Microservices Engine:Configuration encryption

Pré-requisitos

• O MSE está ativado.

• Crie um mecanismo Nacos da Developer Edition, Professional Edition ou Serverless Edition. Para mais informações, consulte Create an instance.

• Key Management Service (KMS) está ativado.

• Adquira e habilite uma instância do KMS. A versão da imagem da instância do KMS deve ser posterior a dkms-3.0.0. Para mais informações, consulte Purchase and enable a KMS instance e Upgrade the image version of a KMS instance.

• Crie uma chave. Para mais informações, consulte Getting started with key management

Criar configurações criptografadas

Para criar configurações criptografadas no console do MSE, siga as etapas abaixo:

1. Faça login no console do MSE e selecione uma região na barra de navegação superior.

2. No painel de navegação à esquerda, escolha Microservices Registry > Instances.

3. Na página Instances, clique em nome da instância.

4. No painel de navegação à esquerda, escolha Configuration Management > Configurations.

5. No canto superior esquerdo da página Configurations, selecione um namespace na lista suspensa Namespace e clique em Add Configuration.

6. No painel Create Configuration, insira um Data ID e um Group. Em seguida, ative a opção Data Encryption e selecione uma KMS Key. Caso ainda não tenha criado uma KMS Key, clique em Create. É possível criar uma chave no console do Key Management Service. Após criar a chave, atualize o painel Create Configuration para exibir a nova chave do KMS.

   Importante

   • Se você ativar o Dedicated KMS após 31 de março de 2022, deverá selecionar o ID de uma chave para criptografia e associá-la à instância do MSE Nacos. Assim, todas as configurações subsequentes serão criptografadas com essa chave.

   • Caso tenha ativado o KMS antes de 31 de março de 2022, o prompt para vincular o ID da chave da instância do Dedicated KMS não será exibido, permitindo o uso do Shared KMS. Os métodos de configuração para acesso das aplicações ao Shared KMS são diferentes.

   • Para usuários do Dedicated KMS, a opção KMS AES-256 é exibida. Já para usuários do Shared KMS, os três métodos de criptografia aparecem visando compatibilidade de versões. Recomendamos não selecionar KMS ou KMS AES-128.

     • KMS AES-256: Método de criptografia e descriptografia de envelope do KMS. Utiliza uma chave de 256 bits com alta força de criptografia. O conteúdo criptografado da configuração não pode exceder 50 KB. Os dados de configuração em texto simples não são transmitidos ao KMS. Recomendamos esta opção para maior segurança. Escolha o método de criptografia conforme suas necessidades de negócio.

     • KMS AES-128: Método que utiliza uma chave de 128 bits com força de criptografia média. O tamanho do conteúdo criptografado da configuração não pode ultrapassar 50 KB.

     • KMS: Não recomendamos esta opção, pois caracteres especiais podem causar problemas de compatibilidade. Por exemplo, um ampersand (&) é escapado como \u0026. O tamanho do conteúdo criptografado da configuração não pode exceder 6 KB.

   • Após o vínculo, não é possível alterar a chave. Se você excluir a chave, perderá o acesso às configurações criptografadas.

7. Na seção Configuration Format, selecione um formato de dados, insira o conteúdo da configuração no editor Configuration Content à direita e clique em Release.

Usar uma configuração criptografada no Nacos SDK for Java

1. Adicione as seguintes dependências ao arquivo pom.xml do projeto:

   <dependency>
       <groupId>com.alibaba.nacos</groupId>
       <artifactId>nacos-client</artifactId>
       <version>{nacos-client-version}</version>
   </dependency>
   <dependency>
       <groupId>com.alibaba.nacos</groupId>
       <artifactId>nacos-client-mse-extension</artifactId>
       <version>{nacos-client-mse-extension-version}</version>
   </dependency>

   Descrição das versões

   Versão principal do cliente Nacos	Versão do cliente Nacos	Versão recomendada do plug-in
   1.x	V1.4.3 ou posterior	V1.0.6 ou posterior
   2.x	V2.1.1 ou posterior	V1.0.6 ou posterior

   Importante

   Podem ocorrer problemas de estabilidade se a versão do plug-in de criptografia e descriptografia não corresponder à versão do cliente Nacos. Recomendamos utilizar as versões indicadas.

