Enkripsi data

Anda saat ini melihat versi 1.9 dari Dokumentasi Apigee Hybrid. Untuk mengetahui informasi selengkapnya, lihat Versi yang didukung.

Version 1.9 (unsupported)

Versi yang didukung:

• v1.13 (terbaru)                        
• v1.12                         
• v1.11                         
• Daftar versi yang didukung

Versi yang tidak didukung:

• v1.10                                      
• v1.9                                         
• v1.8                                         
• v1.7                                         
• v1.6                                         
• v1.5                                         
• v1.4                                         
• v1.3                                         
• v1.2                                         
• v1.1                                         

Secara default, data berikut disimpan dienkripsi dalam bidang runtime:

• Data sistem pengelolaan kunci (KMS)
• Data peta nilai kunci (KVM)
• Meng-cache data

Enkripsi data tidak memerlukan konfigurasi khusus di pihak Anda. Namun, jika karena beberapa alasan Anda ingin menggunakan kunci enkripsi Anda sendiri (menggantikan yang {i>default<i}) Anda dapat melakukannya, seperti yang dijelaskan dalam topik ini.

Cakupan kunci enkripsi

Kunci enkripsi untuk KMS, KVM, dan cache memiliki cakupan. Misalnya, kunci KMS memiliki organisasi ruang lingkup proyek. Artinya, kunci tersebut digunakan untuk mengenkripsi data KMS untuk seluruh organisasi. Tabel berikut mencantumkan cakupan untuk setiap jenis kunci:

Kunci enkripsi	Cakupan
KMS	Khusus organisasi
KVM	Organisasi atau lingkungan Jika kebijakan KVM menentukan apiproxy atau policy (revisi proxy API), organisasi digunakan untuk mengenkripsi data. Ringkasan umum tentang penggunaan KVM di Apigee Edge, lihat Menangani peta nilai kunci.
Cache	Khusus lingkungan

Tentang kunci enkripsi default

Secara default, Apigee Hybrid menyediakan sekumpulan kunci berenkode Base64 yang digunakan untuk mengenkripsi KVM, KMS, dan data cache. Penginstal hybrid Apigee menyimpan kunci di bidang runtime sebagai Kubernetes Rahasia, dan menggunakannya untuk mengenkripsi data Anda dengan enkripsi standar AES-128. Kunci berada di bawah kendali Anda; di bidang manajemen hybrid tidak menyadarinya.

Kunci default akan berfungsi untuk sebagian besar kasus penggunaan. Jika Anda ingin mengubah kunci enkripsi default, lakukanlah saat Anda pertama kali menginstal Apigee Hybrid ke cluster baru. Jika Anda mengubah kunci enkripsi setelah runtime dibuat di cluster, kunci enkripsi yang telah data tidak dapat lagi berfungsi (data tidak dapat didekripsi); hanya data baru yang ditambahkan setelah perubahan yang akan dienkripsi dan berfungsi sesuai harapan.

Mengubah kunci enkripsi default

Meskipun tidak wajib, Anda dapat mengubah kunci enkripsi default jika menginginkannya. Untuk mengganti satu atau beberapa kunci default, ikuti langkah-langkah berikut:

Jika Anda mengubah kunci enkripsi setelah runtime dibuat di cluster, kunci enkripsi yang telah data tidak dapat lagi berfungsi (data tidak dapat didekripsi); hanya data baru yang ditambahkan setelah perubahan yang akan terenkripsi dan berfungsi seperti yang diharapkan.

1. Salin stanza berikut ke file penggantian. Konfigurasi ini memungkinkan Anda mengubah kunci enkripsi KMS dan KVM untuk tingkat organisasi serta KVM dan kunci enkripsi cache untuk tingkat lingkungan:

   defaults:
     org:
       kmsEncryptionKey: base64-encoded-key
       kvmEncryptionKey: base64-encoded-key
     env:
       kvmEncryptionKey: base64-encoded-key
       cacheEncryptionKey: base64-encoded-key

2. Buat kunci baru untuk setiap kunci yang ingin Anda ganti. Masing-masing kunci harus berupa string berenkode Base64 yang panjangnya tepat 16, 24, atau 32 byte. Lihat juga Cara membuat .
3. Ganti kunci default dengan yang baru. Dalam contoh ini, semua kunci {i>default<i} ditetapkan diganti dengan kunci:

   defaults:
     org:
       kmsEncryptionKey: "JVpTb1FwI0otUHo2RUdRN3pnVyQqVGlMSEFAJXYmb1c="
       kvmEncryptionKey: "T3VkRGM1U3cpOFgtNk9fMnNZU2NaSVA3I1BtZWxkaUU="
     env:
       kvmEncryptionKey: "Q3h6M3R6OWdBeipxTURfKjQwQVdtTng2dU5mODFHcyE="
       cacheEncryptionKey: "b2NTVXdKKjBzN0NORF9XSm9tWFlYKGJ6NUhpNystJVI="

4. Terapkan file penggantian ke cluster Anda sebagai berikut:
   • Jika Anda mengubah kunci KVM atau Cache, hanya perbarui lingkungannya:

     $APIGEECTL_HOME/apigeectl apply -f overrides/overrides.yaml --env env_name

   • Jika Anda mengubah kunci KMS, perbarui organisasi dan lingkungan:

     $APIGEECTL_HOME/apigeectl apply -f overrides/overrides.yaml --env env_name --org org_name

5. Mulai ulang pod apigee-runtime dan apigee-mart.

Catatan tentang kompatibilitas mundur

Saat pertama kali menginstal Apigee Hybrid, kunci enkripsi default akan digunakan. Jika Anda ingin menghapus kunci enkripsi, Anda akan menonaktifkan enkripsi secara efektif dan nilai-nilai berikutnya akan disimpan tanpa enkripsi. Jika nanti berapa kali Anda mengaktifkan enkripsi dengan menyediakan kunci, data apa pun yang tidak dienkripsi yang ada tetap tidak terenkripsi; Namun, setiap data mendatang yang ditambahkan akan dienkripsi. Sistem akan terus bekerja normal dengan data yang tidak terenkripsi dan enkripsi layanan otomatis dan data skalabel.

Perhatikan juga bahwa Anda tidak dapat mengubah kunci enkripsi kemudian setelah data runtime dienkripsi.

Cara membuat kunci yang dienkode

Diperlukan kunci berenkode Base-64 yang diformat dengan benar untuk KVM, KMS, dan enkripsi cache. Kunci yang digunakan untuk tujuan ini harus dienkode ke Base-64 dari string yang bernilai 16, 24, atau dengan panjang 32 byte, seperti yang dijelaskan di bawah ini:

Catatan: Jika Anda menggunakan Apigee Hybrid versi 1.9.0, maka instance kunci hanya boleh menyertakan karakter yang dapat dicetak. Contoh:

tr -dc 'A-Za-z0-9' < /dev/urandom | head -c 32 | openssl base64
  RjdJNmFGR2lFR0U5TmhvOWxFcTNYOGJsbm0wb3AzNXk=

Dengan versi 1.9.1 dan yang lebih baru, karakter yang dapat dicetak dan tidak dicetak diizinkan.

Persyaratan panjang string kunci ada karena konfigurasi Cipher Encryption Standard (AES) bekerja pada ukuran blok 128 bit, tetapi dapat memerlukan tiga jenis panjang kunci: 128, 192, dan 256 bit (16, 24, atau 32 byte).

Perintah di bawah ini akan menghasilkan karakter 32 karakter, String berenkode base64:

head -c 32 /dev/random | openssl base64