Cifrado de configuración de automatización

En línea (KMIP)

El modo en línea es ideal para entornos con infraestructura KMIP. La clave maestra reside en un HSM externo compatible con KMIP y nunca se almacena en disco. Una clave de arranque independiente protege localmente las credenciales del certificado KMIP, lo que permite reinicios automáticos.

Para usar el modo en línea, cambie encryptionMethod a ONLINE_KMS y proporcione los detalles de su servidor KMIP.

{
  "configEncryption": {
    "encryptionMethod": "ONLINE_KMS",
    "kmip": {
      "serverName": "<hostname>",
      "port": 5696,
      "serverCAFile": "<path-unix>",
      "serverCAFileWindows": "<path-windows>",
      "clientCertificateFile": "<path-unix>",
      "clientCertificateFileWindows": "<path-windows>",
      "clientCertificatePassword": "<password>",
      "keyIdentifier": "<optional-uuid>",
      "useLegacyProtocol": false
    }
  }
}

Sin conexión

El modo sin conexión es ideal para entornos aislados o independientes. El agente obtiene una clave de cifrado a partir de un UUID proporcionado por el cliente, combinado con parámetros físicos de la máquina. Este método no requiere dependencias externas.

Para usar el modo sin conexión, establezca encryptionMethod en OFFLINE_SOFTWARE y proporcione el siguiente parámetro:

{
  "configEncryption": {
    "encryptionMethod": "OFFLINE_SOFTWARE",
    "dynamicSalt": "<UUID>"
  }
}

predeterminado

Si el cifrado en reposo (security.enableEncryption) está habilitado para cualquier proceso en la implementación, el cifrado sin conexión se activa automáticamente sin necesidad de configuración explícita. De lo contrario, la configuración permanece sin cifrar.

A través de la interfaz de usuario de Ops Manager

Configure el cifrado a nivel de proyecto en Ops Manager.

A través de la API pública

Puede gestionar el cifrado de la configuración de automatización a través del punto final de configuración de automatización de Ops Manager.

Punto final: PUT /groups/{PROJECT-ID}/automationConfig

Incluya el objeto configEncryption en el cuerpo de la solicitud de configuración de automatización. Para obtener más información sobre la solicitud y respuesta completas, consulte Actualiza la configuración de automatización.

Debes tener el rol para usar este punto Project Automation Admin final.

{
  "configEncryption": {
    "encryptionMethod": "ONLINE_KMS",
    "kmip": {
      "serverName": "kmip.example.com",
      "serverCAFile": "/path/to/ca.pem",
      "clientCertificateFile": "/path/to/client.pem"
    }
  }
}

{
  "configEncryption": {
    "encryptionMethod": "OFFLINE_SOFTWARE",
    "dynamicSalt": "<UUID>"
  }
}

Desactivar el cifrado

Para desactivar el cifrado de la configuración de automatización, establezca el método de cifrado en Predeterminado.

Rotación manual

Para rotar manualmente las claves de cifrado, utilice los siguientes activadores:

Rotación automática

El agente rota automáticamente las claves de cifrado cuando:

• El proceso del agente se reinicia.

• La versión del agente cambia (actualización o degradación).

Cuándo rotar

Gire las teclas en las siguientes situaciones:

• Sospecha de compromiso clave

• Rotación programada según la política de seguridad de su organización.

• Cambios de personal relacionados con el acceso a la infraestructura

Algoritmos criptográficos

La siguiente tabla enumera los algoritmos criptográficos utilizados en cada etapa del proceso de cifrado.

Propiedades de seguridad

El sistema de cifrado de configuración de automatización proporciona las siguientes garantías de seguridad.

• Arranque en modo en línea: Una clave local independiente protege las credenciales del certificado KMIP almacenadas en la configuración. Esto permite que el agente se autentique con su servidor KMIP durante reinicios desatendidos sin almacenar información confidencial en texto plano en el disco.

• Escritura atómica: El agente escribe los archivos de configuración y claves mediante un patrón atómico que garantiza la seguridad ante fallos. El agente puede recuperarse completamente de un fallo en cualquier punto del proceso de escritura.

• Sin secretos en texto plano en el disco: Cuando habilita el cifrado, el agente reemplaza todos los campos de credenciales en el archivo de copia de seguridad con valores cifrados. El master.key archivo contiene solo claves encriptadas (cifradas).

Mejores prácticas de seguridad

Siga estas recomendaciones para fortalecer la implementación del cifrado de la configuración de automatización.

• Prefiera la opción en línea (KMIP) cuando la infraestructura KMIP esté disponible. Ofrece la máxima seguridad.

• Utilice KMIP 1.2 (predeterminado) en lugar del protocolo heredado. La clave maestra nunca sale del HSM.

• Rote las llaves periódicamente según la política de su organización.

• Restringir el acceso al sistema de archivos del directorio de configuración del agente.

• Asegúrese de que Ops Manager esté conectado antes de realizar cambios de hardware o migraciones de máquinas virtuales en modo sin conexión. El agente se recupera automáticamente obteniendo la configuración actualizada en la siguiente consulta exitosa.

Problemas comunes

La siguiente tabla enumera los síntomas comunes, sus posibles causas y los pasos para solucionarlos.

Recuperación forzada

Si el agente no puede descifrar su copia de seguridad local y Ops Manager es accesible, puede restablecer el estado de cifrado.

Para desactivar el cifrado como parte del proceso de recuperación, consulte la sección Desactivar cifrado.

Log Tags

Las siguientes etiquetas de registro identifican los eventos relacionados con el cifrado en los registros del agente.