Sperren bei der Authentifizierung behandeln

Eine Sperre bei der Authentifizierung schützt die Endpunkte für die Anmeldung beim STACKIT Secrets Manager vor wiederholten fehlgeschlagenen Anmeldungen. Sie gilt für:

• Anmeldungen über userpass mit POST oder PUT /v1/auth/userpass/login/{username}.
• Anmeldungen über AppRole mit POST oder PUT /v1/auth/approle/login.

Eine Sperre betrifft nur neue Anmeldungen und die Ausgabe neuer Token. Vault-Token, die vor der Sperre ausgegeben wurden, bleiben bis zu ihrem Ablauf gültig und können normal erneuert werden.

Eine Sperre dauert 10 Minuten. STACKIT verwaltet die Regeln, die eine Sperre auslösen. Sie können diese weder für einzelne Secrets Manager-Instanzen noch für einzelne Benutzer oder AppRoles anzeigen oder ändern.

Funktionsweise der Sperre

Fehlgeschlagene Anmeldungen werden für die geschützte Identität und die Quell-IP der Anfrage ausgewertet:

• Wiederholte Fehler für dieselbe Identität von einer Quell-IP blockieren Anmeldungen für diese Kombination für 10 Minuten.
• Fehler für dieselbe Identität von mehreren Quell-IPs blockieren diese Identität für 10 Minuten für alle Quell-IPs.

Bei userpass ist der Benutzername die geschützte Identität. Bei AppRole ist es die Role-ID. Clients, die dieselbe Identität und Quell-IP verwenden, teilen den Status der fehlgeschlagenen Versuche für diese Kombination. Andere Identitäten mit derselben Quell-IP sind von einer Sperre für diese Quell-IP nicht betroffen.

Sperren laufen 10 Minuten nach ihrer Auslösung automatisch ab. Anmeldeversuche während einer aktiven Sperre verlängern deren Dauer nicht. Anfragen, die von der Zugriffssteuerungsliste (ACL) der Instanz abgelehnt werden, geben 403 Forbidden zurück und werden für die Sperre nicht berücksichtigt.

Antworten bei der Anmeldung verstehen

Verwenden Sie den HTTP-Status und die Fehlermeldung, um die nächste Aktion zu bestimmen:

Antwort	Bedeutung	Aktion
400 Bad Request: invalid username or password	Die Zugangsdaten für userpass sind ungültig.	Prüfen Sie Benutzername und Passwort vor einem erneuten Versuch.
400 Bad Request: invalid role or secret ID	Die Role-ID oder Secret-ID ist ungültig.	Prüfen Sie, ob die Anwendung die aktuellen AppRole-Zugangsdaten verwendet.
429 Too Many Requests: user is temporarily locked due to too many failed login attempts	Während einer aktiven Sperre wurden gültige Zugangsdaten für userpass angegeben.	Beenden Sie die Anmeldeversuche und versuchen Sie es nach 10 Minuten erneut.
429 Too Many Requests: approle is temporarily locked due to too many failed login attempts	Während einer aktiven Sperre wurden gültige AppRole-Zugangsdaten angegeben.	Beenden Sie die Anmeldeversuche und versuchen Sie es nach 10 Minuten erneut.
403 Forbidden: permission denied	Die Quell-IP ist durch die ACL der Instanz nicht erlaubt.	Prüfen Sie die ACL, statt auf den Ablauf einer Sperre zu warten.

Damit nicht erkennbar ist, ob Zugangsdaten gültig sind, geben ungültige Zugangsdaten auch während einer aktiven Sperre die allgemeine Antwort 400 Bad Request zurück. Diese Antwort bestätigt daher nicht, ob eine Sperre aktiv ist.

Die Antwort 429 Too Many Requests enthält weder einen Retry-After-Header noch die verbleibende Dauer oder den Umfang der Sperre.

Auf eine vorübergehende Sperre reagieren

1. Beenden Sie sofortige erneute Anmeldeversuche, um eine Schleife aus weiteren Versuchen zu vermeiden.
2. Prüfen Sie bei 400 Bad Request den konfigurierten Benutzernamen und das Passwort oder die Role-ID und Secret-ID. Stellen Sie sicher, dass alle Instanzen Ihrer Anwendung die aktuellen Zugangsdaten verwenden.
3. Prüfen Sie bei 403 Forbidden, ob die Quell-IP in der ACL der Instanz enthalten ist.
4. Warten Sie bei 429 Too Many Requests mindestens 10 Minuten bis zum nächsten Anmeldeversuch. Senden Sie nicht fortlaufend neue Anfragen zur Anmeldung.
5. Verwenden und erneuern Sie ein vorhandenes Vault-Token, statt für jede Operation ein neues Token anzufordern.

Das Ändern eines Passworts oder das Erstellen einer neuen Secret-ID beendet eine aktive Sperre nicht sofort. Die neuen Zugangsdaten können nach Ablauf der 10-minütigen Sperre verwendet werden.

Wenn eine Anmeldung mit gültigen Zugangsdaten mehr als 15 Minuten nach dem letzten fehlgeschlagenen Versuch weiterhin 429 Too Many Requests zurückgibt, kontaktieren Sie das STACKIT Help Center. Geben Sie die Authentifizierungsmethode, Instanz-ID, den Benutzernamen oder die Role-ID, den Zeitpunkt der Anfrage mit Zeitzone, die Quell-IP, den HTTP-Status und die Fehlermeldung an.

Geben Sie niemals Passwörter, Secret-IDs, Zugriffstoken oder Vault-Token in Supportanfragen an.