Enkripsi data

Saat ini Anda melihat versi 1.12 dari dokumentasi Apigee Hybrid. This version is end of life. You should upgrade to a newer version. Untuk mengetahui informasi selengkapnya, lihat Versi yang didukung.

Version 1.12 

   Supported versions:

• v1.15 (latest)                        
• v1.14                        
• v1.13                         
• List of supported versions

   Unsupported versions:

• v1.12                         
• v1.11                         
• v1.10                                      
• v1.9                                         
• v1.8                                         
• v1.7                                         
• v1.6                                         
• v1.5                                         
• v1.4                                         
• v1.3                                         
• v1.2                                         
• v1.1                                         

Secara default, data berikut disimpan dalam keadaan terenkripsi di bidang runtime hybrid:

• Data cache
• Data utama kontrak
• Data sistem pengelolaan kunci (KMS)
• Data peta nilai kunci (KVM)

Enkripsi data tidak memerlukan konfigurasi khusus dari Anda. Namun, jika karena alasan tertentu Anda ingin menggunakan kunci enkripsi Anda sendiri (menggantikan kunci default), Anda dapat melakukannya, seperti yang dijelaskan dalam topik ini.

Cakupan kunci enkripsi

Kunci enkripsi Apigee Hybrid memiliki cakupan. Misalnya, kunci KMS memiliki cakupan organisasi. Artinya, kunci tersebut digunakan untuk mengenkripsi data KMS untuk seluruh organisasi. Tabel berikut mencantumkan cakupan untuk setiap jenis kunci:

Kunci enkripsi	Cakupan
Kontrak	Khusus organisasi
KMS	Khusus organisasi
KVM	Organisasi atau lingkungan Jika kebijakan KVM menentukan cakupan apiproxy atau policy (revisi proxy API), kunci tingkat organisasi digunakan untuk mengenkripsi data. Untuk ringkasan umum tentang cara KVM digunakan di Apigee Edge, lihat Bekerja dengan peta nilai kunci.
Cache	Khusus lingkungan

Tentang kunci enkripsi default

Secara default, Apigee Hybrid menyediakan serangkaian kunci berenkode Base64 yang digunakan untuk mengenkripsi data kontrak, KVM, KMS, dan cache. Penginstal Apigee Hybrid menyimpan kunci di bidang runtime sebagai Secret Kubernetes, dan menggunakannya untuk mengenkripsi data Anda dengan enkripsi standar AES-128. Kunci berada di bawah kendali Anda; bidang pengelolaan hybrid tidak pernah mengetahuinya kapan pun.

Kunci default diterapkan ke semua komponen hybrid Apigee baru saat Anda membuatnya.

Kunci default akan berfungsi untuk sebagian besar kasus penggunaan. Jika Anda ingin mengubah kunci enkripsi default, lakukan saat Anda pertama kali menginstal Apigee hybrid ke cluster baru. Jika Anda mengubah kunci enkripsi setelah runtime dibuat di cluster, data yang dienkripsi sebelumnya tidak dapat lagi berfungsi (tidak dapat didekripsi); hanya data baru yang ditambahkan setelah perubahan yang akan dienkripsi dan berfungsi seperti yang diharapkan.

Mengubah kunci enkripsi default

Meskipun tidak diperlukan, Anda dapat mengubah kunci enkripsi default jika ingin. Untuk mengganti satu atau beberapa kunci default, ikuti langkah-langkah berikut:

Jika Anda mengubah kunci enkripsi setelah runtime dibuat di cluster, data yang dienkripsi sebelumnya tidak dapat lagi berfungsi (tidak dapat didekripsi); hanya data baru yang ditambahkan setelah perubahan yang akan dienkripsi dan berfungsi seperti yang diharapkan. Oleh karena itu, Apigee Hybrid tidak mendukung rotasi kunci untuk kunci ini.

1. Salin stanza berikut ke dalam file penggantian Anda. Konfigurasi ini memungkinkan Anda mengubah kunci enkripsi KMS dan KVM untuk tingkat organisasi serta kunci enkripsi KVM dan cache untuk tingkat lingkungan:

   defaults:
     org:
       kmsEncryptionKey: base64-encoded-key
       kvmEncryptionKey: base64-encoded-key
       contractEncryptionKey: base64-encoded-key
   
     env:
       kvmEncryptionKey: base64-encoded-key
       cacheEncryptionKey: base64-encoded-key

2. Buat kunci baru untuk setiap kunci yang ingin Anda ganti. Setiap kunci harus berupa string berenkode Base64 yang panjangnya tepat 16, 24, atau 32 byte. Lihat juga Cara membuat kunci yang dienkode.
3. Ganti kunci default dengan kunci baru. Dalam contoh ini, semua kunci default diganti dengan kunci:

   defaults:
     org:
       kmsEncryptionKey: "JVpTb1FwI0otUHo2RUdRN3pnVyQqVGlMSEFAJXYmb1c="
       kvmEncryptionKey: "T3VkRGM1U3cpOFgtNk9fMnNZU2NaSVA3I1BtZWxkaUU="
       contractEncryptionKey: "RDEyMzQ1Njc4OTAxMjM0NQ=="
     env:
       kvmEncryptionKey: "Q3h6M3R6OWdBeipxTURfKjQwQVdtTng2dU5mODFHcyE="
       cacheEncryptionKey: "b2NTVXdKKjBzN0NORF9XSm9tWFlYKGJ6NUhpNystJVI="

Mengganti tombol default

Anda dapat mengganti kunci untuk organisasi atau lingkungan tertentu yang disebutkan dalam file penggantian. Saat Anda membuat komponen, kunci yang Anda tentukan untuk organisasi atau masing-masing lingkungan akan menggantikan nilai default.

