Cifrado de configuración de automatización

En linea (KMIP)

El modo en línea es el mejor para entornos con infraestructura KMIP. La clave principal reside en un HSM externo compatible con KMIP y nunca se almacena en un disco. Una clave Bootstrap separada asegura las credenciales del certificado KMIP localmente, permitiendo reinicios no supervisados.

Para utilizar el modo en linea, ajusta encryptionMethod a ONLINE_KMS y proporciona los detalles de tu servidor KMIP.

{
  "configEncryption": {
    "encryptionMethod": "ONLINE_KMS",
    "kmip": {
      "serverName": "<hostname>",
      "port": 5696,
      "serverCAFile": "<path-unix>",
      "serverCAFileWindows": "<path-windows>",
      "clientCertificateFile": "<path-unix>",
      "clientCertificateFileWindows": "<path-windows>",
      "clientCertificatePassword": "<password>",
      "keyIdentifier": "<optional-uuid>",
      "useLegacyProtocol": false
    }
  }
}

offline

El modo fuera de línea es el mejor para entornos autónomos o aislados de la red (air-gapped). El agente obtiene una clave de cifrado a partir de un UUID proporcionado por el cliente combinado con parámetros físicos de la máquina. Este método no requiere dependencias externas.

Para utilizar el modo offline, configure encryptionMethod en OFFLINE_SOFTWARE y proporcione el siguiente parámetro:

{
  "configEncryption": {
    "encryptionMethod": "OFFLINE_SOFTWARE",
    "dynamicSalt": "<UUID>"
  }
}

predeterminado

Si el cifrado en reposo (security.enableEncryption) está habilitado para cualquier proceso en la implementación, el cifrado offline se activa automáticamente sin requerir una configuración explícita. En caso contrario, la configuración permanece sin cifrar.

A través de la Interfaz de Usuario de Ops Manager

Configura el cifrado a nivel de proyecto en Ops Manager.

A través de la API pública

Puedes administrar el cifrado de la configuración de automatización a través del endpoint de configuración de automatización de Ops Manager.

Punto final: PUT /groups/{PROJECT-ID}/automationConfig

Incluye el objeto configEncryption en el cuerpo de la solicitud de configuración de automatización. Para obtener más información sobre la solicitud y la respuesta completas, consulte Actualiza la configuración de automatización.

Debes tener el rol Project Automation Admin para usar este endpoint.

{
  "configEncryption": {
    "encryptionMethod": "ONLINE_KMS",
    "kmip": {
      "serverName": "kmip.example.com",
      "serverCAFile": "/path/to/ca.pem",
      "clientCertificateFile": "/path/to/client.pem"
    }
  }
}

{
  "configEncryption": {
    "encryptionMethod": "OFFLINE_SOFTWARE",
    "dynamicSalt": "<UUID>"
  }
}

Desactivar cifrado

Para desactivar el cifrado de la configuración de automatización, establece el método de cifrado en por defecto.

Rotación manual

Para rotar manualmente las claves de cifrado, utiliza los siguientes activadores:

Rotación Automática

El agente rota automáticamente las claves de cifrado cuando:

• El proceso del agente se reinicia.

• La versión del agente cambia (actualización o degradación).

Cuándo rotar

Rote las llaves en las siguientes situaciones:

• Sospecha de compromiso de clave

• Rotación programada según la política de seguridad de tu organización

• Cambios de personal que afectan el acceso a la infraestructura

Algoritmos criptográficos

La siguiente tabla enumera los algoritmos criptográficos utilizados en cada etapa del proceso de cifrado.

Propiedades de seguridad

El sistema de cifrado de configuración de automatización brinda las siguientes garantías de seguridad.

• Inicialización en modo en línea: Una clave local independiente protege las credenciales del certificado KMIP almacenadas en la configuración. Esto permite que el agente se autentique en tu servidor KMIP durante reinicios no supervisados sin almacenar secretos en texto claro en el disco.

• Escrituras atómicas: El agente escribe archivos de configuración y clave utilizando un patrón atómico a prueba de fallos. El agente puede recuperarse completamente de una falla en cualquier momento durante el guardado.

• No existen secretos en texto plano en el disco: Cuando usted habilita el cifrado, el agente sustituye todos los campos de credenciales en el archivo de copia de seguridad por valores cifrados. El archivo master.key contiene solo claves envueltas (cifradas).

Mejores prácticas de seguridad

Sigue estas recomendaciones para fortalecer su implementación de cifrado de la configuración de automatización.

• Prefiera Online (KMIP) cuando la infraestructura KMIP esté disponible. Proporciona la mayor seguridad.

• Utiliza KMIP 1.2 (por defecto) sobre el protocolo heredado. La clave maestra nunca sale del HSM.

• Alterna las claves periódicamente según la política de tu organización.

• Restringe el acceso al sistema de archivos al directorio de configuración del agente.

• Garantiza la conectividad del Ops Manager antes de realizar cambios en el hardware o migraciones de VM en modo offline. El agente se recupera automáticamente obteniendo una configuración nueva en la siguiente consulta exitosa.

Problemas Comunes

La siguiente tabla muestra los síntomas comunes, sus posibles causas y los pasos de resolución.

recuperación forzada

Si el agente no puede descifrar su copia de seguridad local y se puede acceder a Ops Manager, puedes restablecer el estado de cifrado.

Para desactivar el cifrado como parte de la recuperación, consulte Desactivar cifrado.

Log Tags

Las siguientes etiquetas de registro identifican eventos relacionados con el cifrado en los registros de agentes.