Credenciales de servicio#

Una credencial de servicio es un secreto con el que un programa, un asistente de IA o una aplicación anfitriona entra en Empowerment Center en nombre de un usuario, sin sesión y sin contraseña. Esta página explica sus ámbitos, cómo se crean y se revocan, y cómo las vigila quien administra el sistema.

Antes de empezar#

Para…	Hace falta
Crear y ver sus propias credenciales de la API de consulta y del MCP	Acceso por API y MCP y Acceso a Empowerment Center
Ver sus credenciales sin poder crear otras	Solo Acceso por API y MCP
Crear credenciales de SCIM a su nombre	Administración de Usuarios
Crear credenciales de incrustación, de intercambio del metadata o de SCIM a nombre de otro usuario	Administración del Sistema
Ver y revocar las credenciales de todos los usuarios	Administración del Sistema

El privilegio Acceso por API y MCP no está en ningún rol inicial: hay que darlo expresamente a quien lo necesite (véase el capítulo de seguridad).

Atención

Una credencial actúa con todos los privilegios de su titular, no con una parte. Quien tenga el secreto ve lo mismo que el titular. Trátelo como una contraseña: no lo escriba en el código ni en un repositorio, guárdelo en el almacén de secretos del programa que lo usa y revóquelo en cuanto deje de hacer falta.

Qué es una credencial#

Cada credencial tiene:

Un titular: un usuario real y habilitado de ECenter. La credencial actúa con los privilegios que tenga en cada momento; si le cambian los roles, el cambio vale en la petición siguiente.
Un cliente: un nombre que dice qué programa la usa («Informe semanal (Python)»), de 1 a 100 caracteres. Sirve para reconocerla en las listas y en la auditoría.
Uno o varios ámbitos: qué integración abre (abajo).
Las conexiones, opcionalmente: si se limitan, la credencial solo consulta esas conexiones; si no, las mismas que su titular, también las que le den más adelante.
Una caducidad, obligatoria.
El secreto: ect_ seguido de 43 caracteres. ECenter solo guarda su huella y los cuatro últimos caracteres, que se ven como pista (ect_…a9F2).

Ámbitos#

El ámbito elige las rutas que abre la credencial, no los datos: los datos los deciden los privilegios del titular.

Ámbito (como aparece en la pantalla)	Qué abre	Se combina con otros	Caducidad por defecto	Caducidad máxima
API de consulta	La API de consulta	Con el de MCP	90 días	365 días
Asistentes de IA (MCP)	El servidor MCP	Con el de la API de consulta	90 días	365 días
Aprovisionamiento de usuarios (SCIM)	El aprovisionamiento de usuarios y grupos	No: va sola	365 días	730 días
Incrustación	Emitir los tokens de una aplicación anfitriona	No: va sola	365 días	365 días
Intercambio del metadata	El intercambio del metadata sin sesión	No: va sola	90 días	365 días

Una credencial con los dos ámbitos personales toma la caducidad menor de los dos. Los de SCIM, incrustación e intercambio del metadata van solos para que un secreto pegado en un proveedor de identidad o en la integración continua no abra la API, y al revés.

Personales y a nombre de un titular#

Las personales (API de consulta y MCP) solo se crean para uno mismo, desde el menú de la cuenta. Nadie, ni siquiera Administración del sistema, puede crear una credencial de la API a nombre de otro usuario.
Las de un titular (SCIM, incrustación e intercambio del metadata) las crea quien administra, a nombre de un usuario que cumple lo que pide el ámbito:

Ámbito	El titular necesita
Aprovisionamiento de usuarios (SCIM)	Administración de Usuarios
Incrustación	Administración del Sistema
Intercambio del metadata	Administración del Metadata

Si el titular pierde ese privilegio más adelante, la credencial deja de servir para su superficie (403 NOT_ALLOWED).

Estados#

Estado	Qué significa
Activa	Vale.
Caduca en N días	Vale, pero caduca en los próximos 14 días.
Caducada	Ha pasado su fecha. No se puede renovar: cree otra.
Revocada	Se revocó. Es definitivo.
Titular inhabilitado	Su titular está inhabilitado o bloqueado. Vuelve a valer si lo habilitan.

Crear una credencial personal#

Abra el menú de la cuenta y elija Credenciales de servicio.
Pulse Nueva credencial….
Escriba el Nombre del cliente, por ejemplo «Informe semanal (Python)».
En Ámbitos, marque API de consulta, Asistentes de IA (MCP) o los dos.
En Caduca, elija 30 días, 90 días o 1 año (365 días), u Otra fecha… y escriba el Último día en que vale. La credencial vale hasta el final de ese día (en UTC).
Si quiere limitarla, elija en Solo estas conexiones las conexiones que podrá consultar. Sin elegir ninguna, valen las mismas que las suyas.
Pulse Crear credencial.
Aparece Copie el secreto ahora. Pulse Copiar y péguelo en el programa o en el asistente que lo vaya a usar.
Pulse Hecho.

El diálogo Nueva credencial de servicio con el nombre del cliente, los dos ámbitos y la caducidad

Importante

El secreto solo se ve una vez. ECenter no lo guarda y no puede volver a enseñarlo. Si lo pierde, revoque la credencial y cree otra.

El paso Copie el secreto ahora, con el aviso de que es la única vez que se muestra

Si al crearla aparece un error:

Mensaje o código	Causa	Qué hacer
«Escriba el nombre del cliente.»	El nombre está vacío.	Escriba un nombre.
«Elija al menos un ámbito.»	No ha marcado ningún ámbito.	Marque uno.
«Tiene que caducar después de hoy.»	La fecha elegida es hoy o anterior.	Elija una fecha posterior.
`409 TOO_MANY_CREDENTIALS`	El titular ya tiene 10 credenciales vigentes.	Revoque las que no use.
«Para crear credenciales hace falta también «Acceso a Empowerment Center».» (y Nueva credencial… desactivado)	Tiene Acceso por API y MCP pero no Acceso a Empowerment Center.	Pídalo a quien administra los usuarios.