Jika Anda mengubah kunci enkripsi setelah runtime dibuat di cluster, data yang dienkripsi sebelumnya tidak dapat lagi berfungsi (tidak dapat didekripsi); hanya data baru yang ditambahkan setelah perubahan yang akan dienkripsi dan berfungsi seperti yang diharapkan. Oleh karena itu, Apigee Hybrid tidak mendukung rotasi kunci untuk kunci ini.

1. Salin stanza berikut ke dalam file penggantian Anda. Konfigurasi ini memungkinkan Anda mengubah kunci enkripsi KMS dan KVM untuk tingkat organisasi serta kunci enkripsi KVM dan cache untuk tingkat lingkungan:

   org:YOUR_ORG_NAME
   
   kmsEncryptionKey: base64-encoded-key
   kvmEncryptionKey: base64-encoded-key
   contractEncryptionKey: base64-encoded-key
   
   envs
     - name: ENV_NAME
       kvmEncryptionKey: base64-encoded-key
       cacheEncryptionKey: base64-encoded-key
   
     - name: 2ND_ENV_NAME
       kvmEncryptionKey: base64-encoded-key
       cacheEncryptionKey: base64-encoded-key

2. Buat kunci baru untuk setiap kunci yang ingin Anda ganti. Setiap kunci harus berupa string berenkode Base64 yang panjangnya tepat 16, 24, atau 32 byte. Lihat juga Cara membuat kunci yang dienkode.
3. Tentukan kunci yang ingin Anda ganti. Dalam contoh ini, semua kunci default diganti dengan kunci:

   org:hybrid-org
   
   kmsEncryptionKey: "QTEyMz1b2jc4OTAxMjM0NQ=="
   kvmEncryptionKey: "QzEyM2c3Njc4OTAxMjM0NQ=="
   contractEncryptionKey: "RDEyMzQ1Njc4OTAxMjM0NQ=="
   
   envs:
     - name: prod
       kvmEncryptionKey: "QzEyM2c3Njc4OTAxMjM0NQ=="
       cacheEncryptionKey: "QjEyAvC1Njc4OTAxMjM0NQ=="
   
   envs:
     - name: test
       kvmEncryptionKey: "A1b2C3d4E5f6G7h8I9j10K=="
       cacheEncryptionKey: "B1c2D3e4F5f6H7i8J9k10L=="

Menerapkan perubahan utama

Terapkan file penggantian ke cluster Anda dengan perintah Helm berikut:

• Jika Anda mengubah kunci kontrak atau kunci KVM untuk organisasi, perbarui organisasi:

  helm upgrade ORG_NAME apigee-org/ \
    --namespace apigee \
    --atomic \
    -f OVERRIDES_FILE.yaml
  

• Jika Anda mengubah Kunci cache atau kunci KVM untuk lingkungan, perbarui lingkungan:

  helm upgrade ENV_NAME apigee-env/ \
    --namespace apigee \
    --atomic \
    --set env=ENV_NAME \
    -f OVERRIDES_FILE.yaml
  

• Jika Anda mengubah kunci KMS, perbarui organisasi dan lingkungan:

  helm upgrade ORG_NAME apigee-org/ \
    --namespace apigee \
    --atomic \
    -f OVERRIDES_FILE.yaml
  

  helm upgrade ENV_NAME apigee-env/ \
    --namespace apigee \
    --set env=ENV_NAME \
    --atomic \
    -f OVERRIDES_FILE.yaml
  

Catatan: Jika Anda melihat error yang menyatakan Error: UPGRADE FAILED: "ENV_NAME" has no deployed releases, ganti upgrade dengan install, lalu coba lagi perintahnya.

Catatan tentang kompatibilitas mundur

Jika Anda menghapus kunci enkripsi dalam file penggantian saat pertama kali menginstal Apigee Hybrid, Anda akan menonaktifkan enkripsi secara efektif dan nilai akan disimpan tanpa dienkripsi. Jika di lain waktu Anda mengaktifkan enkripsi dengan memberikan kunci, data yang ada akan tetap tidak dienkripsi; namun, data yang ditambahkan di masa mendatang akan dienkripsi. Sistem akan terus berfungsi normal dengan data yang tidak dienkripsi dan data baru yang dienkripsi.

Selain itu, perhatikan bahwa Anda tidak dapat mengubah kunci enkripsi setelah data runtime dienkripsi.

Cara membuat kunci yang dienkode

Kunci berenkode Base64 yang diformat dengan benar diperlukan untuk enkripsi KVM, KMS, dan cache. Kunci yang digunakan untuk salah satu tujuan ini harus dienkode Base-64 dari string yang panjangnya 16, 24, atau 32 byte, seperti yang dijelaskan di bawah:

Persyaratan panjang string kunci ada karena sandi Advanced Encryption Standard (AES) berfungsi pada ukuran blok 128 bit, tetapi dapat menggunakan tiga panjang kunci yang berbeda: 128, 192, dan 256 bit (16, 24, atau 32 byte).

Contoh perintah berikut menghasilkan string 32 karakter yang sesuai dan dibuat secara acak, yang dienkode Base64:

head -c 32 /dev/random | openssl base64