実行すると、構成ファイルが変更され、シークレットプロバイダーから構成を取得するように構成解決システムに指示するコードが追加されます。暗号化されたシークレットを含む別ファイル(シークレットファイル)も作成されます。これは、セキュアな手法で機密データを保護するための標準的な方法です。ユーザーが指定したマスターパスフレーズが、暗号化のソルト値とともに使用され、マスター暗号化キーが導出されます。このマスター暗号化キーは、個別のデータ暗号化キーを生成するために使用されます。マスター暗号化キーとデータ暗号化キーは、構成ファイル内の機密データを暗号化するために使用されます。これらのキーは、後でサービスによって復号化できます。許可されていないユーザーが構成ファイルにアクセスしても、暗号化された値を見ることはできず、マスター暗号化キーが分からなければ復号化できません。シークレットの保護」を参照してください。(外部コンポーネントの構成で指定されている変数の自動解決)で解説されています。動的なブローカー構成に対してシークレットによる保護(KIP-226)を使用できます。キーストア構成は、必要な場合はすべて暗号化してファイルに保存できます。ブローカーは、パスワードの暗号化についてのみ、動的なブローカー構成の代わりにこのキーストア構成を使用できます。他のコンポーネントの場合と同様、このアプローチでは動的なアップデートは有効になりません。このアプローチでは使用されません。キーストアなどでは)動的なアップデートをサポートする必要があれば、シークレットによる新しい保護を伴わずに動的なブローカー構成を使用できます。すべてのコンポーネントとブローカーの暗号化されたパスワードに対して共通ファイルを使用する場合は、ブローカーには動的な構成を使用する必要があります。組み合わせが使用されます。(KIP-297)を含め、以下のように構成ファイルでの変数の保護を拡張できます(KIP-421)。必須の文字列)と置き換えることによって、構成ファイルに保存されているシークレットを暗号化します。コンポーネントでフェッチするために必要な情報がすべて追加されます。シークレットは暗号化された形式で外部ファイルに保存されます。説明)を利用すると、起動時にすべてのコンポーネント(ブローカー、Connect、プロデューサー、コンシューマー、管理クライアントなど)が、非推奨のシークレットを外部ファイルから自動的にフェッチできます。スクリプトを使用して構成を再読み込みする必要があります。シークレットは、以下のファイルの暗号化には使用できません。構成で参照されているファイルを暗号化することもできません。構成パラメーターは暗号化できます。構成パラメーターの暗号化」の例を参照してください。ベースのクライアント。ベースのクライアントを暗号化するには、独自のソースライブラリ内にあるソリューションを使用する必要があります。いうエラーが発生します。バックスラッシュのある行です。使用するときは、バックスラッシュ文字をエスケープする必要があります。して入力する必要があります。インストールしておく必要があります。ファイルを保管するためのディレクトリを作成します。/usr/secrets/パスフレーズに基づいてマスター暗号化キーを生成します。パスフレーズは、コマンドラインから平文で指定するか、ファイルに保管することができます。ファイルを使用することで、ログ履歴にパスフレーズがプレーンテキストで表示される状況を回避できます。サービスの実行場所ではありません)。シークレットファイルには、マスター暗号化キー、データ暗号化キー、構成パラメーターの暗号化済みシークレットが、暗号化に使用された暗号などのメタデータとともに含まれています。@<passphrase.txt>出力は以下のようになります。|+------------+----------------------------------------------+マスターキーを保存します。後で取得することはできません。スクリプトに追加します。コマンドは失敗します。CONFLUENT_SECURITY_MASTER_KEY=abC12DE+3fG45Hi67J8KlmnOpQr9s0Tuv+w1x2y3zab=指定された構成パラメーターを暗号化します。指定されているプロパティを暗号化します。指定されているローカルシークレットファイルに書き込まれます。プロパティ値の代わりに、構成ファイルに指示を書き込むと、構成解決システムが実行時にシークレット値を取得できます。指定したファイルパスは、構成の指示に書き込まれます。この値により、実行時に解決システムがシークレットファイルを検出できる場所が特定されます。指定されている場所に一致する必要があります。ファイルが変更されます。指定することもできます。ブローカーを暗号化する場合を考えます。暗号化パラメーターを追加または変更するファイルを指定します。ファイルが変更されます。ファイルの場所を指定します。含むプロパティはすべて、構成キーで暗号化されます。"config.storage.replication.factor,config.storage.topic")。