Crear y administrar clientes de OAuth

Ámbitos y permisos de OAuth

Los ámbitos de OAuth definen el nivel de acceso concedido a las aplicaciones cliente de OAuth. Por ejemplo, un token de acceso puede permitir el acceso total a los recursos o restringirlo al acceso de solo lectura. En Qlik Cloud, los ámbitos controlan el acceso de los clientes a la funcionalidad y los recursos disponibles. Sin ámbitos, los clientes no pueden acceder a ningún recurso.

Ámbitos de OAuth disponibles

La tabla muestra los ámbitos disponibles y sus permisos asociados:

Creación de clientes de OAuth

Los administradores de un espacio empresarial inquilino son los que gestionan los clientes de OAuth en el centro de actividades Administración, en la página OAuth. Con un cliente de OAuth, puede integrar su aplicación cliente con Qlik Cloud para acceder a los recursos de forma segura.

Pasos para crear un cliente de OAuth

Haga lo siguiente:

1. Vaya a OAuth en el centro de actividades Administración.

2. Haga clic en Crear nuevo.

3. Seleccione un tipo de cliente:

   • Web para clientes confidenciales.

   • App de una sola página o Nativa para los clientes públicos.

   • Inserción anónima para clientes públicos.

4. En el cuadro de diálogo, indique un nombre para el cliente de OAuth.

5. Añada una descripción, si lo desea.

6. Seleccione cualquiera de los ámbitos disponibles desplazándose o utilizando el campo de búsqueda.

   Nota de sugerenciaUtilice los botones Todos o Seleccionado para ver todos los ámbitos o únicamente los seleccionados.

7. Indique una o varias URL de redirección para la aplicación del cliente de OAuth (máximo 5). Después haga clic en Añadir para añadir la URL de redirección a la lista permitida.

   • La URL de redirección es donde el servidor de autorización envía al navegador del usuario tras autenticar y conceder permiso a la aplicación cliente. Por ejemplo, https://www.exampleapp.com/oauth/callback, donde /oauth/callback gestiona las devoluciones de llamadas de autenticación del proveedor OAuth.

   • Qlik Cloud redirigirá al usuario a la aplicación después de una autorización satisfactoria solo si su URL está en la lista de elementos permitidos de URL de redireccionamiento.

   • Las URL deben comenzar por https://, a menos que el dominio sea localhost, en cuyo caso puede comenzar por http://. Las apps nativas también pueden utilizar el formato de enlace específico de la aplicación, por ejemplo, exampleapp://.

8. Para los tipos de cliente Web o App de una sola página, especifique uno o más orígenes permitidos (máximo 5).

   • El acceso a la aplicación solo se concederá si la URL se añade a la lista de orígenes permitidos.

9. Para el tipo de cliente Web, puede activar una de las siguientes opciones para el acceso automatizado al sistema sin interacción del usuario:

   • Permitir la comunicación de máquina a máquina (M2M): permite la comunicación de sistema a sistema sin intervención del usuario.

   • Permitir la suplantación de usuarios M2M: permite que su aplicación se autentique en nombre de los usuarios, actuando como ellos durante el proceso de autenticación.

10. Para el tipo de cliente Web, seleccione una o ambas opciones en Método de autenticación:

    • Secreto de cliente (predeterminado)

    • JWT de clave privada, una opción más segura que autentica al cliente mediante un par de claves pública/privada en lugar de un secreto compartido.

      • Cuando selecciona JWT de clave privada, aparece el campo Clave pública. Introduzca la clave pública de su aplicación de terceros en formato JSON Web Key (JWK). La clave privada permanece en su aplicación para firmar JWT. Para obtener más información sobre el formato de la clave pública, consulte Crear un par de claves pública/privada para firmar JWT en el Portal para desarrolladores de Qlik.

        Nota informativaLa clave pública depende de los requisitos de su proveedor de identidad. Si la clave pública de su aplicación de terceros tiene un formato diferente, utilice una herramienta de terceros para convertirla a JWK.

