Descripción general

Cuando sus flujos de trabajo y aplicaciones utilizan Private Actions, Datadog decide si la acción está permitida y, luego, su runner de Private Actions la ejecuta. Antes de que se envíe una tarea a un ejecutor, Datadog verifica si el usuario que realiza la solicitud tiene permiso para actuar en ese ejecutor. Si no está permitida, la tarea nunca se envía.

Esta página explica cómo se toma esa decisión de autorización. Cubre los modelos que Datadog utiliza para permitir o denegar una acción, y qué modelo se aplica a su ejecutor.

Encuentre su modelo de autorización

Un runner se autoriza mediante uno de los siguientes modelos, según su sitio de Datadog: Políticas de ejecución o Conexiones.

El modelo está determinado por la propiedad del runner, establecida una vez cuando el runner se inscribe. Un runner determinado utiliza exactamente uno de estos modelos durante toda su vida útil; no puede combinar ambos en el mismo runner. Debido a que la propiedad se establece por runner, una sola flota basada en el Agent puede incluir runners sin propietario y con propietario, cada uno autorizado por su propio modelo.

• El runner en el Datadog Agent depende de cómo se inscribió. Un runner de Agent sin propietario utiliza Políticas de ejecución; un runner de Agent con propietario utiliza Conexiones.
• El runner independiente siempre tiene propietario, por lo que siempre utiliza Conexiones.

Para saber cómo la inscripción establece la propiedad de un runner, consulte Inscripción y propiedad.

Compare los dos modelos

Políticas de ejecución

Las políticas de ejecución son un modelo de autorización para runners en el Datadog Agent. Cada política gestiona el acceso a través de uno o más conjuntos de runners a la vez. En lugar de una conexión independiente por integración por runner, usted utiliza Agent tags para definir los Agent de destino. Luego, les adjunta una regla de permitir o denegar.

Las políticas de ejecución también proporcionan un control detallado. Una política puede permitir o denegar acciones específicas o conjuntos de acciones. También puede aplicar alcances específicos de la integración, como los espacios de nombres de Kubernetes de destino para una acción de Kubernetes. El acceso se otorga a través de Agent tags en lugar de credenciales almacenadas, por lo que las políticas de ejecución no almacenan credenciales y son utilizadas por runners sin propietario en el Agent.

Para obtener más información sobre las políticas de ejecución y cómo configurarlas (objetivos, reglas, control de acceso y uso de políticas de ejecución en flujos de trabajo), consulte Políticas de ejecución.

Conexiones

Las conexiones funcionan tanto para runners independientes como para runners en el Datadog Agent, y son el modelo utilizado por runners propios.

Una conexión hace dos cosas:

• Hace referencia a las credenciales necesarias para ejecutar una acción en su servicio. Las credenciales en sí (por ejemplo, un token de API o un nombre de usuario y contraseña) se almacenan localmente con el runner, en un archivo de credenciales en su servidor o contenedor; la conexión apunta a ellas.
• Empareja esas credenciales con un único runner. Una conexión apunta a un runner, por lo que las credenciales solo son utilizadas por el runner que usted pretende.

Para usar una conexión en un flujo de trabajo o aplicación, necesita el permiso adecuado para esa conexión. El acceso a una conexión puede restringirse para que solo las personas que la necesiten puedan usarla en sus flujos de trabajo y aplicaciones.

Para obtener las instrucciones de configuración completas (creación, edición y restricción de conexiones, etiquetas de identificador de conexión y grupos de conexión), consulte Conexiones.

Lecturas adicionales

Documentación, enlaces y artículos útiles adicionales:

Descripción general de Private ActionsDOCUMENTACIÓN Inscripción y propiedadDOCUMENTACIÓN Configurar un ejecutor de Private ActionsDOCUMENTACIÓN Políticas de ejecuciónDOCUMENTACIÓN ConexionesDOCUMENTACIÓN