토큰 폐기 API

토큰 폐기 API는 GitLab과 상호 작용하여 GitLab Secret Detection에서 감지한 API 토큰 및 기타 비밀을 수신하고 폐기하는 외부 배포 HTTP API입니다. Secret Detection의 사후 처리 및 폐기 흐름을 이해하려면 고수준 아키텍처를 참조하세요.

GitLab.com은 내부 유지 관리 Secret 폐기 서비스를(팀 구성원 전용) Token 폐기 API로 사용합니다. GitLab Self-Managed의 경우 자체 API를 만들고 GitLab을 구성할 수 있습니다.

Self-Managed형용 토큰 폐기 API 구현

폐기 기능을 사용하려는 GitLab Self-Managed 인스턴스는 다음을 수행해야 합니다:

  • 고유한 토큰 폐기 API를 구현하고 배포합니다.
  • GitLab 인스턴스를 토큰 폐기 API를 사용하도록 구성합니다.

귀하의 서비스는 다음 사항을 준수해야 합니다:

  • 아래의 API 사양과 일치시켜야 합니다.
  • 두 가지 엔드포인트 제공:
    • 폐기 가능한 토큰 타입 가져오기
    • 유출된 토큰 폐기
  • 요청 제한과 멱등성 보장

문서화된 엔드포인트로의 요청은 Authorization 헤더에 전달된 API 토큰을 사용하여 인증됩니다. 요청 및 응답 본문(있는 경우)은 예상대로 콘텐츠 유형이 application/json이어야 합니다.

모든 엔드포인트는 다음 응답을 반환할 수 있습니다:

  • 401 Unauthorized
  • 405 Method Not Allowed
  • 500 Internal Server Error

GET /v1/revocable_token_types

revoke_tokens 엔드포인트에서 사용하기 위한 유효한 type값을 반환합니다.

note
이러한 값은 the secrets analyzer’s주요 식별자의 연결로 일치하며 primary_identifier.typeprimary_identifier.value를 연결하여 이루어집니다. 예를 들어, 값 gitleaks_rule_id_gitlab_personal_access_token은 다음 발견 식별자와 일치합니다:
{"type": "gitleaks_rule_id", "name": "Gitleaks rule ID GitLab Personal Access Token", "value": "GitLab Personal Access Token"}
상태 코드 설명
200 응답 본문에 유효한 토큰 type 값이 포함됩니다.

예시 응답 본문:

{
    "types": ["gitleaks_rule_id_gitlab_personal_access_token"]
}

POST /v1/revoke_tokens

적절한 공급업체에 의해 폐기될 토큰 디렉터리을 수락합니다. 귀하의 서비스는 각 공급업체와의 통신을 통해 토큰을 폐기하는 책임이 있습니다.

상태 코드 설명
204 모든 제출된 토큰이 최종적으로 폐기될 수 있게 수락되었습니다.
400 요청 본문이 유효하지 않거나 제출된 토큰 유형 중 하나가 지원되지 않습니다. 요청은 다시 시도해서는 안 됩니다.
429 공급업체가 너무 많은 요청을 받았습니다. 요청을 나중에 다시 시도해야 합니다.

예시 요청 본문:

[{
    "type": "gitleaks_rule_id_gitlab_personal_access_token",
    "token": "glpat--8GMtG8Mf4EnMJzmAWDU",
    "location": "https://example.com/some-repo/blob/abcdefghijklmnop/compromisedfile1.java"
},
{
    "type": "gitleaks_rule_id_gitlab_personal_access_token",
    "token": "glpat--tG84EGK33nMLLDE70zU",
    "location": "https://example.com/some-repo/blob/abcdefghijklmnop/compromisedfile2.java"
}]

GitLab을 토큰 폐기 API와 인터페이스하도록 구성

GitLab 인스턴스에서 다음 데이터베이스 설정을 구성해야 합니다:

설정 유형 설명
secret_detection_token_revocation_enabled 부울 자동 토큰 폐기가 활성화되었는지 여부
secret_detection_token_revocation_url 문자열 토큰 폐기 API의 /v1/revoke_tokens 엔드포인트에 대한 완전히 정규화된 URL
secret_detection_revocation_token_types_url 문자열 토큰 폐기 API의 /v1/revocable_token_types 엔드포인트에 대한 완전히 정규화된 URL
secret_detection_token_revocation_token 문자열 토큰 폐기 API에 요청을 인증하는 사전 공유 토큰

예를 들어, Rails 콘솔에서 이러한 값을 구성하려면:

::Gitlab::CurrentSettings.update!(secret_detection_token_revocation_token: '내비밀토큰')
::Gitlab::CurrentSettings.update!(secret_detection_token_revocation_url: 'https://gitlab.example.com/revocation_service/v1/revoke_tokens')
::Gitlab::CurrentSettings.update!(secret_detection_revocation_token_types_url: 'https://gitlab.example.com/revocation_service/v1/revocable_token_types')
::Gitlab::CurrentSettings.update!(secret_detection_token_revocation_enabled: true)

이러한 값을 구성한 후에는 토큰 폐기 API가 고수준 아키텍처 다이어그램에 따라 호출됩니다.