Conjur

Maintainability Test Coverage

Conjur предоставляет управление секретами и идентификацией приложений для современной инфраструктуры:

• Язык разметки авторизации машин ("MAML") — язык политик доступа на основе ролей для определения системных компонентов и их ролей, привилегий и метаданных
• REST-веб-сервис для:
  • управления жизненным циклом идентификаций для людей и машин
  • организации и поиска ролей и данных в вашей инфраструктуре секретов
  • авторизации доступа к ресурсам с использованием сложной модели разрешений
  • хранения секретов и их безопасного предоставления
• Интеграции во всей цепочке облачных инструментов:
  • инфраструктура как услуга (IaaS)
  • управление конфигурациями
  • непрерывная интеграция и развертывание (CI/CD)
  • управление контейнерами и облачная оркестрация

Примечание: наши значки и кнопки в социальных сетях никогда не отслеживают вас.

• Начало работы
  • Совместимость
• Поддержка сообщества
• Миграция на CyberArk Secrets Manager, Self-Hosted
• Архитектура
  • База данных
    • Переменная окружения DATABASE_URL
    • Инициализация базы данных
  • Аутентификаторы
  • Ротаторы
  • Секреты и ключи
    • Важно: предотвратите потерю данных
  • Управление аккаунтами
• Версионирование
• Участие в разработке
• Лицензия

Содержание создано с помощью markdown-toc

Начало работы

Пожалуйста, обратитесь к нашему Руководству по быстрому старту для получения подробной информации о первом использовании Conjur Open Source, или обратитесь к документации Conjur для получения конкретных руководств по настройке, интеграциям, администрированию и многому другому.

Совместимость

Мы настоятельно рекомендуем выбирать версию этого проекта из последнего релиза пакета Conjur Open_Source. Сопровождающие Conjur проводят дополнительное тестирование версий пакетного релиза, чтобы обеспечить совместимость. По возможности обновляйте версию Conjur до последнего релиза пакета; при использовании интеграций выбирайте последний релиз пакета, соответствующий вашей версии Conjur.

При обновлении сервера Conjur, работающего в среде Docker Compose, до последней версии релиза пакета, пожалуйста, ознакомьтесь с инструкцией по обновлению. По любым вопросам свяжитесь с нами на Discourse.

Поддержка сообщества

Наш основной канал поддержки — сообщество CyberArk Commons здесь

Миграция на CyberArk Secrets Manager, Self-Hosted

Миграция данных из Conjur Open Source в CyberArk Secrets Manager, Self-Hosted проста с помощью нашего руководства по миграции

Архитектура

Conjur спроектирован для работы в контейнере(ах) Docker с использованием PostgreSQL в качестве хранилища данных. Легко запустить и Conjur, и PostgreSQL в Docker; см. директорию demo для примера.

• Примечание: Conjur совместим с PostgreSQL 15.

База данных

Переменная окружения DATABASE_URL

Conjur использует переменную окружения DATABASE_URL для подключения к базе данных. Типичные варианты этого URL:

• Локальный связанный контейнер pg
• Внешняя управляемая база данных, например AWS RDS.

Инициализация базы данных

Conjur автоматически создает и/или обновляет схему базы данных при запуске. Скрипты миграции находятся в директории db/migrate.

Аутентификаторы

Conjur позволяет легко:

• Включать и отключать встроенные аутентификаторы
• Обеспечивать безопасный доступ к аутентификаторам с помощью файлов политик
• Создавать собственные аутентификаторы

Подробная документация по проектированию аутентификаторов

Ротаторы

Conjur позволяет легко:

• Регулярно вращать переменные с помощью встроенных ротаторов
• Создавать собственные ротаторы

Подробная документация по проектированию ротаторов

Секреты и ключи

Основная статья: Криптография Conjur

Conjur использует промышленную криптографию для защиты ваших данных.

Некоторые операции требуют хранения и управления зашифрованными данными. Например:

• С ролями могут быть связаны ключи API, которые хранятся зашифрованными в базе данных
• функция authenticate выдает подписанный JSON-токен; ключ подписи — это RSA-ключ длиной 2048 бит, который хранится зашифрованным в базе данных

Данные шифруются при записи в базу данных и при чтении из нее с помощью Slosilo, библиотеки, которая предоставляет:

• симметричное шифрование с использованием AES-256-GCM
• примесь для Ruby-классов для простого шифрования атрибутов объектов в базе данных
• асимметричное шифрование и подпись
• хранилище ключей в базе данных PostgreSQL для удобного хранения и получения ключей

Slosilo был проверен профессиональным криптографическим аудитом. Спрашивайте в нашем сообществе CyberArk Commons для получения более подробной информации. (Вы можете присоединиться здесь.)

Важно: предотвратите потерю данных

При запуске Conjur необходимо указать главный ключ данных в кодировке Base64 в переменной окружения CONJUR_DATA_KEY. Вы можете сгенерировать ключ данных с помощью следующей команды:

$ docker run --rm conjur data-key generate

НЕ теряйте ключ данных, иначе все зашифрованные данные станут невосстановимыми.

Управление аккаунтами

Conjur поддерживает одновременную работу нескольких отдельных аккаунтов в одной базе данных. Другими словами, это мультитенантность.

Каждый аккаунт (также называемый "аккаунтом организации") имеет свой собственный закрытый ключ для подписи токенов. Когда роль аутентифицирована, HMAC маркера доступа вычисляется с использованием ключа подписи аккаунта этой роли.

Аккаунты можно просматривать, создавать и удалять через сервис /accounts. Разрешение на использование этого сервиса контролируется встроенным ресурсом !:webservice:accounts. Обратите внимание, что ! сам является аккаунтом организации, и поэтому привилегии на !:webservice:accounts можно управлять через политики Conjur.

Версионирование

Начиная с версии 0.1.0, этот проект следует Семантическому версионированию.

Участие в разработке

Если вы заинтересованы в локальном запуске Conjur и изучении того, как он работает, пожалуйста, ознакомьтесь с нашим Руководством по участию. Оно содержит полезные инструкции по разработке и отладке Conjur, включая:

• Предварительные требования для разработки
• Сборка Conjur как Docker-образа
• Настройка локальной среды разработки
• Запуск тестовых наборов
• Рабочий процесс пул-реквестов
• Руководство по стилю
• Ведение журнала изменений

Если у вас есть вопросы, пожалуйста, откройте issue или спросите нас на Discourse.

Лицензия

Сервер Conjur (то есть код в этом репозитории) лицензирован под GNU LGPL v3.0 Фонда свободного программного обеспечения. Эта лицензия была выбрана для обеспечения того, чтобы все вклады в сервер Conjur были доступны сообществу. Коммерческие лицензии также доступны от CyberArk.

Клиенты API Conjur и другие расширения лицензированы под Лицензией Apache Software License v2.0.

Copyright (c) 2020 CyberArk Software Ltd. All rights reserved.