Sin Acceso por API y MCP, la pantalla dice «Hace falta el privilegio «Acceso por API y MCP»» y no enseña ninguna credencial.

El límite de 10 credenciales vigentes por titular permite rotar una credencial sin cortar el servicio: cree la nueva, cámbiela en el programa y revoque después la antigua.

La pantalla Credenciales de servicio#

La pantalla del menú de la cuenta enseña sus credenciales, de la más reciente a la más antigua, con estas columnas: Cliente, Ámbitos, Secreto (la pista), Creada, Caduca, Último uso y Estado. Al elegir una, el panel de detalle añade las conexiones, quién la creó, la dirección desde la que se usó por última vez y, si está revocada, cuándo, quién y por qué.

El último uso se anota como mucho cada 5 minutos, así que puede ir algo por detrás.

Si el servidor MCP está activado, la pantalla lleva también la tarjeta Conectar un asistente (MCP), que se explica en Servidor MCP.

La pantalla Credenciales de servicio con dos credenciales, el detalle de una y la tarjeta Conectar un asistente (MCP)

Revocar una credencial#

Revocar es inmediato y definitivo: los programas que usan la credencial dejan de entrar en la petición siguiente y se cancelan sus consultas en curso.

En Credenciales de servicio, elija la credencial.
En su detalle, pulse Revocar credencial….
Confirme con Revocar credencial.

Una credencial se puede revocar mientras está activa o con el titular inhabilitado. Solo la revoca su titular o quien tiene Administración del sistema; para los demás, no existe.

Caducidad y avisos#

La caducidad es obligatoria y no se puede alargar. Antes de que caduque, cree otra y cambie el secreto en el programa.
Al titular de una credencial personal le llega un correo 14 días antes de que caduque, una sola vez y sin el secreto. Si la instalación tiene configurada su dirección pública, el correo lleva un enlace a sus credenciales.
Las credenciales de SCIM, de incrustación y de intercambio del metadata las vigila la consola de operación con la alerta de credenciales que caducan (véase Operación).
Las revocadas o caducadas se borran a los 180 días.

Administrar las credenciales de todos#

Quien tiene Administración del sistema ve las credenciales de todos los usuarios en Administración › Credenciales.

La pantalla Credenciales de la administración con los filtros y la tarjeta Claves de la instalación

Filtrar#

La barra de filtros tiene:

Filtro	Qué deja
Ámbito	Las de un ámbito.
Estado	Activas, Caducadas, Revocadas o Titular inhabilitado.
Titular	Las de un usuario, que se busca por su login, su descripción o su correo.
Caduca antes de	Las que caducan antes de empezar ese día, también las ya caducadas.

Quitar todos los filtros vuelve a la lista entera. Los filtros van en la dirección de la página, así que se puede guardar o compartir una vista filtrada.

Crear una credencial a nombre de un titular#

En Administración › Credenciales, pulse Nueva credencial….
En Ámbito, elija Aprovisionamiento de usuarios (SCIM), Incrustación o Intercambio del metadata. Bajo la opción se explica para qué sirve.
Busque al titular en Buscar y elíjalo en Titular. Los usuarios que no tienen el privilegio que pide el ámbito aparecen sin poder elegirse y con el motivo, por ejemplo «(sin Administración del metadata)».
Escriba el Nombre del cliente y elija la caducidad.
Pulse Crear credencial y copie el secreto.

Las credenciales de incrustación se crean normalmente desde la propia aplicación anfitriona (véase Incrustación), que las deja ligadas a ella.

Revocar la credencial de otro usuario#

Igual que la propia, pero ECenter pide un Motivo (hasta 500 caracteres), que queda en el detalle de la credencial y en la auditoría.

Las claves de la instalación#

La tarjeta Claves de la instalación muestra las claves con las que ECenter firma los tokens que emite para sí mismo, como los de la incrustación. No son credenciales y no se entregan a nadie.

Se rotan solas cada 90 días. La anterior deja de firmar y sigue verificando una hora más, para que los tokens ya emitidos no se corten.
Rotar ahora… fuerza una rotación, por ejemplo si sospecha que la clave de los secretos (ECENTER_SECRETS_KEY) se ha visto comprometida.
La clave privada se guarda cifrada con ECENTER_SECRETS_KEY. Si esa variable cambia, ECenter crea otra clave al firmar el siguiente token y los tokens de la anterior caducan solos en minutos.

Configuración#

Los valores por defecto se cambian en ecenter.security.credentials.* (véase la referencia de configuración):

Propiedad	Por defecto	Qué es
`default-lifetime`	`QUERY_API: 90d, MCP: 90d, SCIM: 365d, EMBED: 365d, METADATA_EXCHANGE: 90d`	Caducidad propuesta por ámbito
`max-lifetime`	`QUERY_API: 365d, MCP: 365d, SCIM: 730d, EMBED: 365d, METADATA_EXCHANGE: 365d`	Caducidad máxima por ámbito
`max-active-per-holder`	`10`	Credenciales vigentes por titular
`touch-interval`	`5m`	Cada cuánto se anota el último uso
`retention`	`180d`	Cuánto se conservan las revocadas o caducadas
`expiry-notice`	`14d`	Antelación del correo al titular

Un ámbito que no se nombra en default-lifetime o max-lifetime conserva su valor por defecto (application.yml no lista METADATA_EXCHANGE, pero se puede añadir).