Enkripsi data

Anda sedang melihat versi 1.3 Dokumentasi Apigee Hybrid. This version is end of life. You should upgrade to a newer version. Untuk mengetahui informasi selengkapnya, lihat Versi yang didukung.

Version 1.3 (unsupported)

Versi yang didukung:

• v1.13 (terbaru)                        
• v1.12                         
• v1.11                         
• Daftar versi yang didukung

Versi yang tidak didukung:

• v1.10                                      
• v1.9                                         
• v1.8                                         
• v1.7                                         
• v1.6                                         
• v1.5                                         
• v1.4                                         
• v1.3                                         
• v1.2                                         
• v1.1                                         

Secara default, data berikut disimpan dienkripsi dalam bidang runtime:

• Data sistem pengelolaan kunci (KMS)
• Data peta nilai kunci (KVM)
• Meng-cache data

Enkripsi data tidak memerlukan konfigurasi khusus di pihak Anda. Namun, jika karena beberapa alasan Anda ingin menggunakan kunci enkripsi Anda sendiri (menggantikan yang {i>default<i}) Anda dapat melakukannya, seperti yang dijelaskan dalam topik ini.

Cakupan kunci enkripsi

Kunci enkripsi untuk KMS, KVM, dan cache memiliki cakupan. Misalnya, kunci KMS memiliki organisasi ruang lingkup proyek. Artinya, kunci tersebut digunakan untuk mengenkripsi data KMS untuk seluruh organisasi. Tabel berikut mencantumkan cakupan untuk setiap jenis kunci:

Kunci enkripsi	Cakupan
KMS	Khusus organisasi
KVM	Organisasi atau lingkungan Jika kebijakan KVM menentukan apiproxy atau policy (revisi proxy API), organisasi digunakan untuk mengenkripsi data. Ringkasan umum tentang penggunaan KVM di Apigee Edge, lihat Menangani peta nilai kunci.
Cache	Khusus lingkungan

Tentang kunci enkripsi default

Secara default, Apigee Hybrid menyediakan sekumpulan kunci berenkode Base64 yang digunakan untuk mengenkripsi KVM, KMS, dan data cache. Penginstal hybrid Apigee menyimpan kunci di bidang runtime sebagai Kubernetes Rahasia, dan menggunakannya untuk mengenkripsi data Anda dengan enkripsi standar AES-128. Kunci berada di bawah kendali Anda; di bidang manajemen hybrid tidak menyadarinya.

Kunci default akan berfungsi untuk sebagian besar kasus penggunaan. Jika Anda ingin mengubah kunci enkripsi default, lakukanlah saat Anda pertama kali menginstal Apigee Hybrid ke cluster baru. Jika Anda mengubah kunci enkripsi setelah runtime dibuat di cluster, kunci enkripsi yang telah data tidak dapat lagi berfungsi (data tidak dapat didekripsi); hanya data baru yang ditambahkan setelah perubahan yang akan dienkripsi dan berfungsi sesuai harapan.

Mengubah kunci enkripsi default

Meskipun tidak wajib, Anda dapat mengubah kunci enkripsi default jika menginginkannya. Untuk mengganti satu atau beberapa kunci default, ikuti langkah-langkah berikut:

Jika Anda mengubah kunci enkripsi setelah runtime dibuat di cluster, kunci enkripsi yang telah data tidak dapat lagi berfungsi (data tidak dapat didekripsi); hanya data baru yang ditambahkan setelah perubahan yang akan terenkripsi dan berfungsi seperti yang diharapkan.

1. Salin stanza berikut ke file penggantian. Konfigurasi ini memungkinkan Anda mengubah kunci enkripsi KMS dan KVM untuk tingkat organisasi serta KVM dan kunci enkripsi cache untuk tingkat lingkungan:

   defaults:
     org:
       kmsEncryptionKey: base64-encoded-key
       kvmEncryptionKey: base64-encoded-key
     env:
       kvmEncryptionKey: base64-encoded-key
       cacheEncryptionKey: base64-encoded-key

2. Buat kunci baru untuk setiap kunci yang ingin Anda ganti. Masing-masing kunci harus berupa string berenkode Base64 yang panjangnya tepat 16, 24, atau 32 byte. Lihat juga Cara membuat .
3. Ganti kunci default dengan yang baru. Dalam contoh ini, semua kunci {i>default<i} ditetapkan diganti dengan kunci:

   defaults:
     org:
       kmsEncryptionKey: "JVpTb1FwI0otUHo2RUdRN3pnVyQqVGlMSEFAJXYmb1c="
       kvmEncryptionKey: "T3VkRGM1U3cpOFgtNk9fMnNZU2NaSVA3I1BtZWxkaUU="
     env:
       kvmEncryptionKey: "Q3h6M3R6OWdBeipxTURfKjQwQVdtTng2dU5mODFHcyE="
       cacheEncryptionKey: "b2NTVXdKKjBzN0NORF9XSm9tWFlYKGJ6NUhpNystJVI="

4. Terapkan file penggantian ke cluster Anda sebagai berikut:
   • Jika Anda mengubah kunci KVM atau Cache, hanya perbarui lingkungannya:

     $APIGEECTL_HOME/apigeectl apply -f overrides/overrides.yaml --env env_name

   • Jika Anda mengubah kunci KMS, perbarui organisasi dan lingkungan:

     $APIGEECTL_HOME/apigeectl apply -f overrides/overrides.yaml --env env_name --org org_name

Catatan tentang kompatibilitas mundur

Jika Anda menghapus kunci enkripsi dalam file penggantian, Anda menginstal Apigee Hybrid, menonaktifkan enkripsi secara efektif, dan nilai akan disimpan tanpa enkripsi. Jika nanti berapa kali Anda mengaktifkan enkripsi dengan menyediakan kunci, keluar dari data tetap tidak terenkripsi; Namun, setiap data mendatang yang ditambahkan akan dienkripsi. Sistem akan terus bekerja normal dengan data yang tidak terenkripsi dan enkripsi layanan otomatis dan data skalabel.

Perhatikan juga bahwa Anda tidak dapat mengubah kunci enkripsi kemudian setelah data runtime dienkripsi.

Cara membuat kunci yang dienkode

CATATAN: Anda harus membuat kunci dari karakter ASCII. Apigee Hybrid tidak mendukung penggunaan karakter yang tidak dapat dicetak, seperti karakter yang dihasilkan menggunakan perintah acak openssl.

Diperlukan kunci berenkode Base-64 yang diformat dengan benar untuk KVM, KMS, dan enkripsi cache. Kunci yang digunakan untuk tujuan ini harus dienkode ke Base-64 dari string yang bernilai 16, 24, atau Panjangnya 32 byte, seperti yang dijelaskan dalam langkah-langkah berikut:

Persyaratan panjang string kunci tersedia karena atribut Cipher Encryption Standard (AES) bekerja pada ukuran blok 128 bit, tetapi dapat memerlukan tiga jenis panjang kunci: 128, 192, dan 256 bit (16, 24, atau 32 byte).

Contoh perintah berikut menghasilkan teks 32 karakter yang cocok, String berenkode base64 yang tidak menyertakan karakter yang tidak dapat dicetak:

LC_ALL=C tr -dc A-Za-z0-9_\!\@\#\$\%\^\&\*\(\)\\-+= < /dev/urandom | head -c 32  | openssl base64
PSFvX0BPc1Z2NVklcXdxcF8xR0N4MV4temFveStITU4=

atau

LC_ALL=C tr -dc "[:print:]" < /dev/urandom | head -c 32 | openssl base64