11. Haga clic en Crear.

12. Haga clic en Copiar al portapapeles para guardar la ID del cliente y el secreto de cliente para su uso posterior. Almacene el secreto de cliente de forma segura.

    Nota informativaLos clientes públicos no tienen secreto de cliente.

13. Haga clic en Hecho.

Clientes de OAuth para casos de uso específicos

Para los casos de uso del cliente de OAuth, consulte los siguientes recursos:

• Vista general de OAuth en el Portal de Desarrolladores de Qlik: una descripción general de los casos de uso de OAuth y los diferentes tipos de OAuth.

• Crear clientes de OAuth para complementos de Qlik para Microsoft Office: configure un cliente de OAuth para la instalación del complemento Qlik para Microsoft Excel.

• Crear un cliente de OAuth para inserciones anónimas del contenido de una app: cree un cliente de OAuth para permitir el acceso anónimno al contenido incrustado de la app.

Para incrustar contenido de una app para acceso anónimo usando qlik-embed, necesita crear un cliente de OAuth con un tipo específicamente diseñado para este caso de uso.

Haga lo siguiente:

1. En el centro de actividades Administración, vaya a la sección OAuth.

2. Haga clic en Crear nuevo.

3. En el menú desplegable Tipo de cliente, seleccione Incrustación anónima.

4. Escriba un Nombre y, si lo desea, una Descripción para el cliente de OAuth.

5. En Orígenes permitidos, introduzca cada uno de los orígenes que debe autorizar. Estos son los dominios que accederán al espacio empresarial inquilino de Qlik Cloud para recuperar la información para la analítica incrustada.

   Haga clic en Añadir tras insertar cada URL.

6. Cuando haya terminado, haga clic en Crear.

7. Haga clic en Copiar al portapapeles para guardar el ID de cliente para su uso posterior. Será necesario cuando el contenido de la app esté incrustado con qlik-embed.

8. Haga clic en Hecho.

Editar clientes de OAuth

Puede cambiar el nombre de un cliente OAuth, actualizar la descripción o administrar las URL de redireccionamiento.

Haga lo siguiente:

1. Vaya a OAuth en el centro de actividades Administración.
2. Localice el cliente de OAuth que desea editar.
3. Haga clic en y seleccione Editar.
4. Modifique las opciones del cliente de OAuth según sea necesario.
5. Haga clic en Guardar.

Eliminar clientes de OAuth

Puede eliminar un cliente de OAuth cuando ya no lo necesite o para revocar el acceso.

Haga lo siguiente:

1. Vaya a OAuth en el centro de actividades Administración.

2. Seleccione uno o varios clientes de OAuth que desee eliminar y, a continuación, haga clic en Eliminar.

3. Confirme la eliminación.

Publicar clientes de OAuth

Los clientes de OAuth se vinculan inicialmente al espacio empresarial inquilino que los creó. No obstante, puede configurar un cliente de OAuth para que sea compartido por varios espacios empresariales inquilinos dentro de la misma región. Esto permite a las aplicaciones de terceros utilizar el mismo identificador de cliente en diferentes espacios empresariales inquilinos de Qlik Cloud.

Los propietarios de las aplicaciones pueden rotar los secretos y actualizar la configuración sin la interacción de un administrador del espacio empresarial inquilino. Los administradores del espacio empresarial inquilino no necesitan gestionar las credenciales ni conocer ningún detalle sobre la configuración del cliente publicado.

Para permitir que otros espacios empresariales inquilinos se conecten a un cliente de OAuth, debe publicarlo.

Haga lo siguiente:

1. Vaya a OAuth en el centro de actividades Administración.
2. Localice el cliente de OAuth que desea publicar.
3. Haga clic en junto al cliente y seleccione Publicar.
4. Pulse Publicar para confirmar.

