Conjur

Maintainability Test Coverage

Conjur proporciona gestión de secretos e identidad de aplicaciones para infraestructura moderna:

• Machine Authorization Markup Language ("MAML"), un lenguaje de políticas de acceso basado en roles para definir componentes del sistema y sus roles, privilegios y metadatos
• Un servicio web REST para:
  • gestionar ciclos de vida de identidad para humanos y máquinas
  • organizar y buscar roles y datos en tu infraestructura de secretos
  • autorizar el acceso a recursos mediante un modelo de permisos sofisticado
  • almacenar secretos y ponerlos a disposición de forma segura
• Integraciones a lo largo de la cadena de herramientas en la nube:
  • infraestructura como servicio (IaaS)
  • gestión de configuración
  • integración y despliegue continuos (CI/CD)
  • gestión de contenedores y orquestación en la nube

Nota: nuestras insignias y botones de redes sociales nunca te rastrean.

• Getting Started
  • Compatibility
• Community Support
• Migrating to CyberArk Secrets Manager, Self-Hosted
• Architecture
  • Database
    • DATABASE_URL environment variable
    • Database initialization
  • Authenticators
  • Rotators
  • Secrets and keys
    • Important: avoid data loss
  • Account management
• Versioning
• Contributing
• License

Tabla de contenidos generada con markdown-toc

Primeros pasos

Consulte nuestra Guía de inicio rápido para obtener información detallada sobre el uso de Conjur Open Source por primera vez, o consulte la documentación de Conjur para guías específicas sobre configuración, integraciones, administración y más.

Compatibilidad

Recomendamos encarecidamente elegir la versión de este proyecto a partir de la última versión del conjunto de Conjur Open_Source. Los mantenedores de Conjur realizan pruebas adicionales en las versiones del conjunto para garantizar la compatibilidad. Cuando sea posible, actualice su versión de Conjur para que coincida con la última versión del conjunto; al usar integraciones, elija la última versión del conjunto que coincida con su versión de Conjur.

Al actualizar su servidor Conjur que se ejecuta en un entorno Docker Compose a la última versión del conjunto, revise las instrucciones de actualización. Para cualquier pregunta, contáctenos en Discourse.

Soporte comunitario

Nuestro canal principal de soporte es a través de nuestra comunidad CyberArk Commons aquí

Migración a CyberArk Secrets Manager, Self-Hosted

Migrar datos de Conjur Open Source a CyberArk Secrets Manager, Self-Hosted es simple usando nuestra guía de migración

Arquitectura

Conjur está diseñado para ejecutarse en uno o más contenedores Docker, utilizando PostgreSQL como almacén de datos subyacente. Es fácil ejecutar tanto Conjur como PostgreSQL en Docker; consulte el directorio demo para ver un ejemplo.

• Nota: Conjur es compatible con PostgreSQL 15.

Base de datos

Variable de entorno DATABASE_URL

Conjur utiliza la variable de entorno DATABASE_URL para conectarse a la base de datos. Opciones típicas para esta URL son:

• Contenedor pg local enlazado
• Base de datos externa gestionada como AWS RDS.

Inicialización de la base de datos

Conjur crea y/o actualiza automáticamente el esquema de la base de datos al iniciar. Los scripts de migración se encuentran en el directorio db/migrate.

Autenticadores

Conjur facilita:

• Activar y desactivar autenticadores integrados
• Asegurar el acceso a los autenticadores mediante archivos de políticas
• Crear autenticadores personalizados

Documentación detallada de diseño de autenticadores

Rotadores

Conjur facilita:

• Rotar variables regularmente usando rotadores integrados
• Crear rotadores personalizados

Documentación detallada de diseño de rotadores

Secretos y claves

Artículo principal: Criptografía de Conjur

Conjur utiliza criptografía estándar de la industria para proteger sus datos.

Algunas operaciones requieren almacenamiento y gestión de datos cifrados. Por ejemplo:

• Los roles pueden tener claves API asociadas, que se almacenan cifradas en la base de datos
• la función authenticate emite un token JSON firmado; la clave de firma es una clave RSA de 2048 bits que se almacena cifrada en la base de datos

Los datos se cifran dentro y fuera de la base de datos utilizando Slosilo, una biblioteca que proporciona:

• cifrado simétrico usando AES-256-GCM
• un mixin de clase Ruby para cifrar fácilmente atributos de objetos en la base de datos
• cifrado y firma asimétricos
• un almacén de claves en una base de datos PostgreSQL para almacenar y recuperar claves fácilmente

Slosilo ha sido verificado mediante una auditoría criptográfica profesional. Pregunte en nuestra comunidad CyberArk Commons para más detalles. (Puede unirse aquí.)

Importante: evite la pérdida de datos

Al iniciar Conjur, debe proporcionar una clave maestra de datos codificada en Base64 en la variable de entorno CONJUR_DATA_KEY. Puede generar una clave de datos con el siguiente comando:

$ docker run --rm conjur data-key generate

NO pierda la clave de datos, o todos los datos cifrados serán irrecuperables.

Gestión de cuentas

Conjur admite la operación simultánea de múltiples cuentas separadas dentro de la misma base de datos. En otras palabras, es multiinquilino.

Cada cuenta (también llamada "cuenta de organización") tiene su propia clave privada de firma de tokens. Cuando se autentica un rol, el HMAC del token de acceso se calcula utilizando la clave de firma de la cuenta del rol.

Las cuentas pueden ser listadas, creadas y eliminadas a través del servicio /accounts. El permiso para usar este servicio está controlado por el recurso integrado !:webservice:accounts. Tenga en cuenta que ! es en sí misma una cuenta de organización, y por lo tanto los privilegios sobre !:webservice:accounts pueden gestionarse mediante políticas de Conjur.

Versionado