Enkripsi data

Anda saat ini melihat versi 1.10 dokumentasi Apigee hybrid. Untuk mengetahui informasi selengkapnya, lihat Versi yang didukung.

Version 1.10 

   Versi yang didukung:

• v1.13 (terbaru)                        
• v1.12                         
• v1.11                         
• Daftar versi yang didukung

   Versi yang tidak didukung:

• v1.10                                      
• v1.9                                         
• v1.8                                         
• v1.7                                         
• v1.6                                         
• v1.5                                         
• v1.4                                         
• v1.3                                         
• v1.2                                         
• v1.1                                         

Secara default, data berikut disimpan terenkripsi di platform runtime campuran:

• Data sistem pengelolaan kunci (KMS)
• Data peta nilai kunci (KVM)
• Menyimpan data ke dalam cache

Enkripsi data tidak memerlukan konfigurasi khusus dari Anda. Namun, jika karena alasan tertentu Anda ingin menggunakan kunci enkripsi Anda sendiri (mengganti kunci default), Anda dapat melakukannya, seperti yang dijelaskan dalam topik ini.

Cakupan kunci enkripsi

Kunci enkripsi untuk KMS, KVM, dan cache memiliki cakupan. Misalnya, kunci KMS memiliki cakupan organisasi. Artinya, kunci tersebut digunakan untuk mengenkripsi data KMS bagi seluruh organisasi. Tabel berikut mencantumkan cakupan untuk setiap jenis kunci:

Kunci enkripsi	Cakupan
KMS	Khusus organisasi
KVM	Organisasi atau lingkungan Jika kebijakan KVM menentukan cakupan apiproxy atau policy (revisi proxy API), kunci tingkat organisasi akan digunakan untuk mengenkripsi data. Untuk ringkasan umum tentang cara KVM digunakan di Apigee Edge, lihat Menggunakan peta nilai kunci.
Cache	Khusus lingkungan

Tentang kunci enkripsi default

Secara default, Apigee hybrid menyediakan kumpulan kunci yang dienkode Base64 yang digunakan untuk mengenkripsi data KVM, KMS, dan cache. Penginstal campuran Apigee menyimpan kunci di platform runtime sebagai Kubernetes Secrets, dan menggunakannya untuk mengenkripsi data Anda dengan enkripsi standar AES-128. Kunci berada di bawah kontrol Anda; platform pengelolaan campuran tidak pernah mengetahuinya kapan saja.

Tombol default akan berfungsi untuk sebagian besar kasus penggunaan. Jika Anda ingin mengubah kunci enkripsi default, lakukan saat pertama kali menginstal Apigee hybrid ke dalam cluster baru. Jika Anda mengubah kunci enkripsi setelah runtime dibuat di cluster, data yang sebelumnya dienkripsi tidak dapat berfungsi lagi (tidak dapat didekripsi); hanya data baru yang ditambahkan setelah perubahan yang akan dienkripsi dan berfungsi seperti yang diharapkan.

Mengubah kunci enkripsi default

Meskipun tidak diperlukan, Anda dapat mengubah kunci enkripsi default jika mau. Untuk mengganti satu atau beberapa kunci default, ikuti langkah-langkah berikut:

Jika Anda mengubah kunci enkripsi setelah runtime dibuat di cluster, data yang sebelumnya dienkripsi tidak dapat berfungsi lagi (tidak dapat didekripsi); hanya data baru yang ditambahkan setelah perubahan yang akan dienkripsi dan berfungsi seperti yang diharapkan.

1. Salin stanza berikut ke dalam file penggantian Anda. Konfigurasi ini memungkinkan Anda mengubah kunci enkripsi KMS dan KVM untuk tingkat organisasi serta kunci enkripsi KVM dan cache untuk tingkat lingkungan:

   defaults:
     org:
       kmsEncryptionKey: base64-encoded-key
       kvmEncryptionKey: base64-encoded-key
     env:
       kvmEncryptionKey: base64-encoded-key
       cacheEncryptionKey: base64-encoded-key

2. Buat kunci baru untuk setiap kunci yang ingin Anda ganti. Setiap kunci harus berupa string berenkode Base64 yang panjangnya tepat 16, 24, atau 32 byte. Lihat juga Cara membuat kunci encode.
3. Ganti kunci default dengan kunci baru. Dalam contoh ini, semua kunci default diganti dengan kunci:

   defaults:
     org:
       kmsEncryptionKey: "JVpTb1FwI0otUHo2RUdRN3pnVyQqVGlMSEFAJXYmb1c="
       kvmEncryptionKey: "T3VkRGM1U3cpOFgtNk9fMnNZU2NaSVA3I1BtZWxkaUU="
     env:
       kvmEncryptionKey: "Q3h6M3R6OWdBeipxTURfKjQwQVdtTng2dU5mODFHcyE="
       cacheEncryptionKey: "b2NTVXdKKjBzN0NORF9XSm9tWFlYKGJ6NUhpNystJVI="

4. Terapkan file penggantian ke cluster Anda sebagai berikut:
   • Jika Anda mengubah kunci KVM atau Cache, hanya perbarui lingkungan:

     $APIGEECTL_HOME/apigeectl apply -f overrides/overrides.yaml --env env_name

   • Jika Anda mengubah kunci KMS, perbarui organisasi dan lingkungan:

     $APIGEECTL_HOME/apigeectl apply -f overrides/overrides.yaml --env env_name --org org_name

Catatan tentang kompatibilitas mundur

Jika Anda menghapus kunci enkripsi dalam file penggantian saat pertama kali menginstal Apigee hybrid, Anda akan menonaktifkan enkripsi secara efektif dan nilai akan disimpan tanpa dienkripsi. Jika pada waktu berikutnya Anda mengaktifkan enkripsi dengan memberikan kunci, data yang keluar tetap tidak dienkripsi; namun, data mendatang yang ditambahkan akan dienkripsi. Sistem akan terus berfungsi seperti biasa dengan data yang tidak dienkripsi dan data baru yang dienkripsi.

Selain itu, perhatikan bahwa Anda tidak dapat mengubah kunci enkripsi setelah data runtime dienkripsi.

Cara membuat kunci yang dienkode

Kunci yang dienkode Base-64 dan diformat dengan benar diperlukan untuk enkripsi KVM, KMS, dan cache. Kunci yang digunakan untuk tujuan ini harus dienkode Base-64 dari string yang panjangnya 16, 24, atau 32 byte, seperti yang dijelaskan di bawah:

Persyaratan panjang string kunci ada karena cipher Advanced Encryption Standard (AES) berfungsi pada ukuran blok 128 bit, tetapi dapat menggunakan tiga panjang kunci yang berbeda: 128, 192, dan 256 bit (16, 24, atau 32 byte).

Contoh perintah berikut menghasilkan string yang sesuai, yang dihasilkan secara acak, berenkode Base64, dan terdiri dari 32 karakter:

head -c 32 /dev/random | openssl base64