Conjur

Maintainability Test Coverage

Conjur fornece gerenciamento de segredos e identidade de aplicações para infraestrutura moderna:

• Linguagem de Marcação de Autorização de Máquina ("MAML"), uma linguagem de política de acesso baseada em papéis para definir componentes do sistema e seus papéis, privilégios e metadados
• Um serviço web REST para:
  • gerenciar ciclos de vida de identidade para humanos e máquinas
  • organizar e pesquisar papéis e dados em sua infraestrutura de segredos
  • autorizar acesso a recursos usando um modelo de permissão sofisticado
  • armazenar segredos e disponibilizá-los de forma segura
• Integrações em toda a cadeia de ferramentas em nuvem:
  • infraestrutura como serviço (IaaS)
  • gerenciamento de configuração
  • integração e implantação contínuas (CI/CD)
  • gerenciamento de contêineres e orquestração em nuvem

Nota: nossos selos e botões de mídia social nunca rastreiam você.

• Introdução
  • Compatibilidade
• Suporte da Comunidade
• Migração para o CyberArk Secrets Manager, Self-Hosted
• Arquitetura
  • Banco de Dados
    • Variável de ambiente DATABASE_URL
    • Inicialização do banco de dados
  • Autenticadores
  • Rotacionadores
  • Segredos e chaves
    • Importante: evite perda de dados
  • Gerenciamento de contas
• Versionamento
• Contribuindo
• Licença

Índice gerado com markdown-toc

Introdução

Consulte nosso Guia de Início Rápido para informações detalhadas sobre o uso do Conjur Open Source pela primeira vez, ou, consulte a documentação do Conjur para guias específicos sobre configuração, integrações, administração e mais.

Compatibilidade

Nós recomendamos fortemente escolher a versão deste projeto para usar a partir da mais recente versão da suíte Conjur Open Source. Os mantenedores do Conjur realizam testes adicionais nas versões da suíte para garantir compatibilidade. Quando possível, atualize sua versão do Conjur para corresponder à versão mais recente da suíte; ao usar integrações, escolha a versão mais recente da suíte que corresponda à sua versão do Conjur.

Ao atualizar seu servidor Conjur em execução em um ambiente Docker Compose para a versão mais recente da suíte, revise as instruções de atualização. Para qualquer dúvida, entre em contato conosco no Discourse.

Suporte da Comunidade

Nosso principal canal de suporte é através da nossa comunidade CyberArk Commons aqui

Migração para o CyberArk Secrets Manager, Self-Hosted

Migrar dados do Conjur Open Source para o CyberArk Secrets Manager, Self-Hosted é simples usando nosso guia de migração

Arquitetura

Conjur foi projetado para ser executado em um ou mais contêineres Docker, usando PostgreSQL como armazenamento de dados de apoio. É fácil executar tanto o Conjur quanto o PostgreSQL no Docker; veja o diretório demo para um exemplo.

• Nota: Conjur é compatível com PostgreSQL 15.

Banco de Dados

Variável de ambiente DATABASE_URL

O Conjur usa a variável de ambiente DATABASE_URL para se conectar ao banco de dados. Opções típicas para esta URL são:

• Contêiner pg local vinculado
• Banco de dados externo gerenciado, como AWS RDS.

Inicialização do banco de dados

O Conjur cria e/ou atualiza o esquema do banco de dados automaticamente quando inicia. Os scripts de migração estão localizados no diretório db/migrate.

Autenticadores

O Conjur facilita:

• Ativar e desativar autenticadores integrados
• Proteger o acesso a autenticadores usando arquivos de política
• Criar autenticadores personalizados

Documentação detalhada de design de autenticadores

Rotacionadores

O Conjur facilita:

• Rotacionar variáveis regularmente usando rotacionadores integrados
• Criar rotacionadores personalizados

Documentação detalhada de design de rotacionadores

Segredos e chaves

Artigo principal: Criptografia Conjur

O Conjur usa criptografia de padrão industrial para proteger seus dados.

Algumas operações exigem armazenamento e gerenciamento de dados criptografados. Por exemplo:

• Papéis podem ter chaves de API associadas, que são armazenadas criptografadas no banco de dados
• a função authenticate emite um token JSON assinado; a chave de assinatura é uma chave RSA de 2048 bits que é armazenada criptografada no banco de dados

Os dados são criptografados dentro e fora do banco de dados usando Slosilo, uma biblioteca que fornece:

• criptografia simétrica usando AES-256-GCM
• um mixin de classe Ruby para fácil criptografia de atributos de objetos no banco de dados
• criptografia e assinatura assimétricas
• um repositório de chaves em um banco de dados PostgreSQL para fácil armazenamento e recuperação de chaves

Slosilo foi verificado por uma auditoria criptográfica profissional. Pergunte em nossa comunidade CyberArk Commons para mais detalhes. (Você pode se juntar aqui.)

Importante: evite perda de dados

Ao iniciar o Conjur, você deve fornecer uma chave mestra de dados codificada em Base64 na variável de ambiente CONJUR_DATA_KEY. Você pode gerar uma chave de dados usando o seguinte comando:

$ docker run --rm conjur data-key generate

NÃO perca a chave de dados, ou todos os dados criptografados serão irrecuperáveis.

Gerenciamento de contas

O Conjur suporta a operação simultânea de várias contas separadas dentro do mesmo banco de dados. Em outras palavras, é multi-inquilino.

Cada conta (também chamada de "conta da organização") tem sua própria chave privada de assinatura de token. Quando um papel é autenticado, o HMAC do token de acesso é computado usando a chave de assinatura da conta do papel.

As contas podem ser listadas, criadas e excluídas através do serviço /accounts. A permissão para usar este serviço é controlada pelo recurso integrado !:webservice:accounts. Observe que ! é por si só uma conta de organização e, portanto, os privilégios sobre !:webservice:accounts podem ser gerenciados via políticas do Conjur.

Versionamento

A partir da versão 0.1.0, este projeto segue Versionamento Semântico.

Contribuindo

Se você está interessado em executar o Conjur localmente e aprender como ele funciona, consulte nosso Guia de Contribuição. Ele inclui instruções úteis para o desenvolvimento e depuração do Conjur, incluindo:

• Pré-requisitos de desenvolvimento
• Construir o Conjur como uma imagem Docker
• Configurar um ambiente de desenvolvimento local
• Executar os conjuntos de testes
• Fluxo de trabalho de pull request
• Guia de estilo
• Manutenção do changelog

Se você tiver alguma dúvida, por favor abra uma issue ou pergunte-nos no Discourse.

Licença

O servidor Conjur (ou seja, o código dentro deste repositório) é licenciado sob a GNU LGPL v3.0 da Free Software Foundation. Esta licença foi escolhida para garantir que todas as contribuições para o servidor Conjur estejam disponíveis para a comunidade. Licenças comerciais também estão disponíveis pela CyberArk.

Os clientes da API Conjur e outras extensões são licenciados sob a Apache Software License v2.0.

Copyright (c) 2020 CyberArk Software Ltd. Todos os direitos reservados.