गाइड
सीमित-दायरे क्रेडेंशियल जारी करना
अल्पकालिक, कार्य-सीमित टोकन का अनुरोध करें, एक उचित TTL सेट करें, और रोटेशन को स्वचालित रूप से होने दें।
प्रति कार्य अनुरोध करें, प्रति सत्र नहीं
एजेंट द्वारा लिए गए हर कार्य के लिए एक ताज़ा क्रेडेंशियल जारी करें, ठीक उसी कार्य तक सीमित। दीर्घकालिक, व्यापक टोकन वह विफलता तरीका है जिसे हटाने के लिए Mandavo मौजूद है।
इश्यूएंस इंजन मांग पर क्रेडेंशियल बनाता है और इसे एक बार लौटाता है। इसे केवल कार्य के जीवनकाल के लिए मेमोरी में स्टोर करें।
एक TTL चुनना
डिफ़ॉल्ट टाइम-टू-लिव पांच मिनट है। TTL को कार्य से मिलाएं: एक त्वरित पठन सेकंडों तक जीवित रह सकता है, एक लंबा बैच जॉब कुछ मिनटों का अनुरोध कर सकता है और नवीनीकृत कर सकता है।
छोटा अधिक सुरक्षित है। एक क्रेडेंशियल जो लीक होने से पहले ही समाप्त हो जाता है, उसे किसी मैनुअल रोटेशन या सफाई की आवश्यकता नहीं है।
स्वचालित रोटेशन
लंबे समय तक चलने वाले काम के लिए, एक नवीनीकरण-योग्य क्रेडेंशियल का अनुरोध करें। इंजन एक शेड्यूल पर अंतर्निहित सीक्रेट को घुमाता है जबकि कार्य एक स्थिर हैंडल रखता है, इसलिए कुछ भी स्थायी जमा नहीं होता।
रोटेशन घटनाएं लॉग की जाती हैं और किसी चल रही, पॉलिसी-अनुरूप क्रिया को कभी बाधित नहीं करतीं।
दायरे के भीतर रहना
एक क्रेडेंशियल केवल पहचान की घोषित सीमा के भीतर जारी किया जा सकता है, और केवल अपने ही दायरे के भीतर उपयोग किया जा सकता है। दायरे से बाहर के अनुरोध इश्यूएंस पर अस्वीकार किए जाते हैं और, यदि किसी टोकन का दुरुपयोग होता है, तो पॉलिसी ग्राफ़ द्वारा निष्पादन-समय पर फिर से।