Seguridad

Una vez habilitado, podrá aplicar autenticación y autorización en sus endpoints.

Definir endpoints seguros

Puede definir endpoints seguros en la interfaz de usuario habilitando la autenticación. Encontrará la autenticación y autorización del endpoint en la pestaña Seguridad de las propiedades de un endpoint.

También puede definir endpoints seguros mediante el fichero .universal/endpoints.ps1 o la API de gestión usando New-PSUEndpoint.

New-PSUEndpoint -Url '/endpoint' -Method 'GET' -Endpoint {
   "Hello, world!"
} -Authentication

Cuando la autenticación está habilitada, se exigirá el uso de uno de los métodos de autenticación configurados. Las API admiten los siguientes métodos.

• Tokens de aplicación JWT
• Autenticación de Windows
• Autenticación por cookie
• Autenticación básica

Acceder a endpoints seguros

Una vez que haya definido un endpoint seguro, tendrá que proporcionar autenticación y autorización para acceder al endpoint.

Autenticarse con tokens

Tenga en cuenta que si aloja en IIS y no tiene habilitada la autenticación anónima, no podrá pasar tokens de aplicación al servidor de PowerShell Universal.

Para autenticarse con tokens, primero debe generar un nuevo token de aplicación para su uso. Puede utilizar el cmdlet Grant-PSUAppToken para hacerlo de forma remota o puede crear un token de aplicación en la interfaz de usuario en la pestaña Configuración Seguridad AppTokens.

Pase el cursor sobre su nombre de usuario en la parte superior derecha de la consola de administración, haga clic en Tokens y haga clic en Crear token de aplicación.

Una vez creado su token de aplicación, ya puede utilizarlo para autenticarse frente al endpoint seguro. Para ello, pase la cabecera Authorization junto con la solicitud.

Invoke-RestMethod http://localhost:5000/auth -Headers @{ Authorization = "Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJodHRwOi8vc2NoZW1hcy54bWxzb2FwLm9yZy93cy8yMDA1LzA1L2lkZW50aXR5L2NsYWltcy9uYW1lIjoiQWRtaW4iLCJodHRwOi8vc2NoZW1hcy54bWxzb2FwLm9yZy93cy8yMDA1LzA1L2lkZW50aXR5L2NsYWltcy9oYXNoIjoiMWUyY2IzNzAtMmMyNS00ZDU5LTk4YzgtMzc5MTFjMDAyZmI5Iiwic3ViIjoiUG93ZXJTaGVsbFVuaXZlcnNhbCIsImh0dHA6Ly9zY2hlbWFzLm1pY3Jvc29mdC5jb20vd3MvMjAwOC8wNi9pZGVudGl0eS9jbGFpbXMvcm9sZSI6IkFkbWluaXN0cmF0b3IiLCJuYmYiOjE2MDU2NjEyNTUsImV4cCI6MTYzNzM2NzI1OCwiaXNzIjoiSXJvbm1hblNvZnR3YXJlIiwiYXVkIjoiUG" }

Cabecera de autorización personalizada

PowerShell Universal proporciona una cabecera de autorización personalizada para admitir escenarios con proxies inversos que pueden requerir su propia cabecera Authorization. Si se especifica la cabecera X-PSU-Authorization, PSU ignorará la cabecera Authorization y utilizará esta cabecera en su lugar.

Invoke-RestMethod http://localhost:5000/auth -Headers @{ 
    Authorization = "Bearer msft_xyz_123" 
    'X-PSU-Authorization' = 'Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJodHRwOi8vc2NoZW1hcy54bWxzb2FwLm9yZy93cy8yMDA1LzA1L2lkZW50aXR5L2NsYWltcy9uYW1lIjoiQWRtaW4iLCJodHRwOi8vc2NoZW1hcy54bWxzb2FwLm9yZy93cy8yMDA1LzA1L2lkZW50aXR5L2NsYWltcy9oYXNoIjoiMWUyY2IzNzAtMmMyNS00ZDU5LTk4YzgtMzc5MTFjMDAyZmI5Iiwic3ViIjoiUG93ZXJTaGVsbFVuaXZlcnNhbCIsImh0dHA6Ly9zY2hlbWFzLm1pY3Jvc29mdC5jb20vd3MvMjAwOC8wNi9pZGVudGl0eS9jbGFpbXMvcm9sZSI6IkFkbWluaXN0cmF0b3IiLCJuYmYiOjE2MDU2NjEyNTUsImV4cCI6MTYzNzM2NzI1OCwiaXNzIjoiSXJvbm1hblNvZnR3YXJlIiwiYXVkIjoiUG'
}

Autenticarse con la autenticación de Windows

Para autenticarse con la autenticación de Windows, puede utilizar el parámetro -UseDefaultCredentials de Invoke-RestMethod e Invoke-WebRequest. Esto realizará una autenticación negotiate tanto si se ejecuta dentro de IIS como de un servicio.

Invoke-RestMethod http://localhost:5000/auth -UseDefaultCredentials

Autenticarse con cookies

Para autenticarse con cookies, primero deberá llamar a la API de inicio de sesión para recibir una cookie válida del sistema. Puede utilizar Invoke-WebRequest para hacerlo. Pase el nombre de usuario y la contraseña como cuerpo. Especifique el parámetro -SessionVariable para establecer una sesión.

Invoke-WebRequest http://localhost:5000/api/v1/signin -Body (@{ 
    UserName = "Admin"
    Password = "Any"
} | ConvertTo-Json) -ContentType 'application/json' -SessionVariable mySession -Method POST

Una vez que se haya autenticado correctamente, puede utilizar su variable $mySession para llamar a endpoints seguros.

 Invoke-WebRequest http://localhost:5000/auth -WebSession $mySession

Aplicar roles

Además de crear endpoints que requieran autenticación, también puede aplicar roles definiendo un rol en el cmdlet New-PSUEndpoint o seleccionando uno en la interfaz de usuario. Si se selecciona un rol, se posee el rol.

La autenticación de Windows y por cookie asignará roles en función de la identidad del usuario y de las políticas de roles tal y como se apliquen.

Los tokens de aplicación JWT utilizarán el rol que se definió cuando fueron generados.

Roles de ejecución

Mediante la propiedad Roles de ejecución, puede establecer qué roles se asignan mientras se ejecuta el endpoint de la API. De forma predeterminada, el endpoint se ejecutará según los roles del llamante. En algunos escenarios, por ejemplo al utilizar Secrets con Roles, puede que desee proporcionar roles adicionales que el llamante quizá no posea. Los roles de ejecución no requieren que la autenticación de la API esté habilitada.

API

• New-PSUEndpoint
• Get-PSUEndpoint
• Remove-PSUEndpoint
• New-PSUApiResponse
• Set-PSUSetting

Véase también

• Devolutions Academy – Creación de un endpoint de variable
• Devolutions Academy – Creación de un endpoint de cadena de consulta
• Devolutions Academy – Autenticación