Cuentas de servicio

Esta función forma parte de los planes Enterprise y Enterprise Plus.

Las cuentas de servicio son identidades propiedad de la organización, diseñadas para el acceso programático a los recursos de su organización, como pipelines de CI/CD, scripts de automatización e integraciones de backend. A diferencia de una cuenta de miembro personal, una cuenta de servicio no está vinculada a una persona individual: pertenece a la organización y es administrada por sus administradores.

Dado que una cuenta de servicio está desacoplada de cualquier individuo, mantiene los flujos de trabajo automatizados en funcionamiento incluso cuando las personas se unen o abandonan la organización, y permite acotar y rotar credenciales sin afectar los tokens personales de ningún miembro.

Creación de una cuenta de servicio

Como administrador de la organización, vaya a la sección Service Accounts de la configuración de su organización para crear y gestionar cuentas de servicio.

Al crear una cuenta de servicio, proporciona:

• Un name para identificar la cuenta de servicio.
• Una description opcional para documentar para qué se utiliza la cuenta de servicio.

Las cuentas de servicio no tienen contraseña y no pueden iniciar sesión de forma interactiva: se accede a ellas exclusivamente mediante los tokens de acceso que emites para ellas. A diferencia de los usuarios habituales, tampoco tienen una página de perfil de HF, no forman parte de la lista de miembros de la organización y se gestionan únicamente a través de la configuración de Service Accounts.

Gestión de tokens de acceso

El acceso de una cuenta de servicio a su organización se define por completo mediante los tokens de acceso de granularidad fina que emite para ella. Para cada token, elige un nombre y un conjunto de permisos de granularidad fina, de modo que puedas otorgar únicamente el acceso que un flujo de trabajo específico necesita.

Los permisos se pueden otorgar en dos niveles:

• En toda la organización — aplicar un permiso (por ejemplo, acceso de lectura o escritura al contenido de los repositorios) en todos los repositorios de la organización.
• Por repositorio — limita el acceso de lectura o escritura a repositorios específicos. Busca y selecciona los repositorios a los que debe aplicarse el token y, a continuación, elige los permisos que deseas conceder. Los repositorios seleccionados deben pertenecer a la organización o ser públicos.

Esto le permite emitir tokens con un alcance restringido, por ejemplo, un token que solo puede leer un único repositorio de modelos, en lugar de otorgar acceso a toda la organización.

Desde la página de la cuenta de servicio, los administradores pueden:

• Crea un nuevo token de acceso con un nombre elegido y permisos granulares.
• Actualizar el nombre o los permisos de un token existente.
• Rotar un token para reemplazarlo con un nuevo valor. El token anterior deja de funcionar de inmediato, lo cual es útil si una credencial pudo haberse expuesto.
• Eliminar un token para revocar su acceso de forma permanente.

Un token de acceso solo se muestra una vez, en el momento en que se crea o se rota. Guárdalo de forma segura: no se puede recuperar después. Si lo pierdes, rota el token para generar un nuevo valor.

Generar credenciales de S3

Los tokens de cuenta de servicio se pueden utilizar para acceder a los Storage Buckets de su organización a través de la S3-compatible API. El gateway se autentica con claves de acceso de estilo AWS derivadas de un token de cuenta de servicio.

1. Vaya a la página de la cuenta de servicio. Cree un token con el botón Crear nuevo token si aún no tiene uno. Los permisos del token se convierten en los permisos de las credenciales de S3.

2. Busca el token en la lista, abre su menú desplegable y elige Generate S3 credentials.

   

3. Copia el access key ID generado (con el prefijo HFAK…) y la secret access key en un lugar seguro: la clave secreta solo se muestra una vez. Si la pierdes, usa Invalidate and refresh S3 credentials para generar un nuevo par. La clave de acceso anterior deja de funcionar de inmediato.

Las credenciales de S3 heredan los permisos del token de acceso subyacente. Delimita el token solo a los buckets que pretendes utilizar.

Use Revoke S3 credentials para deshabilitar el par sin eliminar el token; eliminar el token (o la cuenta de servicio) también revoca sus credenciales de S3. La página de la cuenta de servicio muestra el ID de clave de acceso actualmente emparejado con cada token.

Usa el nombre de tu organización como <namespace> en la URL del endpoint (consulta Configuración de un cliente). La generación y revocación de credenciales de S3 se registran en los Registros de auditoría de la organización.

Si un token tiene habilitada la exención de seguridad de red, solo los administradores de la organización pueden generar credenciales S3 para él.

Exención de seguridad de red

Esta opción forma parte del plan Enterprise Plus.

Si su organización utiliza la configuración de Network Security, los tokens de cuenta de servicio están sujetos a ella como cualquier otra credencial: solo funcionan desde los rangos de IP de su organización y la Content Access Policy se aplica a lo que pueden alcanzar.

Algunos flujos de trabajo automatizados se ejecutan fuera de su red corporativa, por ejemplo, un trabajo de CI alojado por un proveedor de la nube. Para esos casos, puede eximir un token individual de la aplicación de la seguridad de red de su organización con la opción Bypass IP restrictions and the Content Access Policy en el formulario del token.

Cuando está habilitado:

• El token funciona desde cualquier dirección IP, incluso cuando Restringir el acceso de la organización solo a tus rangos de IP está activado.
• El token puede acceder a contenido que la Política de Acceso a Contenido de su organización bloquearía de otro modo.
• La exención solo se aplica a la configuración de seguridad de red de su propia organización. Nunca elude la política de otra organización.
• El token aparece con la insignia Sin restricciones de IP en la página de la cuenta de servicio.
• Rotar el token preserva la exención.

Solo los administradores de la organización pueden habilitar la exención o rotar un token que ya esté exento.

Dado que un token exento ya no está protegido por el perímetro de red, el propio token se convierte en la única credencial que protege los recursos a los que puede acceder. Recomendamos limitarlo al conjunto más pequeño posible de repositorios, otorgar permisos de solo lectura cuando sea suficiente y rotarlo periódicamente.

Facturación

Las cuentas de servicio no se cuentan como miembros facturables de su organización, por lo que crearlas no consume un asiento de pago en su plan.

Update on GitHub