Contas de serviço

Contas de serviço

As service accounts são identidades de máquina do seu tenant, separadas das pessoas, para chamar a Public API e usar a CLI sem a conta de uma pessoa. Cada service account tem um client_id, um segredo e o próprio acesso por produto e papel, como uma pessoa.

Na página Contas de serviço:

• Criar service account: informe o nome (de 1 a 100 caracteres), uma descrição opcional e os papéis de produto. O segredo aparece uma vez, logo depois da criação (Segredo).
• Editar: nome, descrição e papéis. A mudança de acesso vale depois da confirmação.
• Girar segredo: gera um segredo novo, mostrado uma vez; o anterior deixa de valer.
• Desativar e Ativar: a service account desativada não entra (os papéis continuam atribuídos).
• Revogar: apaga a service account de vez.
• Último uso: quando a service account entrou pela última vez (até 30 dias atrás).

Se a página disser que as service accounts ainda não estão habilitadas no seu tenant, nada foi criado: a função fica disponível assim que a NNumbers habilitar.

Regras:

• Dar papéis a uma service account é uma concessão de acesso: exige também a permissão iam.access.manage, e vale a regra anti-escalada (ninguém dá mais poder do que tem).
• O owner do tenant nunca vai para uma service account.
• Toda mudança fica na trilha de auditoria (service_accounts), nunca com o segredo.

Permissões necessárias: iam.service_account.read para ver e iam.service_account.manage para criar e alterar.

Segredo

O segredo de uma service account aparece uma única vez, só no seu navegador, logo depois de criar ou de girar o segredo:

1. o seu navegador gera um par de chaves só para essa operação e manda à NNumbers apenas a chave pública;
2. o segredo é cifrado para essa chave no momento em que é gerado;
3. só o seu navegador consegue abrir o segredo, que aparece com o botão Copiar e o aviso de que não será mostrado de novo.

Nem a NNumbers guarda o segredo em claro: ele não vai a banco, log nem auditoria. A versão cifrada é entregue só a quem criou ou girou o segredo, e só durante uma hora; depois ela é apagada. Fechar a janela do segredo o descarta. Guarde o segredo num cofre. Se perder, use Girar segredo.

Para usar a service account, peça um token ao emissor do seu tenant com o fluxo OAuth 2.0 client credentials (o client_id e o segredo), ou configure a CLI da NNumbers com eles.