Habilita la encriptación de claves secretas

En este documento, se explica cómo habilitar la encriptación de los secretos de consumidor (credenciales de cliente) de la app para desarrolladores almacenados en la base de datos de Cassandra.

Descripción general

Tradicionalmente, Apigee Edge para nube privada proporcionaba encriptación opcional para los datos del mapa de pares clave-valor (KVM) y los tokens de acceso de OAuth.

En la siguiente tabla, se describen las opciones de encriptación de los datos en reposo en Apigee para nube privada:

Para habilitar la encriptación de las credenciales del cliente, debes realizar las siguientes tareas en todos los nodos del Message Processor y del servidor de administración:

• Crea un almacén de claves para almacenar una clave de encriptación de claves (KEK). Apigee usa esta clave encriptada para encriptar las claves secretas necesarias para encriptar tus datos.
• Edita las propiedades de configuración en todos los nodos del servidor de administración y del Message Processor.
• Crea una app de desarrollador para activar la creación de claves.
• Reinicia los nodos.

Estas tareas se explican en este documento.

Qué necesitas saber sobre la función de encriptación de claves

En los pasos de este documento, se explica cómo habilitar la función de KEK, que permite que Apigee encripte las claves secretas que se usan para encriptar los secretos del consumidor de la app para desarrolladores cuando se almacenan en reposo en la base de datos de Cassandra.

De forma predeterminada, los valores existentes en la base de datos no se modificarán (en texto sin formato) y seguirán funcionando como antes.

Si realizas alguna operación de escritura en una entidad sin encriptar, se encriptará cuando se guarde la operación. Por ejemplo, si revocas un token sin encriptar y, luego, lo apruebas, el token recién aprobado se encriptará.

Protege las claves

Asegúrate de almacenar una copia del almacén de claves en el que se almacena la KEK en una ubicación segura. Te recomendamos que uses tu propio mecanismo seguro para guardar una copia del almacén de claves. Como se explica en las instrucciones de este documento, se debe colocar un almacén de claves en cada nodo de Message Processor y del servidor de administración en el que el archivo de configuración local pueda hacer referencia a él. Sin embargo, también es importante almacenar una copia del almacén de claves en otro lugar para guardarla de forma segura y como copia de seguridad.

Habilita la encriptación de claves

Sigue estos pasos para encriptar la clave secreta del consumidor:

Requisitos previos

Debes cumplir con estos requisitos antes de realizar los pasos de este documento:

• Debes instalar o actualizar a Apigee Edge para nube privada 4.50.00.10 o una versión posterior.
• Debes ser administrador de Apigee Edge para nube privada.

Paso 1: Genera un almacén de claves

Sigue estos pasos para crear un almacén de claves que contenga la clave de encriptación de claves (KEK):

1. Ejecuta el siguiente comando para generar un almacén de claves que guarde una clave que se usará para encriptar la KEK. Ingresa el comando exactamente como se muestra. (puedes proporcionar el nombre de almacén de claves que desees):
   

   keytool -genseckey -alias KEYSTORE_NAME -keyalg AES -keysize 256 \
   -keystore kekstore.p12 -storetype PKCS12

   Cuando se te solicite, ingresa una contraseña. Usarás esta contraseña en secciones posteriores cuando configures el servidor de administración y el Message Processor.

   Este comando genera un archivo de almacén de claves kekstore.p12 que contiene una clave con el alias KEYSTORE_NAME.

2. Verifica que el archivo se haya generado correctamente con el siguiente comando (opcional). Si el archivo es correcto, el comando devuelve una clave con el alias KEYSTORE_NAME:

   keytool -list -keystore kekstore.p12

Paso 2: Configura el servidor de administración

A continuación, configura el servidor de administración. Si tienes servidores de administración instalados en varios nodos, debes repetir estos pasos en cada nodo.

1. Copia el archivo del almacén de claves que generaste en el paso 1 en un directorio del nodo del servidor de administración, como /opt/apigee/customer/application. Por ejemplo:

   cp certs/kekstore.p12 /opt/apigee/customer/application

2. Asegúrate de que el usuario apigee pueda leer el archivo:

   chown apigee:apigee /opt/apigee/customer/application/kekstore.p12

   chmod 400 /opt/apigee/customer/application/kekstore.p12

3. Agrega las siguientes propiedades a /opt/apigee/customer/application/management-server.properties. Si el archivo no existe, créalo. Consulta también la referencia del archivo de propiedades.
   

   conf_keymanagement_kmscred.encryption.enabled=true
   
   # Fallback is true to ensure your existing plaintext credentials continue to work
   conf_keymanagement_kmscred.encryption.allowFallback=true
   
   conf_keymanagement_kmscred.encryption.keystore.path=PATH_TO_KEYSTORE_FILE
   conf_keymanagement_kmscred.encryption.kek.alias=KEYSTORE_NAME
   
   # These could alternately be set as environment variables. These variables should be
   # accessible to Apigee user during bootup of the Java process. If environment
   # variables are specified, you can skip the password configs below.
   # KMSCRED_ENCRYPTION_KEYSTORE_PASS=
   # KMSCRED_ENCRYPTION_KEK_PASS=
   See also Using environment variables for configuration properties.
   
   conf_keymanagement_kmscred.encryption.keystore.pass=KEYSTORE_PASSWORD
   conf_keymanagement_kmscred.encryption.kek.pass=KEK_PASSWORD

   Ten en cuenta que la KEK_PASSWORD puede ser la misma que la KEYSTORE_PASSWORD, según la herramienta que se use para generar el almacén de claves.

