Conjur

Maintainability Test Coverage

Conjur bietet Secret-Management und Anwendungsidentität für moderne Infrastruktur:

• Machine Authorization Markup Language ("MAML"), eine rollenbasierte Zugriffsrichtliniensprache zur Definition von Systemkomponenten und deren Rollen, Berechtigungen und Metadaten
• Ein REST-Webdienst um:
  • Identitätslebenszyklen für Menschen und Maschinen zu verwalten
  • Rollen und Daten in Ihrer Secrets-Infrastruktur zu organisieren und zu durchsuchen
  • Zugriff auf Ressourcen mittels eines anspruchsvollen Berechtigungsmodells zu autorisieren
  • Secrets zu speichern und sie sicher verfügbar zu machen
• Integrationen in der gesamten Cloud-Toolchain:
  • Infrastructure as a Service (IaaS)
  • Konfigurationsmanagement
  • Continuous Integration und Deployment (CI/CD)
  • Container-Management und Cloud-Orchestrierung

Hinweis: Unsere Badges und Social-Media-Buttons verfolgen Sie nicht.

• Erste Schritte
  • Kompatibilität
• Community-Support
• Migration zu CyberArk Secrets Manager, Self-Hosted
• Architektur
  • Datenbank
    • Die Umgebungsvariable DATABASE_URL
    • Datenbankinitialisierung
  • Authentifikatoren
  • Rotatoren
  • Secrets und Schlüssel
    • Wichtig: Datenverlust vermeiden
  • Kontoverwaltung
• Versionierung
• Mitwirken
• Lizenz

Inhaltsverzeichnis generiert mit markdown-toc

Erste Schritte

Bitte lesen Sie unseren Quick Start Guide für detaillierte Informationen zur erstmaligen Verwendung von Conjur Open Source, oder lesen Sie die Conjur-Dokumentation für spezifische Anleitungen zu Einrichtung, Integrationen, Verwaltung und mehr.

Kompatibilität

Wir empfehlen dringend, die Version dieses Projekts aus dem neuesten Conjur Open Source Suite-Release auszuwählen. Conjur-Maintainer führen zusätzliche Tests zu den Suite-Release-Versionen durch, um die Kompatibilität sicherzustellen. Aktualisieren Sie, wenn möglich, Ihre Conjur-Version auf das neueste Suite-Release; verwenden Sie bei Integrationen das neueste Suite-Release, das zu Ihrer Conjur-Version passt.

Wenn Sie Ihren Conjur-Server in einer Docker-Compose-Umgebung auf die neueste Suite-Release-Version aktualisieren, lesen Sie bitte die Upgrade-Anweisungen. Bei Fragen kontaktieren Sie uns bitte auf Discourse.

Community-Support

Unser primärer Kanal für Support ist unsere CyberArk Commons Community hier

Migration zu CyberArk Secrets Manager, Self-Hosted

Das Migrieren von Daten von Conjur Open Source zu CyberArk Secrets Manager, Self-Hosted ist einfach mit unserer Migrationsanleitung

Architektur

Conjur ist dafür ausgelegt, in einem oder mehreren Docker-Containern zu laufen, wobei PostgreSQL als zugrunde liegender Datenspeicher verwendet wird. Es ist einfach, sowohl Conjur als auch PostgreSQL in Docker auszuführen; siehe das demo-Verzeichnis für ein Beispiel.

• Hinweis: Conjur ist kompatibel mit PostgreSQL 15.

Datenbank

Die Umgebungsvariable DATABASE_URL

Conjur verwendet die Umgebungsvariable DATABASE_URL, um eine Verbindung zur Datenbank herzustellen. Typische Optionen für diese URL sind:

• Lokaler verknüpfter pg-Container
• Externe verwaltete Datenbank wie AWS RDS.

Datenbankinitialisierung

Conjur erstellt und/oder aktualisiert das Datenbankschema automatisch beim Start. Migrationsskripte befinden sich im Verzeichnis db/migrate.

