OCI Workload Identity Federation permite que un workload presente un JWT emitido por un proveedor de identidad confiable y, si supera las validaciones de OCI IAM, obtenga un Resource Principal Session Token (RPST) temporal para llamar a APIs de OCI. Así se evita guardar en ese flujo una clave API de usuario de OCI de larga duración. No es un único método para todos los destinos: el acceso de workloads externos a servicios OCI, la autenticación de GitHub Actions ante la API de Kubernetes de OKE y la identidad gestionada de agentes alojados en OCI Generative AI son flujos distintos.
Qué hace el intercambio JWT-to-RPST
Oracle anunció la función JWT-to-RPST el 26 de agosto de 2026. OCI IAM puede intercambiar JWT emitidos por proveedores de identidad de workload confiables por RPST mediante el grant type Token Exchange. El JWT acredita la identidad del workload ante OCI IAM; el RPST resultante representa al principal de recurso mapeado y se usa para acceder a APIs OCI según las políticas aplicables. Oracle indica que el flujo puede utilizarse con OCI SDKs, OCI CLI y Terraform.
As an Amazon Associate I earn from qualifying purchases.
- El workload solicita un JWT a su proveedor de identidad. Sus claims firmados describen el contexto de la ejecución, por ejemplo el repositorio o workflow, cuando el proveedor los incluye.
- El workload presenta el JWT al endpoint de intercambio de tokens de OCI IAM. La configuración de confianza determina el emisor aceptado y puede especificar el OAuth client autorizado, reglas de validación de claims y, si se usa, la identidad de recurso a suplantar.
- OCI valida el emisor, los claims temporales y las reglas configuradas. Si todas las verificaciones y autorizaciones pertinentes se satisfacen, emite un RPST.
- El workload utiliza el RPST al llamar a APIs OCI. Las solicitudes se firman con la clave privada del par cuya clave pública se envió durante el intercambio; la clave privada debe permanecer protegida en el entorno del workload.
- Las políticas IAM determinan qué recursos y operaciones están permitidos. El RPST temporal elimina la necesidad de una clave OCI de usuario de larga duración en este flujo, pero no sustituye la autorización de mínimo privilegio ni la seguridad del proveedor y del entorno de ejecución.
La documentación de Oracle para JWT-to-RPST, actualizada el 18 de septiembre de 2026, permite configurar una vigencia de RPST de 20 minutos a 12 horas: 20 minutos por defecto y un máximo de 720 minutos. Una duración mayor reduce la frecuencia de renovación, pero prolonga el tiempo durante el que un token obtenido puede ser útil si se expone; configúrela conforme a las necesidades operativas.
Do these 3 things before closing this tab:
1Repair Windows errors before they cause bigger problems2Scan for outdated or missing drivers - takes under a minute3Clear out junk files and repair common Windows errorsElige el flujo según el destino
| Escenario | Quién aporta la identidad inicial | Destino inmediato | Control principal de autorización | Gestión del token |
|---|---|---|---|---|
| Workload externo que llama a servicios OCI | Proveedor de identidad externo; OCI IAM valida su JWT. | APIs de OCI. | Políticas IAM aplicadas al principal de recurso, además de las reglas de confianza y claims. | El workload solicita el JWT y realiza el intercambio; usa el RPST emitido con su clave privada protegida. |
| GitHub Actions que ejecuta comandos en OKE | GitHub mediante OIDC nativo, según el tutorial de Oracle. | API de Kubernetes del clúster OKE. | Kubernetes RBAC y los controles de red configurados para el endpoint de la API. | El workflow se autentica ante el clúster según la configuración del tutorial; este caso no debe confundirse con el intercambio JWT-to-RPST para invocar APIs OCI. |
| Aplicación de agente desplegada en OCI Generative AI | La plataforma OCI proporciona un principal de recurso gestionado al workload desplegado. | Servicios OCI permitidos para la aplicación. | Políticas IAM para el principal, que pueden acotar el acceso a recursos concretos. | El SDK puede obtener y renovar el RPST gestionado. |
GitHub Actions: acceso a servicios OCI
Para que un workflow use APIs OCI, el caso pertinente es el de workload externo: GitHub emite el JWT y OCI IAM confía en ese emisor solo cuando la configuración de Identity Propagation Trust y sus validaciones permiten la identidad presentada. La nota de lanzamiento de Oracle incluye GitHub Actions entre los workloads externos compatibles con JWT-to-RPST.
#1 Best Overall
Restringe la confianza a los atributos que distinguen el repositorio y la ejecución autorizados. Los ejemplos de claims de Oracle son ilustrativos: los nombres y valores deben corresponder exactamente con el JWT real que recibe tu workflow. No supongas que confiar en el emisor por sí solo limita el acceso al repositorio o workflow que quieres permitir.
