Acerca de Arnica
Iru lee datos de hallazgos, inventario de repositorios, políticas de seguridad y riesgo de los desarrolladores desde la API REST de Arnica mediante una clave de API Bearer creada en la plataforma web de Arnica en Administrador → API. Las claves están vinculadas a alcances desde su creación. Concede solo los alcances de lectura que requieran tus controles y evita por completo los alcances de escritura.Cómo funciona
https://api.app.arnica.io en la versión v1. Las claves se crean por alcance en el panel de Arnica, por lo que una clave a la que le falta un alcance devuelve un error en lugar de un resultado parcial. Arnica devuelve 403, no 401, para todos los fallos de autenticación y autorización. Una clave no válida, una clave revocada y una clave a la que le falta un alcance obligatorio se ven igual. Iru solo almacena la clave de API; no hay ningún host ni subdominio que configurar.
Referencias oficiales: Documentación de Arnica, Referencia de la API (Swagger).
Requisitos previos
- Acceso de administrador de Arnica. Solo los administradores pueden abrir Administrador → API para crear una clave.
- Decide qué repositorios están dentro del alcance. Arnica te permite excluir repositorios, y los repositorios excluidos no generan evidencia. Iru no puede distinguir si un repositorio no tiene hallazgos o si nunca se ha analizado.
Conectar Arnica a Iru
- Arnica
- Iru Compliance
Completa esta pestaña antes de conectar la fuente en Compliance.
1
Iniciar sesión en Arnica
Inicia sesión en Arnica en https://app.arnica.io con una cuenta que tenga el rol de admin.
2
Abrir Admin API
Ve a Administrador → API.
3
Crear una nueva clave de API
Selecciona Create a New API Key.
4
Asignar un nombre a la clave
Introduce un nombre como Iru Compliance para poder identificar esta clave más adelante.
5
Seleccionar alcances de solo lectura
Selecciona los alcances de solo lectura que cubran tu programa de cumplimiento:
risks:read, products:read, inventory:read, policies:read y status-checks:read. Añade groups:read si tus controles cubren la pertenencia a grupos de desarrolladores. No concedas risks:write ni ningún otro alcance de escritura.6
Crear y copiar el token
Selecciona Crear y, a continuación, copia el valor del token una sola vez mientras Arnica lo muestra. Guárdalo de forma segura hasta que lo pegues en Iru como token Bearer.
Continúa en la pestaña Iru Compliance.
Solución de problemas
No se abre nada al activar la fuente
No se abre nada al activar la fuente
Revisa la configuración del bloqueador de ventanas emergentes para el sitio de Iru e inténtalo de nuevo.
La conexión falla con un error 403
La conexión falla con un error 403
Arnica devuelve
403 en lugar de 401 para los fallos de autenticación, por lo que esto abarca una clave no válida, caducada o revocada, así como un alcance que falta. Vuelve a generar la clave, confirma que pegaste la cadena completa y vuelve a comprobar la lista de alcances.Faltan hallazgos de algunos repositorios
Faltan hallazgos de algunos repositorios
O bien a la clave le falta
risks:read o inventory:read, o bien esos repositorios están excluidos en Arnica. Los repositorios excluidos no son visibles para Iru.La tarjeta está activa, pero no ha aparecido ningún artefacto
La tarjeta está activa, pero no ha aparecido ningún artefacto
Arnica se consulta según una programación y no bajo demanda. Espera a que se complete un ciclo de recopilación completo antes de investigar.
Artículos relacionados
Gestión de fuentes
Explora y gestiona todas las fuentes de Compliance.
Introducción a Compliance
Marcos, acciones y Artefactos.
Descripción general de Iru
Cómo encajan Endpoint, Compliance e Identity.
Gestión de artefactos
Sube, revisa y organiza la evidencia de fuentes y acciones.