2. Escolha o código válido que deseja configurar com base no tipo de framework utilizado.

   Usar o framework Nacos client

   Ao utilizar o framework Nacos client para obter configurações, configure o seguinte código de exemplo.

   try {
       Properties properties = new Properties();
       // The address of your Nacos server.
       properties.put("serverAddr", "{serverAddr}");
       // Configure the RAM role of the ECS instance as the access credential.
       properties.put("ramRoleName", "{ramRoleName}");
       // The endpoint of the KMS instance.
       properties.put("kmsEndpoint", "{kmsEndpoint}");
       ConfigService configService = NacosFactory.createConfigService(properties);
       System.out.println("content:::"+configService.getConfig("{dataId}", "{group}", 6000));
   } catch (Exception e) {
       e.printStackTrace();
   }

   O parâmetro kmsEndpoint indica o endpoint da instância do KMS. Se o ambiente de acesso e a instância do KMS estiverem na mesma VPC, o valor de kmsEndpoint será o endpoint de VPC da instância. Ao acessar a instância do KMS pela Internet, o valor de kmsEndpoint será o endpoint público ou o endpoint de VPC do gateway público. Para mais informações sobre como obter o endpoint, consulte How do I obtain the endpoint of a KMS instance?

   Caso utilize um par de AccessKey como credencial para acessar a instância do KMS, substitua a seguinte configuração:

   properties.put("ramRoleName", "{ramRoleName}");

   Utilize a seguinte configuração:

   properties.put("accessKey", "{accessKey}"); 
   properties.put("secretKey", "{secretKey}");

   O Nacos SDK for Java aceita configurações criptografadas por meio de múltiplas credenciais de acesso, como tokens do Security Token Service (STS) e o Alibaba Cloud Resource Name (ARN) de uma função do RAM. Para mais detalhes sobre as credenciais suportadas e métodos de configuração do cliente, consulte Supported access credentials for configuration encryption of the Nacos SDK for Java.

   Se o seu KMS foi ativado após 31 de março de 2022 e você deseja publicar configurações criptografadas via SDK, adicione o seguinte código:

   properties.put("keyId", "{keyId}");

   Substitua os parâmetros serverAddr, ramRoleName, accessKey, secretKey, kmsEndpoint, dataId, group e keyId no código pelos parâmetros reais do service.

   Usar o framework Spring Cloud Nacos Config

   Nota

   • Se utilizar o Spring Cloud Alibaba 2022.x ou 2023.x, atualize para a versão 2023.0.1.2.

   • Para usuários do Spring Cloud Alibaba 2021.x, recomenda-se a atualização para 2021.0.6.1.

   • Caso esteja no Spring Cloud Alibaba 2.x, atualize para a versão 2.2.10.

   • Certifique-se de que as versões do Spring Cloud Alibaba, Spring Cloud e Spring Boot sejam compatíveis. Para verificar a compatibilidade, consulte as notas de lançamento no site oficial do Spring Cloud Alibaba.

   Ao usar o framework Spring Cloud Nacos Config para obter configurações, adicione as seguintes definições:

   spring.cloud.nacos.config.server-addr={serverAddr}
   spring.config.import=nacos:{dataId}?group={group}&refreshEnabled=true
   # Use the RAM role of an ECS instance as the access credential.
   spring.cloud.nacos.config.ramRoleName={ramRoleName}
   spring.cloud.nacos.config.kmsEndpoint={kmsEndpoint}

   O parâmetro kmsEndpoint indica o endpoint da instância do KMS. Se o ambiente de acesso e a instância do KMS estiverem na mesma VPC, o valor de kmsEndpoint será o endpoint de VPC da instância. Ao acessar a instância do KMS pela Internet, o valor de kmsEndpoint será o endpoint público ou o endpoint de VPC do gateway público. Para mais informações sobre como obter o endpoint, consulte How do I obtain the endpoint of a KMS instance?