GitHub Actions: autenticación ante la API de OKE
Si el objetivo es ejecutar comandos Kubernetes desde un workflow, Oracle documenta un tutorial separado basado en OIDC nativo de GitHub. Ese tutorial requiere configurar los claims para el clúster, permitir que el endpoint de la API del clúster tenga egreso hacia GitHub y establecer Kubernetes RBAC para definir las operaciones permitidas.
Son controles de capas diferentes: IAM gobierna el acceso a recursos y APIs OCI, mientras que Kubernetes RBAC autoriza operaciones contra objetos del clúster. Un workflow que necesita ambos destinos puede requerir ambos mecanismos, configurados de forma independiente; obtener acceso a servicios OCI mediante RPST no concede automáticamente permisos Kubernetes, ni la autenticación OIDC ante OKE concede permisos IAM.
Outdated Drivers Are Slowing You Down
One free scan finds every outdated or missing driver and matches the right update for your exact hardware.Free scan · exact hardware matchPC Slower Than It Used to Be?
A free scan shows the junk files, broken settings and background clutter dragging Windows down - then fixes them in one click.Free scan · Windows 10 & 11Kubernetes externo: workloads que consumen servicios OCI
Oracle también identifica JWT-to-RPST como opción para workloads Kubernetes externos, incluidos clústeres Kubernetes autogestionados, que necesitan acceder a servicios OCI. En ese uso, el emisor del JWT debe ser confiable para OCI y los claims deben satisfacer las reglas configuradas. El RPST emitido representa al principal de recurso correspondiente; las políticas IAM de ese principal limitan las llamadas permitidas.
Rank #3
Este flujo no equivale a autenticar un usuario o workflow ante la API de un clúster OKE. Define primero qué servicio será el destino de cada credencial y aplica el mecanismo de autorización de ese destino.
Agentes desplegados en OCI Generative AI
Para aplicaciones de agentes desplegadas en OCI Generative AI, Oracle describe un camino gestionado: la plataforma aprovisiona un RPST al workload y el SDK puede obtenerlo y renovarlo. Las políticas IAM determinan qué servicios autorizados puede usar la aplicación; los ejemplos documentados incluyen Object Storage, Autonomous AI Database, Vault y Streaming, con posibilidad de limitar las políticas a recursos concretos.
Ese mecanismo gestionado se refiere a aplicaciones alojadas en OCI Generative AI. No demuestra que un agente ejecutado fuera de OCI reciba la misma identidad automáticamente. Un agente externo debe evaluarse como cualquier otro workload externo, atendiendo a su emisor de identidad, claims, intercambio y permisos.
Free tools Windows power users keep installed
One-click scans. No signup required.
Configuración del intercambio externo y límites de seguridad
La guía de Oracle para JWT-to-RPST está dirigida a OCI IAM con identity domains. Antes de implementarlo, confirma que la función y los requisitos aplican al identity domain y entorno OCI concretos: la documentación citada no proporciona una matriz exhaustiva de regiones, realms o tipos de tenancy.
- Separa administración y ejecución. Crea o selecciona un identity domain y registra las aplicaciones OAuth necesarias. La guía distingue una aplicación administrativa para gestionar la configuración de confianza y otra, sin rol administrativo, para invocar el intercambio cuando corresponda. Mantén separados esos privilegios.
- Define la confianza del emisor. Crea una configuración Identity Propagation Trust con el emisor, tipo JWT, estado activo y controles de identidad requeridos. Oracle documenta un máximo de 30 configuraciones Identity Propagation Trust.
- Valida los claims decisivos. La documentación permite hasta cinco reglas de validación; todas las configuradas deben coincidir exactamente. Si falta un claim requerido o su valor difiere, OCI no emite el RPST. Si se configura impersonación, el valor de recurso resuelto a partir del token debe coincidir exactamente con el valor configurado; de lo contrario, el intercambio se rechaza.
- Propaga solo el contexto necesario. Se pueden seleccionar hasta tres claims para propagación. El RPST admite hasta cinco atributos
var_*, dos de ellos reservados. Limita la propagación a información necesaria para el contexto de auditoría o las políticas. - Protege el par de claves. Genera un par de claves —la guía muestra OpenSSL como opción—, envía la clave pública en la solicitud de intercambio y conserva la clave privada únicamente en el workload con controles de acceso adecuados. No compartas la clave privada.
- Concede permisos mínimos. Autoriza al principal de recurso mediante políticas IAM limitadas al compartimento, familia de recursos y operaciones requeridos. Los dynamic groups agrupan recursos mediante reglas, pero no conceden permisos por sí mismos: una política debe otorgarlos.
- Añade controles propios del destino. Para acceder a OKE desde GitHub, configura además red y Kubernetes RBAC según las operaciones que el workflow necesita en el clúster.
La federación reduce la dependencia de credenciales de usuario OCI persistentes, pero no vuelve confiable a cualquier JWT. La seguridad depende de restringir el emisor y los claims, proteger el workload y su clave privada, y conceder solo los permisos necesarios. Las cifras operativas indicadas son parámetros publicados por Oracle, no mediciones de reducción de incidentes, ahorro ni adopción.
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
