Credenciais e autenticação

Credencial de máquina no servidor de autorização da Kodano, com private_key_jwt ou client_secret, e token Bearer em cada chamada.

Página em construção

Este é um resumo. O conteúdo completo entra nas próximas versões da documentação; o contrato de cada rota já está na Referência da API.

A API não usa API Key. Cada credencial é um usuário de máquina no servidor de autorização (OAuth 2.0 / OpenID Connect).
Dois tipos de credencial:
- private_key_jwt (recomendada): você assina um JWT com a chave privada da credencial e o troca pelo token com o grant urn:ietf:params:oauth:grant-type:jwt-bearer.
- client_secret: você envia client_id e client_secret com o grant client_credentials.
Nos dois casos, o scope é openid urn:zitadel:iam:org:project:id:<projectId>:aud urn:zitadel:iam:user:resourceowner. Sem o primeiro valor de projeto o token sai, mas a API responde 401; sem o resourceowner, 403 AUTH.TENANT_MISMATCH.
Use sempre o tokenUrl entregue com a credencial.
Envie o token em Authorization: Bearer <access_token>. Ele vale cerca de 12 horas (expires_in).
O segredo ou a chave privada são exibidos uma única vez. Revogar a credencial invalida os tokens já emitidos em até 60 segundos.
Credencial recém-emitida pode responder 401 por alguns minutos enquanto é ativada.