   Caso utilize um par de AccessKey como credencial para acessar a instância do KMS, substitua a seguinte configuração:

   spring.cloud.nacos.config.ramRoleName={ramRoleName}

   Utilize as seguintes configurações:

   spring.cloud.nacos.config.accesskey={accessKey}
   spring.cloud.nacos.config.secretkey={secretKey}
   # If you use an AccessKey pair to access Nacos, we recommend specifying it
   # by using JVM parameters or environment variables due to its sensitive nature.
   # JVM parameters
   -Dspring.cloud.nacos.config.accessKey={accessKey}
   -Dspring.cloud.nacos.config.secretKey={secretKey}
   # Environment variables
   spring_cloud_nacos_config_accessKey={accessKey}
   spring_cloud_nacos_config_secretKey={secretKey}

   O Nacos SDK for Java aceita configurações criptografadas por meio de múltiplas credenciais de acesso, como tokens do Security Token Service (STS) e o Alibaba Cloud Resource Name (ARN) de uma função do RAM. Para mais detalhes sobre as credenciais suportadas e métodos de configuração do cliente, consulte Supported access credentials for configuration encryption of the Nacos SDK for Java.

   Se o seu KMS foi ativado após 31 de março de 2022 e você deseja publicar configurações criptografadas via SDK, adicione o seguinte código:

   spring.cloud.nacos.config.keyId={keyId}

   Substitua os parâmetros serverAddr, ramRoleName, accessKey, secretKey, kmsEndpoint, dataId, group e keyId no código pelos parâmetros reais do service.

   Descrição

   A tabela a seguir descreve os parâmetros. Certifique-se de que os valores configurados sejam válidos.

   Parâmetro	Descrição
   serverAddr	O endereço IP da sua instância do MSE. Exemplo: mse-*****.nacos-ans.mse.aliyuncs.com.
   ramRoleName	A função do RAM atribuída à instância do ECS ou ao cluster ACK.
   accessKey e secretKey	O AccessKey ID e o AccessKey secret da conta Alibaba Cloud atual. É necessário especificar os parâmetros accessKey e secretKey. Caso contrário, especifique o parâmetro ramRoleName.
   kmsEndpoint	O endpoint da instância do KMS. Se o ambiente de acesso e a instância do KMS estiverem na mesma VPC, o valor de kmsEndpoint será o endpoint de VPC da instância. Ao acessar a instância do KMS pela Internet, o valor de kmsEndpoint será o endpoint público ou o endpoint de VPC do gateway público. Para mais informações sobre como obter o endpoint, consulte How do I obtain the endpoint of a KMS instance?
   dataId	O ID de dados da configuração criptografada. Exemplo: cipher-kms-aes-256-****.properties.
   group	O nome do grupo da configuração criptografada.
   keyId	O ID da chave do KMS usada para criptografar configurações. Você pode criar e usar uma chave do KMS no console. Exemplo: alia/*** ou key-***.

Usar uma configuração criptografada no Nacos SDK for Go

1. Execute o comando go get para baixar as dependências do Nacos client SDK for Go.

   go get -u github.com/nacos-group/nacos-sdk-go/v2@v2.2.8

2. Modifique as configurações iniciais do cliente Nacos.

   No Nacos SDK for Go, apenas um par de AccessKey pode ser usado como credencial para acessar a instância do KMS. Substitua os parâmetros serverAddr, accessKey, secretKey e kmsEndpoint no código pelos parâmetros usados em seu negócio e certifique-se de que o parâmetro OpenKMS esteja definido como true para criptografia de configuração.

   sc := []constant.ServerConfig{
     {
       IpAddr: "{serverAddr}", // Replace with the endpoint of your MSE instance.
       Port:   8848,
     },
   }
   var accessKey = "{accessKey}" 
   var secretKey = "{secretKey}" 
   cc := constant.ClientConfig{
     NamespaceId:         "public", // The namespace ID.
     OpenKMS:              true, // Enable KMS for configuration encryption.
     AccessKey:            accessKey, 
     SecretKey:            secretKey,
     KMSConfig:            &constant.KMSConfig{Endpoint: "{kmsEndpoint}",},
     TimeoutMs:           5000,
     NotLoadCacheAtStart: true,
     LogDir:              "/tmp/nacos/log",
     CacheDir:            "/tmp/nacos/cache",
     RotateTime:          "1h",
     MaxAge:              3,
   }

   O parâmetro kmsEndpoint indica o endpoint da instância do KMS. Se o ambiente de acesso e a instância do KMS estiverem na mesma VPC, o valor de kmsEndpoint será o endpoint de VPC da instância. Ao acessar a instância do KMS pela Internet, o valor de kmsEndpoint será o endpoint público ou o endpoint de VPC do gateway público. Para mais informações sobre como obter o endpoint, consulte How do I obtain the endpoint of a KMS instance?

