APIキーを管理する

ワークロード接続のAPIキーを生成、ローテーション、および取り消します。

このタスクについて

セキュリティ管理者はワークロード接続のAPIキーのライフサイクル全体を管理します。新しいキーの生成、猶予期間を設けた既存キーのローテーション、不要になったキーの取り消しを行えます。

始める前に

APIキーを管理するにはセキュリティ管理者ロールが必要です。
APIキーのワークロード接続がすでに存在している必要があります。「APIキーワークロード接続を作成する」を参照してください。

手順

Okta Privileged Accessダッシュボードで、DevOps管理（DevOps Administration） > ワークロード接続（Workload connections）に移動します。
APIキーワークロード接続の名前をクリックします。
キーの管理（Manage keys）をクリックします。
APIキーを作成する（Create API Key）をクリックします。
以下の詳細を完了します。
1. このAPIキーの一意の記述名を入力します（例：backend-prod-api-key）。
2. このキーに固有のキーと値のペアを任意で割り当てます。これらの属性は認証トークンに含まれ、ワークロードロールマッピング（例：{"env": "prod", "service": "backend"}）に使用されます。
保存（Save）をクリックします。
確認ページで、APIキーをすぐにコピーします。

警告:
APIキーが表示されるのは、この時だけです。コピーせずに移動すると、キーを取得できなくなります。キーを紛失した場合は新しいキーをリクエストしてください。
安全なチャネルを通じてワークロードチームにキーを渡します。

トラブルシューティング

問題	解決（Resolution）
APIキーを紛失した	ワークロードチームがAPIキーをコピーせずに紛失した場合は、既存のAPIキーでローテーションを開始して新しいキーを取得してください。これによりワークロードチームは、クレームを含むフォームを再提出することなく、APIキーを保持できます。ワークロードチームが新しいキーをデプロイしたら、古いキーと紛失したキーを廃止するためのローテーションを完了してください。
ローテーション後もワークロードが古いキーを使用している	ローテーションの完了後もワークロードが古いキーを使用している場合、認証は失敗します。ワークロードチームが新しいキーを正しくデプロイし、環境変数または構成が新しいキー値に設定されていることを確認してください。
取り消しが遅延する	取り消されたキーが取り消し後も認証される場合、トークン発行者のキャッシュがまだ期限切れになっていません。これは通常の動作であり、通常5分以内に解決します。取り消しは同期アクションです。失敗した場合は、取り消し（Revoke）をクリックするとすぐにエラーが表示されます。

次のタスク

ワークロード接続のAPIキー（API Keys）タブから、キーのローテーションまたは取り消しを行うこともできます。

ローテーション（Rotate）：アクティブ（Active）なキーの新しいシークレットを生成し、移行期間中は古いシークレットを有効なままにします。新しいキーは一度しか表示されないため、すぐにコピーしてワークロードチームに渡してください。ワークロードチームが新しいキーをデプロイした後、ローテーションを完了（Complete rotation）をクリックして古いシークレットを無効にするか、ローテーションをキャンセル（Cancel Rotation）をクリックして新しいシークレットを破棄し、元のシークレットを保持します。

取り消し（Revoke）：キーを直ちに無効にします。キーが侵害された場合や不要になった場合に使用します。トークン発行者はAPIキーのメタデータをキャッシュするため、取り消されたキーでもキャッシュの有効期限が切れるまで最大5分間は認証される可能性があります。