Do these 3 things before closing this tab:
1Fix the driver behind crashes, sound loss and screen glitches2Repair Windows errors before they cause bigger problems3Scan for outdated or missing drivers - takes under a minuteiTechGuides is reader-supported. When you buy through links on our site, we may earn an affiliate commission. As an Amazon Associate I earn from qualifying purchases. Learn more
OCI IAM puede aceptar un JWT de un proveedor de identidad de workload confiable e intercambiarlo por un Resource Principal Session Token (RPST) temporal. Así, GitHub Actions o un workload Kubernetes externo pueden acceder a APIs de OCI sin guardar una clave API de usuario OCI de larga duración. Los agentes desplegados en OCI Generative AI tienen otra opción: un principal de recurso gestionado por la plataforma. Y si un workflow de GitHub necesita entrar a la API de Kubernetes de un clúster OKE, se configura un flujo OIDC y Kubernetes RBAC distinto; no es automáticamente el mismo intercambio por un RPST.
Qué significa acceder sin credenciales permanentes
En el flujo JWT-to-RPST, el proveedor externo emite un JWT firmado que identifica al workload. OCI IAM valida el emisor y los claims que se hayan configurado; si la verificación y las reglas de confianza permiten el acceso, OCI emite un RPST. El workload presenta ese token para llamar a APIs nativas de OCI bajo la identidad del principal de recurso que se haya asociado.
El RPST tiene una vigencia configurable de 20 minutos a 12 horas, con 20 minutos como valor predeterminado y un máximo de 720 minutos, según la documentación de Oracle actualizada el 18 de septiembre de 2026. El workload firma las solicitudes con la clave privada correspondiente a la clave pública enviada durante el intercambio. Por tanto, se evita distribuir una clave OCI de usuario de larga duración, pero no se elimina la necesidad de proteger la clave privada ni de controlar el emisor y el entorno de ejecución.
What’s actually slowing this PC down?
Pick the symptom - the matching free tool is one click away.
La federación resuelve la autenticación del workload, no decide por sí sola qué recursos puede usar. Las políticas IAM siguen limitando las operaciones autorizadas. Oracle anunció el intercambio JWT-to-RPST el 26 de agosto de 2026 y señala que puede utilizarse con OCI SDKs, OCI CLI y Terraform.
#1 Best Overall
- POWERFUL SECURITY KEY: The Security Key C NFC is the essential physical passkey for protecting your digital life from phishing attacks. It ensures only you can access your accounts.
- WORKS WITH 1000+ ACCOUNTS: Compatible with Google, Microsoft, and Apple. A single Security Key C NFC secures 100 of your favorite accounts, including email, password managers, and more.
- FAST & CONVENIENT LOGIN: Plug in your Security Key C NFC via USB-C and tap it, or tap it against your phone (NFC) to authenticate. No batteries, no internet connection, and no extra fees required.
- TRUSTED PASSKEY TECHNOLOGY: Uses the latest passkey standards (FIDO2/WebAuthn & FIDO U2F) but does not support One-Time Passwords. For complex needs, check out the YubiKey 5 Series.
- BUILT TO LAST: Made from tough, waterproof, and crush-resistant materials. Manufactured in Sweden and programmed in the USA with the highest security standards.
Qué flujo corresponde a cada tarea
| Tarea | Identidad inicial y destino | Autorización principal | Quién gestiona el token |
|---|---|---|---|
| GitHub Actions accede a APIs de OCI | GitHub emite el JWT; OCI IAM lo intercambia por un RPST para un principal de recurso. | Reglas de confianza y políticas IAM para los recursos y operaciones necesarios. | El workflow obtiene el JWT y solicita el intercambio; OCI emite el RPST. |
| Workload Kubernetes externo accede a APIs de OCI | Un emisor de identidad confiable del workload emite el JWT; OCI IAM lo intercambia por un RPST. | Reglas de confianza y políticas IAM para el principal de recurso. | El workload solicita el intercambio y usa el RPST emitido. |
| GitHub Actions ejecuta comandos en OKE | GitHub OIDC autentica el workflow ante la API del clúster Kubernetes. | Kubernetes RBAC; también se requieren los controles de red y la configuración del clúster descritos por Oracle. | El workflow usa OIDC nativo de GitHub conforme a la configuración del tutorial de OKE. |
| Agente desplegado en OCI Generative AI accede a servicios de OCI | La plataforma OCI aprovisiona un RPST para la aplicación de agente desplegada. | Políticas IAM, que pueden limitar el acceso a recursos concretos. | El SDK obtiene y renueva el token gestionado. |
La tabla separa dos destinos que suelen confundirse: usar servicios OCI desde un workflow o workload, y permitir que ese workflow opere sobre la API de Kubernetes de OKE. Un agente ejecutado fuera de OCI tampoco hereda automáticamente la identidad gestionada de una aplicación desplegada en OCI Generative AI; debe evaluarse como workload externo.
Cómo se produce el intercambio JWT-to-RPST
- El workload solicita un JWT a su proveedor de identidad. Sus claims firmados describen la identidad del workload, por ejemplo el repositorio o workflow que corresponda.
