Identidad y permisos
Aislamiento de tenants
Con autenticación habilitada, Matcher lee
tenant_id o tenantId del token. Si los claims de tenant son opcionales y están ausentes, usa el tenant predeterminado configurado. Con AUTH_ENABLED=false, usa ese tenant predeterminado sin leer un token.
Registros de auditoría
Matcher registra los cambios de configuración y las resoluciones de excepciones como registros de auditoría de tu tenant. Los registros son solo por adición y están enlazados en una cadena de hash SHA-256. Puedes volver a verificar la cadena. Una verificación inspecciona hasta 10,000 registros, de forma predeterminada desde la secuencia almacenada más baja, y nunca cambia un registro. Para iniciar la verificación en una secuencia posterior, usa el parámetro
fromSeq. Cuando el primer registro que lee la verificación no es la secuencia 1, la verificación confía en el enlace almacenado de ese registro. No verifica los registros anteriores a él. Para los endpoints de auditoría y de archivos, consulta Gobernanza.
Datos personales
Matcher cifra el nombre para mostrar y el email de un mapeo de actor antes de almacenarlos. Los registros de auditoría conservan el identificador en bruto del actor de la solicitud original, que puede ser una dirección de email. Para más detalles, consulta Mapeos de actores.
Credenciales y llamadas entrantes
- Matcher almacena solo el hash SHA-256 de un token de callback de excepción o de un token de webhook de agregador. Muestra el token en bruto una sola vez, cuando lo crea.
- Un callback de excepción debe traer un token de callback válido para tu tenant.
- Matcher solo acepta un webhook de agregador en una URL que traiga un token válido para tu tenant, y solo después de verificar el origen por firma HMAC o por dirección IP. Un webhook que no pasa la verificación de origen recibe
401.
Próximos pasos
Gobernanza
Gestiona mapeos de actores, logs de auditoría y archivos.