Skip to main content
El broker aplica un único archivo de política declarativa (policy.path en broker.yml). Define perfiles (la forma de una solicitud) y hosts (qué identidades pueden pedir qué perfiles). El esquema autoritativo es schemas/policy.schema.json.

​
Política mínima

​
Claves de nivel superior

El broker rechaza claves desconocidas (additionalProperties: false).

​
Cómo se autoriza una solicitud

Cuando un agente llama a POST /v1/certificates:
  1. El broker lee el CN del certificado cliente (la identidad).
  2. Busca esa identidad en hosts.<etiqueta>.identity. Si ningún host coincide, deniega.
  3. El profile solicitado (cuerpo JSON) debe aparecer en los profiles del host.
  4. Los DNS del CSR deben satisfacer los dns_names del perfil — los wildcard exigen que las SAN caigan bajo el wildcard; los multi_san exigen que las SAN estén exactamente en la lista permitida.
  5. Si pasa todo, sirve un bundle cacheado o emite por ACME.
Cada decisión queda en el log de auditoría.

​
Recarga en caliente

policy.watch: true en broker.yml recarga al cambiar el archivo. El broker registra el nuevo hash, útil para correlacionar recargas con el stream de auditoría.

​
Validar antes de desplegar

Compila la política con el mismo código que usa el servidor. Si va bien imprime:
El mismo hash aparece en el arranque del broker y en los eventos de auditoría, lo que facilita confirmar qué política está activa.

​
Sigue con