Criptografia de configuração de automação

On-line (KMIP)

O modo online é melhor para ambientes com infraestrutura KMIP. A chave mestre reside em um HSM compatível com KMIP externo e nunca tocam o disco. Uma chave de inicialização separada protege as credenciais do certificado KMIP localmente, permitindo reinicializações autônomas.

Para usar o modo online, defina encryptionMethod como ONLINE_KMS e forneça os detalhes do servidor KMIP.

{
  "configEncryption": {
    "encryptionMethod": "ONLINE_KMS",
    "kmip": {
      "serverName": "<hostname>",
      "port": 5696,
      "serverCAFile": "<path-unix>",
      "serverCAFileWindows": "<path-windows>",
      "clientCertificateFile": "<path-unix>",
      "clientCertificateFileWindows": "<path-windows>",
      "clientCertificatePassword": "<password>",
      "keyIdentifier": "<optional-uuid>",
      "useLegacyProtocol": false
    }
  }
}

Off-line

O modo offline é melhor para ambientes com ar ou autônomo . O agente deriva uma chave de criptografia de um UUID fornecido pelo cliente combinado com parâmetros de máquina física. Este método não requer dependências externas.

Para usar o modo off-line, defina encryptionMethod como OFFLINE_SOFTWARE e forneça o seguinte parâmetro:

{
  "configEncryption": {
    "encryptionMethod": "OFFLINE_SOFTWARE",
    "dynamicSalt": "<UUID>"
  }
}

Default

Se a criptografia em repouso (security.enableEncryption) estiver ativada para qualquer processo no sistema, a criptografia offline será ativada automaticamente sem exigir configuração explícita. Caso contrário, a configuração permanece não criptografada.

Por meio da interface do usuário do Ops Manager

Configure a criptografia no nível do projeto no Ops Manager.

Por meio da API pública

Você pode gerenciar a criptografia de configuração de automação por meio do endpoint de configuração de automação do Ops Manager.

Ponto de conexão: PUT /groups/{PROJECT-ID}/automationConfig

Inclua o configEncryption objeto no corpo da solicitação de configuração de automação. Para saber mais sobre a solicitação completa e a resposta, consulte Atualizar a configuração de automação.

É necessário ter a role para usar esse Project Automation Admin endpoint.

{
  "configEncryption": {
    "encryptionMethod": "ONLINE_KMS",
    "kmip": {
      "serverName": "kmip.example.com",
      "serverCAFile": "/path/to/ca.pem",
      "clientCertificateFile": "/path/to/client.pem"
    }
  }
}

{
  "configEncryption": {
    "encryptionMethod": "OFFLINE_SOFTWARE",
    "dynamicSalt": "<UUID>"
  }
}

Desabilitar criptografia

Para desabilitar a criptografia da configuração de automação, defina o método de criptografia como Padrão.

Rotação manual

Para girar manualmente as chaves de encriptação, use os seguintes triggers:

Rotação automática

O agente gira automaticamente as chaves de encriptação quando:

• O processo do agente é reiniciado.

• A versão do agente muda (upgrade ou downgrade).

Quando girar

Gire as chaves nas seguintes situações:

• Suspeita de comprometimento de chave

• Rotação programada de acordo com a política de segurança da sua organização

• Mudanças de pessoal envolvendo acesso à infraestrutura

Algoritmos criptográficos

A tabela a seguir lista os algoritmos criptográficos usados em cada estágio do processo de criptografia.

Propriedades de segurança

O sistema de criptografia de configuração de automação oferece as seguintes garantias de segurança.

• Bootstrap do modo online: uma chave separada encapsulada localmente protege as credenciais do certificado KMIP armazenadas na configuração. Isso permite que o agente autentique em seu servidor KMIP durante reinicializações autônomas sem armazenar segredos de texto simples no disco.

• Gravações atômicas: o agente grava arquivos de configuração e chaves usando um padrão atômico seguro contra falhas. O agente pode se recuperar totalmente de uma falha a qualquer ponto durante a gravação.

• Nenhum segredo de texto simples no disco: quando você ativa a criptografia, o agente substitui todos os campos de credenciais no arquivo de backup por valores criptografados. O master.key arquivo contém apenas chaves agrupadas (criptografadas).

Melhores práticas de segurança

Siga estas recomendações para fortalecer sua implantação de criptografia de configuração de automação.

• Prefiro Online (KMIP) quando a infraestrutura do KMIP estiver disponível. Ele fornece a segurança mais forte.

• Use KMIP 1.2 (padrão) sobre o protocolo legado . A chave mestre nunca sai do HSM.

• Gire as chaves regularmente de acordo com a política da sua organização.

• Restringir o acesso ao sistema de arquivos ao diretório de configuração do agente.

• Garanta a conectividade do Ops Manager antes de alterações de hardware ou migrações de VM no modo offline. O agente se recupera automaticamente buscando novas configurações na próxima pesquisa bem-sucedida.

Problemas comuns

A tabela a seguir lista os sinais comuns, suas causas prováveis e as etapas de resolução.

Recuperação forçada

Se o agente não puder descriptografar o backup local e o Ops Manager estiver acessível, você poderá redefinir o estado da criptografia.

Para desabilitar a criptografia como parte da recuperação, consulte Desabilitar criptografia.

Log Tags

As seguintes marcações de registro identificam eventos relacionados à criptografia nos registros do agente .