- El workload presenta el JWT al endpoint de intercambio de tokens de OCI IAM, junto con la clave pública del par que utilizará para firmar solicitudes.
- OCI IAM valida el emisor, los claims temporales y las reglas de confianza configuradas. Si un claim requerido falta o su valor no coincide, OCI no emite el RPST.
- Tras una validación correcta, OCI emite un RPST asociado al principal de recurso mapeado. El workload lo usa para invocar las APIs OCI que permitan sus políticas IAM, firmando las solicitudes con la clave privada correspondiente.
La clave privada debe permanecer protegida en el entorno del workload; Oracle indica que solo se debe compartir la clave pública. El token temporal reduce la dependencia de credenciales OCI de usuario persistentes, pero el alcance efectivo sigue dependiendo de la identidad validada y de los permisos IAM concedidos.
Rank #2
- POWERFUL SECURITY KEY: The YubiKey 5C NFC is the most versatile physical passkey, protecting your digital life from phishing attacks. It ensures only you can access your accounts
- WORKS WITH 1000+ ACCOUNTS: Compatible with popular accounts like Google, Microsoft, and Apple. A single YubiKey 5C NFC secures 100+ of your favorite accounts, including email, password managers, and more
- FAST & CONVENIENT LOGIN: Plug in your YubiKey 5C NFC via USB and tap it, or tap it against your phone (NFC), to authenticate. No batteries, no internet connection, and no extra fees required
- MOST SECURE PASSKEY: Supports FIDO2/WebAuthn, FIDO U2F, Yubico OTP, OATH-TOTP/HOTP, Smart card (PIV), and OpenPGP. That means it’s versatile, working almost anywhere you need it
- PRIMARY & SPARE KEYS: Just like having a spare house key, we recommend buying two YubiKeys - one for daily use and one as a spare. That way you’ll never get locked out of your accounts
Qué configurar para una confianza de workload segura
Separar la administración de la confianza del uso cotidiano
La guía de Oracle está dirigida a OCI IAM con identity domains. Se crea o selecciona un identity domain y se registra una aplicación OAuth para las operaciones requeridas. La documentación contempla una aplicación administrativa para gestionar la configuración de confianza y otra, sin rol administrativo, para invocar el intercambio cuando corresponda. Mantener separadas esas funciones reduce los privilegios que necesita el workload de ejecución.
Restringir emisor, claims y posible impersonación
La configuración Identity Propagation Trust debe identificar el emisor, usar tipo JWT y estar activa. Añade reglas de validación para los atributos que distinguen el workload autorizado. La documentación actualizada el 18 de septiembre de 2026 permite hasta cinco reglas; todas las configuradas deben coincidir exactamente. Si se habilita impersonación, el valor de recurso resuelto a partir del token debe coincidir exactamente con el configurado.
Rank #3
- POWERFUL SECURITY KEY: The YubiKey 5 NFC is the most versatile physical passkey, protecting your digital life from phishing attacks. It ensures only you can access your accounts
- WORKS WITH 1000+ ACCOUNTS: Compatible with popular accounts like Google, Microsoft, and Apple. A single YubiKey 5 NFC secures 100+ of your favorite accounts, including email, password managers, and more
- FAST & CONVENIENT LOGIN: Plug in your YubiKey 5 NFC via USB and tap it, or tap it against your phone (NFC), to authenticate. No batteries, no internet connection, and no extra fees required
- MOST SECURE PASSKEY: Supports FIDO2/WebAuthn, FIDO U2F, Yubico OTP, OATH-TOTP/HOTP, Smart card (PIV), and OpenPGP. That means it’s versatile, working almost anywhere you need it
- PRIMARY & SPARE KEYS: Just like having a spare house key, we recommend buying two YubiKeys - one for daily use and one as a spare. That way you’ll never get locked out of your accounts
Los ejemplos de claims de Oracle son referencias de configuración, no valores universales: adapta las reglas al JWT que emita realmente tu proveedor y a la identidad concreta que quieres permitir. En GitHub, conviene limitar la confianza a los atributos que identifiquen el repositorio y el workflow autorizados, en lugar de aceptar cualquier token del emisor.
Propagar solo el contexto que haga falta
La guía permite seleccionar hasta tres claims para propagarlos y documenta un máximo de cinco atributos var_* en el RPST, dos de ellos reservados. Propaga únicamente la información necesaria para auditoría o para las políticas; un claim propagado no sustituye una regla de confianza ni concede permisos por sí solo. La documentación también fija un máximo de 30 configuraciones Identity Propagation Trust.
Rank #4
- POWERFUL SECURITY KEY: The Security Key NFC is the essential physical passkey for protecting your digital life from phishing attacks. It ensures only you can access your accounts.
- WORKS WITH 1000+ ACCOUNTS: Compatible with Google, Microsoft, and Apple. A single Security Key NFC secures 100 of your favorite accounts, including email, password managers, and more.
- FAST & CONVENIENT LOGIN: Plug in your Security Key NFC via USB-A and tap it, or tap it against your phone (NFC) to authenticate. No batteries, no internet connection, and no extra fees required.