4. Reinicia el servidor de administración con los siguientes comandos:

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server restart

   /opt/apigee/apigee-service/bin/apigee-service edge-management-server wait_for_ready

   El comando wait_for_ready devuelve el siguiente mensaje cuando el servidor de administración está listo:

   Checking if management-server is up: management-server is up.

5. Si tienes servidores de administración instalados en varios nodos, repite los pasos del 1 al 4 anteriores en cada nodo del servidor de administración.

Paso 3: Crea una app de desarrollador

Ahora que los servidores de administración están actualizados, debes crear una app de desarrollador para activar la generación de la clave que se usa para encriptar los datos de las credenciales del cliente:

1. Crea una app de desarrollador para activar la creación de una clave de encriptación de datos (KEK). Para conocer los pasos, consulta Registra una app.
2. Borra la app de desarrollador si lo deseas. No es necesario que la conserves una vez que se genere la clave de encriptación.

Paso 4: Configura los Message Processors

Hasta que se habilite la encriptación en los Message Processors, las solicitudes de entorno de ejecución no podrán procesar ninguna credencial encriptada.

1. Copia el archivo del almacén de claves que generaste en el paso 1 en un directorio del nodo del Message Processor, como /opt/apigee/customer/application. Por ejemplo:

   cp certs/kekstore.p12 /opt/apigee/customer/application

2. Asegúrate de que el usuario apigee pueda leer el archivo:

   chown apigee:apigee /opt/apigee/customer/application/kekstore.p12

3. Agrega las siguientes propiedades a /opt/apigee/customer/application/message-processor.properties. Si el archivo no existe, créalo. Consulta también la referencia del archivo de propiedades.

   conf_keymanagement_kmscred.encryption.enabled=true
   
   # Fallback is true to ensure your existing plaintext credentials continue to work
   conf_keymanagement_kmscred.encryption.allowFallback=true
   
   conf_keymanagement_kmscred.encryption.keystore.path=PATH_TO_KEYSTORE_FILE
   conf_keymanagement_kmscred.encryption.kek.alias=KEYSTORE_NAME
   
   # These could alternately be set as environment variables. These variables should be
   # accessible to Apigee user during bootup of the Java process. If environment
   # variables are specified, you can skip the password configs below.
   # KMSCRED_ENCRYPTION_KEYSTORE_PASS=
   # KMSCRED_ENCRYPTION_KEK_PASS=
   See also Using environment variables for configuration properties.
   
   
   conf_keymanagement_kmscred.encryption.keystore.pass=KEYSTORE_PASSWORD
   conf_keymanagement_kmscred.encryption.kek.pass=KEK_PASSWORD

   Ten en cuenta que el KEK_PASSWORD puede ser el mismo que el KEYSTORE_PASSWORD, según la herramienta que se use para generar el almacén de claves.

4. Reinicia el Message Processor con los siguientes comandos:

   /opt/apigee/apigee-service/bin/apigee-service edge-message-processor restart

   /opt/apigee/apigee-service/bin/apigee-service edge-message-processor wait_for_ready

   El comando wait_for_ready devuelve el siguiente mensaje cuando el Message Processor está listo para procesar mensajes:

   Checking if message-processor is up: message-processor is up.

5. Si tienes Message Processors instalados en varios nodos, repite los pasos del 1 al 4 en cada nodo de Message Processor.

Resumen

Todas las apps de desarrollador que crees a partir de ahora tendrán su secreto de credencial encriptado en reposo en la base de datos de Cassandra.

Usa variables de entorno para las propiedades de configuración

Como alternativa, puedes establecer las siguientes propiedades de configuración del Message Processor y del servidor de administración con variables de entorno. Si se configuran, las variables de entorno anulan las propiedades establecidas en el archivo de configuración del Message Processor o del servidor de administración.

conf_keymanagement_kmscred.encryption.keystore.pass=
conf_keymanagement_kmscred.encryption.kek.pass=

Las variables de entorno correspondientes son las siguientes:

export KMSCRED_ENCRYPTION_KEYSTORE_PASS=KEYSTORE_PASSWORD

export KMSCRED_ENCRYPTION_KEK_PASS=KEK_PASSWORD

Si configuras estas variables de entorno, puedes omitir estas propiedades de configuración de los archivos de configuración en los nodos del Message Processor y del servidor de administración, ya que se ignorarán:

conf_keymanagement_kmscred.encryption.keystore.pass
conf_keymanagement_kmscred.encryption.kek.pass

Referencia del archivo de propiedades

En esta sección, se describen las propiedades de configuración que debes establecer en todos los nodos del procesador de mensajes y del servidor de administración, como se explicó antes en este documento.