本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# Netskope API 代币
## 秘密值字段
以下是密钥管理器密钥中必须包含的字段：
```
{
"apiToken": "{{API token value}}",
"tenantUrl": "https://example.goskope.com",
"serviceAccountName": "{{service account name}}"
}
```
apiToken
服务帐号的 Netskope REST API 持有者令牌。轮换过程会更新此字段。
租户网址
例如，您的Netskope租户 URL `https://example.goskope.com`。URL 必须使用 HTTPS`goskope.com`，必须以结尾且不得以斜杠结尾。诸如之类的区域主机`https://example.eu.goskope.com`也是有效的。
服务 AccountName
拥有该令牌的Netskope服务帐号的名称。密钥管理器记录此名称用于记录和审计。
旋转还会写`expiresDate`入`createdDate`和写入密钥值。这些字段以 ISO 8601 格式记录当前令牌的发行时间和到期时间。它们不是您提供的字段。
服务帐号角色不存储在密钥中。该角色属于服务帐号而不是代币，因此轮换永远不会改变它。
## 机密元数据字段
这种机密类型不需要轮换元数据字段。它不使用管理员密钥，密钥管理器将令牌的有效期设置为 365 天。
## 使用流程
此轮换使用单机密架构。不需要管理员密钥。服务账户使用其当前代币来生成自己的替代代币。
要创建您的密钥，请使用 [ CreateSecret ](https://docs.amazonaws.cn/secretsmanager/latest/apireference/API_CreateSecret.html) API 调用。将密钥值设置为上述字段，并将密钥类型设置为 NetskopeApiToken。要配置轮换，请使用 [ RotateSecret ](https://docs.amazonaws.cn/secretsmanager/latest/apireference/API_RotateSecret.html) API 调用。在 RotateSecret 通话中，提供一个角色 ARN，该角色授予服务轮换密钥的权限。有关权限策略的示例，请参阅[安全和权限](mes-security.md)。
在轮换期间，Secrets Manager 使用当前令牌调用Netskope服务账户端点以生成替代品。它将新令牌存储为待处理版本，根据 Netskope API对其进行验证，然后将其升级到最新版本。密钥管理器拒绝超过 350 天的轮换间隔，这会将每个间隔保持在 365 天的代币生命周期内。
Netskope旧令牌生成新令牌后立即失效，因此这两个令牌永远不会重叠。在轮换期间的大约 30 秒内，当前版本的密钥持有不再起作用的令牌。您的应用程序必须通过再次读取密钥并重试来处理 HTTP 401 响应。在每次轮换期间，不使用此模式缓存令牌的应用程序都会失败。
如果服务帐号角色使用 IP 许可名单，请将 Amazon-managed 前缀列表`com.amazonaws.{{region}}.secretsmanager-managed-external-secrets`添加到该允许列表。轮换调用源自该前缀列表，如果允许列表将其排除，则Netskope返回 HTTP 403。有关更多信息，请参阅《*Amazon VPC 用户指南*》中的 [Amazon托管的前缀列表](https://docs.amazonaws.cn/vpc/latest/userguide/working-with-aws-managed-prefix-lists.html)。