- TRUSTED PASSKEY TECHNOLOGY: Uses the latest passkey standards (FIDO2/WebAuthn & FIDO U2F) but does not support One-Time Passwords. For complex needs, check out the YubiKey 5 Series.
- BUILT TO LAST: Made from tough, waterproof, and crush-resistant materials. Manufactured in Sweden and programmed in the USA with the highest security standards.
Proteger la clave y conceder permisos mínimos
Genera un par de claves para el intercambio y protege la privada en el entorno de ejecución. Oracle muestra OpenSSL como herramienta para generar el par. Después, concede a la aplicación o al principal de recurso solo las políticas IAM necesarias, acotadas al compartimento y a la familia de recursos que se utilizarán. Los dynamic groups pueden agrupar recursos mediante reglas, pero no reciben permisos hasta que una política se los concede.
Quick wins for a faster PC:
Repair Windows errors before they cause bigger problemsFix Now →Fix the driver behind crashes, sound loss and screen glitchesFind Drivers →Cómo aplicar el flujo al caso elegido
GitHub Actions hacia servicios OCI
Oracle incluye GitHub Actions entre los workloads externos compatibles con JWT-to-RPST. Configura la confianza del emisor de GitHub y limita los claims al repositorio, workflow u otros atributos que identifiquen la ejecución aprobada. El workflow obtiene el JWT, lo intercambia y usa el RPST para los servicios OCI que permitan sus políticas. No reutilices claims de ejemplo sin comprobar que aparecen con los valores esperados en el token real de tu workflow.
Best Value
- POWERFUL SECURITY KEY: The YubiKey 5 is a versatile physical passkey that protects your digital life from phishing attacks. It ensures only you can access your accounts.
- WORKS WITH 1000+ ACCOUNTS: Compatible with popular accounts like Google, Microsoft, and Apple. A single YubiKey 5 secures 100+ of your favorite accounts, including email, password managers, and more.
- FAST & CONVENIENT LOGIN: Plug in your YubiKey 5 via USB and tap it to authenticate. No batteries, no internet connection, and no extra fees required.
- MOST SECURE PASSKEY: Supports FIDO2/WebAuthn, FIDO U2F, Yubico OTP, OATH-TOTP/HOTP, Smart card (PIV), and OpenPGP. That means it’s versatile, working almost anywhere you need it.
- BUILT TO LAST: Made from tough, waterproof, and crush-resistant materials. Manufactured in Sweden and programmed in the USA with the highest security standards.
Kubernetes externo hacia servicios OCI
Oracle identifica JWT-to-RPST como opción para workloads Kubernetes externos, incluidos clústeres autogestionados. El emisor que use el workload debe ser confiable para OCI IAM, y las reglas deben corresponder a su identidad. Una vez intercambiado el JWT, el RPST representa el principal de recurso mapeado y las políticas IAM delimitan el acceso a servicios OCI.
GitHub Actions hacia la API de OKE
Para que un workflow ejecute comandos Kubernetes en OKE, el tutorial de Oracle usa OIDC nativo de GitHub. Además de configurar los claims para el clúster, hay que permitir que el endpoint de la API del clúster tenga egreso hacia GitHub y definir Kubernetes RBAC para las operaciones permitidas. IAM de OCI y Kubernetes RBAC son controles distintos: conceder acceso a una API OCI no da automáticamente permisos dentro del clúster.
Agentes alojados en OCI Generative AI
Para una aplicación de agente desplegada en OCI Generative AI, la plataforma aprovisiona un RPST y el SDK puede obtenerlo y renovarlo para acceder a servicios autorizados, entre ellos Object Storage, Autonomous AI Database, Vault y Streaming. Las políticas IAM determinan cuáles de esos servicios y recursos están permitidos. Este proceso gestionado corresponde a agentes desplegados en OCI; no demuestra que un agente alojado fuera de OCI pueda obtener la misma identidad sin configurar por separado un flujo externo.
Qué comprobar antes de habilitarlo
- Verifica que el identity domain y el entorno OCI que usarás admitan los requisitos de esta configuración. La documentación consultada no ofrece una matriz exhaustiva de disponibilidad por región, realm o tipo de tenancy, así que no presupongas soporte universal.
- Prueba las reglas con la identidad y los claims reales del workload: un claim ausente o una diferencia de valor impide emitir el RPST.
- Comprueba que el principal de recurso solo tenga políticas IAM necesarias para su compartimento, recursos y operaciones.
- Si el destino es la API de OKE, valida por separado la conectividad de red y las reglas Kubernetes RBAC.
- Protege la clave privada y revisa quién puede modificar el emisor, las reglas de confianza y las políticas. La federación reduce la necesidad de claves OCI de usuario persistentes; por sí sola no protege un emisor o workflow comprometido.
Las cifras de vigencia y límites anteriores son parámetros operativos publicados por Oracle, no mediciones de adopción, ahorro o reducción de incidentes. Las fuentes oficiales citadas no establecen resultados cuantificados de ese tipo.
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