3. Publique as configurações criptografadas.

   keyId: O ID da chave do KMS usada para criptografar configurações.

   configParam := vo.ConfigParam{
       DataId:   "{dataId}",
       Group:    "{group}",
       Content:  "content",
       KmsKeyId: "{keyId}",  // The ID of the KMS key for encryption. You can create and use a key in the KMS console.
   }
   published, err := client.PublishConfig(configParam)
   if published && err == nil {
   	fmt.Printf("successfully publish: group[%s], dataId[%s], data[%s]\n", configParam.Group, configParam.DataId, configParam.Content)
   } else {
     fmt.Printf("failed to publish: group[%s], dataId[%s], data[%s]\n with error: %s\n",
       configParam.Group, configParam.DataId, configParam.Content, err)
   }

Credenciais de acesso suportadas para criptografia de configuração do Nacos SDK for Java

O Nacos SDK for Java suporta múltiplas credenciais de acesso para criptografar configurações. Selecione um método para inicializar o provedor de credenciais com base nos requisitos de autenticação e autorização do seu cenário de negócio.

Credenciais de acesso suportadas:

• Use an AccessKey pair

• Use an STS token

  Nota

  Para ambientes do Serverless App Engine (SAE), recomendamos o uso de um token STS para acessar configurações criptografadas do MSE. Para mais informações, consulte a seção "Use an STS token" em Access authentication by the Nacos client.

• Use the ARN of a RAM role

• Use the RAM role of an ECS instance

  Nota

  Este método (ECSRAMRole) aplica-se apenas a ambientes ECS, Elastic Container Instance (ECI) e ACK. O Serverless App Engine (SAE) não suporta o uso da função do RAM de uma instância ECS para acessar configurações criptografadas do MSE.

• Use the RAM role of an OIDC IdP

• Use the CredentialsURI

Para mais informações sobre como configurar credenciais de acesso no cliente, consulte a seção "Configure access credentials on the client" em Access authentication by the Nacos client. Selecione a seguinte política de sistema para conceder a permissão relacionada à credencial de acesso. Dessa forma, uma operação de autorização granular concede permissões de leitura e gravação em todas as instâncias do KMS.

Perguntas frequentes

properties.put("kmsEndpoint", "{kmsEndpoint}");

properties.put("kms_region_id", "{kmsRegionId}");

spring.cloud.nacos.config.kmsEndpoint={kmsEndpoint}

spring.cloud.nacos.config.kms_region_id={kmsRegionId}

cc := constant.ClientConfig{
  NamespaceId:         "public", 
  OpenKMS:              true, 
  AccessKey:            accessKey, 
  SecretKey:            secretKey,
  KMSConfig:            &constant.KMSConfig{Endpoint: "{kmsEndpoint}",},
  TimeoutMs:            5000,
  NotLoadCacheAtStart:  true,
  LogDir:               "/tmp/nacos/log",
  CacheDir:             "/tmp/nacos/cache",
  RotateTime:           "1h",
  MaxAge:               3,
}

cc := constant.ClientConfig{
  NamespaceId:         "public", 
  OpenKMS:              true, 
  AccessKey:            accessKey, 
  SecretKey:            secretKey,
  TimeoutMs:            5000,
  NotLoadCacheAtStart:  true,
  LogDir:               "/tmp/nacos/log",
  CacheDir:             "/tmp/nacos/cache",
  RotateTime:           "1h",
  MaxAge:                3,
  RegionId:             "{kmsRegionId}",	
}

Perguntas frequentes

Referências

• System policies for MSE

• Custom policies for MSE