Datenverschlüsselung

Standardmäßig werden die folgenden Daten auf der Hybrid-Laufzeitebene verschlüsselt:

  • Daten im Cache
  • Vertrags-Schlüsseldaten
  • KMS-Daten (Key Management System)
  • Daten der Schlüsselwertzuordnung (key-value map, KVM)

Die Datenverschlüsselung erfordert keine spezielle Konfiguration Ihrerseits. Wenn Sie jedoch Ihre eigenen Verschlüsselungsschlüssel verwenden möchten (also die Standardschlüssel ersetzen), folgen Sie der Anleitung in diesem Thema.

Bereich des Verschlüsselungsschlüssels

Apigee Hybrid-Verschlüsselungsschlüssel haben einen Bereich. KMS-Schlüssel haben beispielsweise den Bereich Organisation. Dies bedeutet, dass der Schlüssel verwendet wird, um KMS-Daten für die gesamte Organisation zu verschlüsseln. In der folgenden Tabelle sind die Bereiche für jeden Schlüsseltyp aufgeführt:

Verschlüsselungsschlüssel Umfang
Vertrag Nur Organisation
KMS Nur Organisation
KVM Organisation oder Umgebung

Wenn eine KVM-Richtlinie den Bereich apiproxy oder policy (API-Proxy-Überarbeitung) angibt, wird der Schlüssel auf Organisationsebene zum Verschlüsseln der Daten verwendet. Eine allgemeine Übersicht über die Verwendung von KVMs in Apigee Edge finden Sie unter Mit Schlüsselwertzuordnungen arbeiten.
Cache Nur Umgebung

Informationen zum Standardverschlüsselungsschlüssel

Standardmäßig stellt Apigee Hybrid eine Reihe von Base64-codierten Schlüsseln bereit, die zum Verschlüsseln von Vertrags-, KVM-, KMS- und Cache-Daten verwendet werden. Das Apigee Hybrid-Installationsprogramm speichert die Schlüssel in der Laufzeitebene als Kubernetes Secrets und verwendet sie, um Ihre Daten mit der AES‑128-Standardverschlüsselung zu verschlüsseln. Die Schlüssel befinden sich in Ihrer Kontrolle. Die Hybrid-Verwaltungsebene ist sich der Schlüssel zu keinem Zeitpunkt bewusst.

Die Standardschlüssel werden beim Erstellen der Komponenten auf alle neuen Apigee Hybrid-Komponenten angewendet.

Standardverschlüsselungsschlüssel ändern

Obwohl nicht erforderlich, können Sie jeden der Standardverschlüsselungsschlüssel ändern, wenn Sie möchten. Gehen Sie so vor, um einen oder mehrere Standardschlüssel zu ersetzen:

  1. Kopieren Sie die folgenden Stanzas in die Überschreibungsdatei. Mit dieser Konfiguration können Sie die KMS- und KVM-Verschlüsselungsschlüssel für die Organisationsebene und die KVM- und Cache-Verschlüsselungsschlüssel für die Umgebungsebene ändern: 
    defaults:
  org:
    kmsEncryptionKey: base64-encoded-key
    kvmEncryptionKey: base64-encoded-key
    contractEncryptionKey: base64-encoded-key

  env:
    kvmEncryptionKey: base64-encoded-key
    cacheEncryptionKey: base64-encoded-key
  2. Generieren Sie für jeden Schlüssel, den Sie ersetzen möchten, einen neuen Schlüssel. Jeder Schlüssel muss ein Base64-codierter String sein, der genau 16, 24 oder 32 Byte lang ist. Weitere Informationen finden Sie unter Codierten Schlüssel erstellen.
  3. Ersetzen Sie die Standardschlüssel durch neue. In diesem Beispiel werden alle Standardschlüssel durch Schlüssel ersetzt: 
    defaults:
  org:
    kmsEncryptionKey: "JVpTb1FwI0otUHo2RUdRN3pnVyQqVGlMSEFAJXYmb1c="
    kvmEncryptionKey: "T3VkRGM1U3cpOFgtNk9fMnNZU2NaSVA3I1BtZWxkaUU="
    contractEncryptionKey: "RDEyMzQ1Njc4OTAxMjM0NQ=="
  env:
    kvmEncryptionKey: "Q3h6M3R6OWdBeipxTURfKjQwQVdtTng2dU5mODFHcyE="
    cacheEncryptionKey: "b2NTVXdKKjBzN0NORF9XSm9tWFlYKGJ6NUhpNystJVI="

Standardschlüssel überschreiben

Sie können die Schlüssel für die Organisation oder bestimmte Umgebungen überschreiben, die in Ihrer Überschreibungsdatei angegeben sind. Wenn Sie die Komponenten erstellen, werden die Standardschlüssel durch die Schlüssel überschrieben, die Sie für die Organisation oder einzelne Umgebungen angeben.