Una vez publicado el cliente de OAuth, pasa a estar disponible para su uso externo por parte de otros espacios empresariales inquilinos. Cuando un usuario visite un sitio web externo que utilice este cliente de OAuth, se le pedirá que introduzca el nombre de host de su espacio empresarial inquilino y sus credenciales de usuario, a menos que ya tenga una sesión activa en SaaS.

El inicio de sesión inicial requerirá el consentimiento de un administrador del espacio empresarial inquilino. Una vez aprobado, el cliente de OAuth aparecerá en el centro de actividades Administración del espacio empresarial inquilino.

Métodos de consentimiento

De manera predeterminada, Qlik Cloud solicita el consentimiento de los usuarios al autenticarse. Para agilizar el proceso, especialmente en el caso de las aplicaciones que son de confianza, puede configurar el método de consentimiento en la opción "De confianza", que ignora la solicitud de consentimiento.

Existen dos opciones para solicitar el consentimiento:

• Obligatorio: se solicita el consentimiento del usuario cada vez que el cliente de OAuth solicita un nuevo ámbito. Este método garantiza la aprobación explícita del usuario para cada nivel de acceso.

• De confianza: no se solicita el consentimiento del usuario. Esta opción solo está disponible para los clientes no publicados. Para los clientes publicados, el método de consentimiento siempre es Obligatorio para mantener la seguridad en varios espacios empresariales inquilinos.

Cambiar el método de consentimiento

Para cambiar el método de consentimiento de un cliente de OAuth, haga lo siguiente:

1. Vaya a OAuth en el centro de actividades Administración.
2. En el cliente de OAuth, haga clic en y seleccione Cambiar método de consentimiento.
3. Seleccione Obligatorio o De confianza y después haga clic en Cambiar método de consentimiento.

Ver y copiar la configuración de OAuth

En la sección OAuth del centro de actividades Administración, seleccione Ver configuración de OAuth para acceder a los detalles de autenticación de su espacio empresarial inquilino en Qlik Cloud. Esto mostrará un fragmento de código con los puntos de conexión y la configuración de OAuth, así como una URL que puede copiar para utilizarla en aplicaciones externas.

Puede utilizar esta configuración para integrar Qlik Cloud con aplicaciones de terceros, automatizar el acceso a las API o configurar la autenticación para los análisis integrados.

Gestionar los secretos de cliente

Si el secreto de un cliente se ve comprometido o su política de seguridad requiere actualizaciones periódicas, puede añadir o eliminar secretos. Para evitar tiempos de inactividad, puede añadir varios secretos de cliente (un máximo de 5), actualizar su aplicación cliente y, a continuación, eliminar el secreto antiguo.

Añadir un secreto de cliente

Haga lo siguiente:

1. Vaya a OAuth en el centro de actividades Administración.
2. Localice el cliente de OAuth.
3. Haga clic en y seleccione Administrar secretos.
4. Haga clic en Generar un nuevo secreto de cliente.

5. Copie el secreto de cliente y el ID de cliente, y guárdelos de forma segura.

   Nota informativaNo podrá acceder posteriormente al secreto de cliente.
6. Haga clic en Cerrar.

Eliminar un secreto de cliente

Haga lo siguiente:

1. Vaya a OAuth en el centro de actividades Administración.
2. Localice el cliente de OAuth.
3. Haga clic en y seleccione Administrar secretos.
4. Haga clic en junto al secreto del cliente.
5. Haga clic en Cerrar.

Próximos pasos: crear aplicaciones cliente de OAuth

Tras registrar un cliente de OAuth en Qlik Cloud, puede crear aplicaciones cliente de OAuth para acceder al contenido de Qlik Cloud. Utilice el ID de cliente y el secreto de cliente asociados en su aplicación.

Si desea una guía paso a paso, consulte los tutoriales de la sección "OAuth Overview" del portal para desarrolladores de Qlik. Estos tutoriales abarcan cómo crear aplicaciones cliente utilizando lenguajes de programación populares.