de API que puede asignar a la cuenta de servicio que dará un permiso amplio para completar tareas para las que existen servicios. Esto se puede reducir aún más creando roles dedicados para tareas específicas y asignándolos a cuentas de servicio en el contexto apropiado.

Para los clientes a nivel del sistema, los roles pueden asignarse en el contexto del sistema. Los clientes específicos del inquilino solo tendrán cuentas de servicio que pertenezcan a ese inquilino, por lo que tendrán que ser asignados en un contexto más bajo, ya sea el contexto del inquilino (para capacidades relacionadas con usuarios) o el contexto de la categoría del inquilino (para capacidades relacionadas con cursos u otros objetos del sistema). El rol de usuario de la API se puede asignar en ambos contextos.

Configuración de cuenta de servicio recomendada

Recomendamos crear un usuario de cuenta de servicio dedicado para cada cliente que crees. Esto le permite especificar un control de acceso detallado para el cliente específico y garantiza que sea posible auditar el uso de la API a nivel del cliente.

Recomendamos configurar los usuarios de su cuenta de servicio de la siguiente manera:

• Especifica un nombre de usuario, nombre y apellido que identifiquen claramente la cuenta como una cuenta automatizada y su propósito. Por ejemplo, podrías nombrar la cuenta como 'usuario de la API de sincronización de RR. HH.'. Esto puede ayudar a evitar que otro administrador del sitio elimine la cuenta.
• Establezca el método de autenticación en Sin inicio de sesión para evitar el inicio de sesión manual.
• Considera establecer una imagen de perfil que refuerce la naturaleza automatizada de la cuenta, como el logotipo de tu empresa.
• Por lo general, no quieres que el usuario de la cuenta de servicio reciba correos electrónicos. Puedes deshabilitar completamente las notificaciones para el usuario dirigiéndote a su perfil, luego Preferencias > Preferencias de notificación heredadas . Aquí puedes marcar la casilla de verificación Deshabilitar notificaciones.
• Las respuestas recibidas de la API se mostrarán en la zona horaria del usuario de la cuenta de servicio. Considera la mejor zona horaria y establece la zona horaria del usuario adecuadamente en su perfil.
• Asegúrese de que el usuario de la cuenta de servicio tenga los permisos adecuados para la tarea que realizará. Consulte la sección de permisos y roles de la cuenta de servicio para obtener más información.