  1. Kopieren Sie die folgenden Stanzas in die Überschreibungsdatei. Mit dieser Konfiguration können Sie die KMS- und KVM-Verschlüsselungsschlüssel für die Organisationsebene und die KVM- und Cache-Verschlüsselungsschlüssel für die Umgebungsebene ändern: 
    org:YOUR_ORG_NAME

kmsEncryptionKey: base64-encoded-key
kvmEncryptionKey: base64-encoded-key
contractEncryptionKey: base64-encoded-key

envs
  - name: ENV_NAME
    kvmEncryptionKey: base64-encoded-key
    cacheEncryptionKey: base64-encoded-key

  - name: 2ND_ENV_NAME
    kvmEncryptionKey: base64-encoded-key
    cacheEncryptionKey: base64-encoded-key
  2. Generieren Sie einen neuen Schlüssel für jeden Schlüssel, den Sie überschreiben möchten. Jeder Schlüssel muss ein Base64-codierter String sein, der genau 16, 24 oder 32 Byte lang ist. Siehe auch Codierten Schlüssel erstellen.
  3. Geben Sie die Schlüssel an, die Sie überschreiben möchten. In diesem Beispiel werden alle Standardschlüssel durch Schlüssel ersetzt: 
    org:hybrid-org

kmsEncryptionKey: "QTEyMz1b2jc4OTAxMjM0NQ=="
kvmEncryptionKey: "QzEyM2c3Njc4OTAxMjM0NQ=="
contractEncryptionKey: "RDEyMzQ1Njc4OTAxMjM0NQ=="

envs:
  - name: prod
    kvmEncryptionKey: "QzEyM2c3Njc4OTAxMjM0NQ=="
    cacheEncryptionKey: "QjEyAvC1Njc4OTAxMjM0NQ=="

envs:
  - name: test
    kvmEncryptionKey: "A1b2C3d4E5f6G7h8I9j10K=="
    cacheEncryptionKey: "B1c2D3e4F5f6H7i8J9k10L=="

Schlüssel-Änderungen anwenden

Wenden Sie die Überschreibungsdatei mit den folgenden Helm-Befehlen auf Ihren Cluster an:
  • Wenn Sie den Vertragsschlüssel oder den KVM-Schlüssel für die Organisation ändern, aktualisieren Sie die Organisation: 
    helm upgrade ORG_NAME apigee-org/ \
  --namespace apigee \
  --atomic \
  -f OVERRIDES_FILE.yaml
  • Wenn Sie den Cache-Schlüssel oder den KVM-Schlüssel für eine Umgebung ändern, aktualisieren Sie die Umgebung: 
    helm upgrade ENV_NAME apigee-env/ \
  --namespace apigee \
  --atomic \
  --set env=ENV_NAME \
  -f OVERRIDES_FILE.yaml
  • Wenn Sie KMS-Schlüssel ändern, aktualisieren Sie sowohl die Organisation als auch die Umgebung: 
    helm upgrade ORG_NAME apigee-org/ \
  --namespace apigee \
  --atomic \
  -f OVERRIDES_FILE.yaml

    helm upgrade ENV_NAME apigee-env/ \
  --namespace apigee \
  --set env=ENV_NAME \
  --atomic \
  -f OVERRIDES_FILE.yaml

Hinweis zur Abwärtskompatibilität

Wenn Sie die Verschlüsselungsschlüssel aus Ihrer Überschreibungsdatei bei der Erstinstallation von Apigee Hybrid entfernen, würden Sie die Verschlüsselung effektiv deaktivieren und die Werte werden unverschlüsselt gespeichert. Wenn Sie die Verschlüsselung zu einem späteren Zeitpunkt durch die Bereitstellung von Schlüsseln aktivieren, bleiben die vorhandenen Daten unverschlüsselt. Alle zukünftig hinzugefügten Daten werden jedoch verschlüsselt. Das System funktioniert weiterhin mit den unverschlüsselten Daten und den neuen verschlüsselten Daten.

Beachten Sie außerdem, dass Sie die Verschlüsselungsschlüssel später nicht mehr ändern können, sobald die Laufzeitdaten verschlüsselt sind.

So erstellen Sie einen codierten Schlüssel

Ein korrekt formatierter Base64-codierter Schlüssel ist für KVM-, KMS- und Cache-Verschlüsselung erforderlich. Der für diese Zwecke verwendete Schlüssel muss ein Base64-codierter String sein, der 16, 24 oder 32 Byte lang ist, wie nachstehend erklärt:

Mit dem folgenden Beispielbefehl wird ein geeigneter, zufällig generierter Base64-codierter String mit 32 Zeichen generiert: 

head -c 32 /dev/random | openssl base64