Authentifikatoren

Conjur macht es einfach:

• Integrierte Authentifikatoren zu aktivieren und zu deaktivieren
• Den Zugriff auf Authentifikatoren mithilfe von Richtliniendateien zu sichern
• Benutzerdefinierte Authentifikatoren zu erstellen

Ausführliche Dokumentation zum Authentifikatordesign

Rotatoren

Conjur macht es einfach:

• Variablen regelmäßig mit integrierten Rotatoren zu rotieren
• Benutzerdefinierte Rotatoren zu erstellen

Ausführliche Dokumentation zum Rotatordesign

Secrets und Schlüssel

Hauptartikel: Conjur-Kryptografie

Conjur verwendet branchenübliche Kryptografie, um Ihre Daten zu schützen.

Einige Operationen erfordern die Speicherung und Verwaltung verschlüsselter Daten. Zum Beispiel:

• Rollen können zugehörige API-Schlüssel haben, die verschlüsselt in der Datenbank gespeichert werden
• die Funktion authenticate gibt ein signiertes JSON-Token aus; der Signaturschlüssel ist ein 2048-Bit-RSA-Schlüssel, der verschlüsselt in der Datenbank gespeichert wird

Daten werden in und aus der Datenbank mit Slosilo verschlüsselt, einer Bibliothek, die Folgendes bietet:

• symmetrische Verschlüsselung mittels AES-256-GCM
• ein Ruby-Klassen-Mixin für die einfache Verschlüsselung von Objektattributen in der Datenbank
• asymmetrische Verschlüsselung und Signierung
• einen Schlüsselspeicher in einer PostgreSQL-Datenbank für einfache Speicherung und Abruf von Schlüsseln

Slosilo wurde durch ein professionelles kryptografisches Audit verifiziert. Fragen Sie in unserer CyberArk Commons Community nach weiteren Details. (Sie können hier beitreten.)

Wichtig: Datenverlust vermeiden

Wenn Sie Conjur starten, müssen Sie einen Base64-kodierten Master-Datenschlüssel in der Umgebungsvariablen CONJUR_DATA_KEY bereitstellen. Sie können einen Datenschlüssel mit dem folgenden Befehl generieren:

$ docker run --rm conjur data-key generate

Verlieren Sie DEN Datenschlüssel NICHT, sonst sind alle verschlüsselten Daten unwiederbringlich verloren.

Kontoverwaltung

Conjur unterstützt den gleichzeitigen Betrieb mehrerer separater Konten innerhalb derselben Datenbank. Mit anderen Worten: Es ist multi-tenant-fähig.

Jedes Konto (auch "Organisationskonto" genannt) hat seinen eigenen privaten Token-Signaturschlüssel. Wenn eine Rolle authentifiziert wird, wird der HMAC des Zugriffstokens mit dem Signaturschlüssel des Kontos der Rolle berechnet.

Konten können über den Dienst /accounts aufgelistet, erstellt und gelöscht werden. Die Berechtigung zur Nutzung dieses Dienstes wird durch die integrierte Ressource !:webservice:accounts gesteuert. Beachten Sie, dass ! selbst ein Organisationskonto ist, und daher können Berechtigungen für !:webservice:accounts über Conjur-Richtlinien verwaltet werden.

Versionierung

Ab Version 0.1.0 folgt dieses Projekt Semantischer Versionierung.

Mitwirken

Wenn Sie daran interessiert sind, Conjur lokal auszuführen und zu erfahren, wie es funktioniert, lesen Sie bitte unseren Contributing Guide. Er enthält hilfreiche Anleitungen für die Conjur-Entwicklung und Fehlersuche, einschließlich:

• Entwicklungsvoraussetzungen
• Erstellen von Conjur als Docker-Image
• Einrichten einer lokalen Entwicklungsumgebung
• Ausführen der Test-Suiten
• Pull-Request-Workflow
• Style Guide
• Changelog-Pflege

Wenn Sie Fragen haben, eröffnen Sie bitte ein Issue oder fragen Sie uns auf Discourse.

Lizenz

Der Conjur-Server (also der Code in diesem Repository) ist unter der GNU LGPL v3.0 der Free Software Foundation lizenziert. Diese Lizenz wurde gewählt, um sicherzustellen, dass alle Beiträge zum Conjur-Server der Community zur Verfügung gestellt werden. Kommerzielle Lizenzen sind auch von CyberArk erhältlich.

Die Conjur-API-Clients und andere Erweiterungen sind unter der Apache Software License v2.0 lizenziert.

Copyright (c) 2020 CyberArk Software Ltd. Alle Rechte vorbehalten.