コマンドを使用する場合には、このオプションを使用できません。ファイルにも同様のエントリがあります。パラメーターが示されています。${securepass:/usr/secrets/security.properties:connect-distributed.properties/config.storage.replication.factor}暗号化された構成パラメーターを復号化します。decrypt.txt復号化されたパラメーターが表示されます。パラメーターが示されています。ファイルの詳細については、「プロパティファイルリファレンス」を参照してください。本稼働環境¶このワークフローを実用化するには、オーケストレーションツールを拡張して、これを宛先のホストに配布します。他、パスワード暗号化を使用するあらゆるサービスが含まれます。コマンドは、任意のシークレットディストリビューションモデルに合わせて柔軟に使用できます。つのホストで処理してから、シークレットデータを宛先のホストに配布することもできます。以下はシークレットデータを配布するタスクです。構成ファイルがパスワードで保護されているすべてのホスト環境に、マスター暗号化キーをエクスポートします。構成パラメーターにシークレットのタプルが含まれるように、すべてのホストの構成ファイルをアップデートします。コマンドの使用例を以下に示します。インストールしておく必要があります。新しい暗号化された構成パラメーター(--config)を指定されたファイル(--config-file)に追加します。暗号化されたシークレットは、ローカルシークレットファイル(--local-secrets-file)に保管されます。password")。含めて、キー/値ペアを含めなかった場合(空のリストを送信した場合)は、出力エラーが発生します。group.id=connect-clusterこのコマンドを実行した後、プロパティファイルは次のようになります。プレフィックスには伝播されません。指定する必要があります。インスタンスと通信する各コンポーネントには、プレフィックスによって固有の構成が設定されている必要があります。構成する場合は、次のように指定します。クラスターと通信する場合は、次のように指定します。構成を安全に指定できます。構成の使用がサポートされます。構成のセキュリティレベルをより細かく設定できます。構成全体を暗号化するのではなく、パスワードのみを暗号化できます。この方法を使うと、シークレット構成の詳細はログに記録されますが、パスワードは記録されません。構成ファイルの使用がサポートされていません。構成は、機密性の保持でサポートされていません。構成で複数のパスワードを暗号化することはできません。name>/<LoginModule>/<key>)。構文は次のとおりです。置き換える必要があります。構成でパスワードを暗号化するためのコマンドとオプションを示しています。構成を追加するためのコマンドとオプションを示しています。構成で暗号化されたパスワードをアップデートするためのコマンドとオプションを示しています。sasl.jaas.config/com.sun.security.auth.module.Krb5LoginModule/adminpassword前述のコマンドのいずれかを実行した後に表示される暗号化済みデータは、次のようになります。構成パラメーターの暗号化がサポートされます。構成パラメーターに対する操作を実行する前に、構成キーを次のパスフォーマットで指定する必要があります。構文は次のとおりです。置き換える必要があります。構成でパスワードを暗号化するためのコマンドとオプションを示しています。区切る必要があります。構成を追加するためのコマンドとオプションを示しています。構成で暗号化されたパスワードをアップデートするためのコマンドとオプションを示しています。credentials.password前述のコマンドを実行した後に表示される暗号化済みデータは、次のようになります。構成でパスワードを復号化するためのコマンドとオプションを示しています。credentials.passwordキーのローテーション¶キーは、単一のプロパティファイルを使用してローテーションすることを推奨します。マスターキーまたはデータキーをローテーションします。新しいマスターキーを生成し、そのマスターキーでデータの再暗号化を行います。新しいマスターキーは、環境変数に保管されます。新しいデータキーを生成し、そのデータキーでファイルの再暗号化を行います。構成)をコンテナーに渡す必要があります。イメージは、シークレットディレクトリで利用できる認証情報を使用してこれを処理します。ボリュームはコンテナーによって指定されます。管理者は、必要なシークレットを含むホスト上のディレクトリに、そのボリュームをマッピングする必要があります。マウントするには、次のように指定します。ファイルに追加する必要があります。Parameters」を参照してください。ブローカーの場合の構成は次のようになります。使用するシークレットごとに、その場所を指定する必要があります。キーを使用するには、以下の構成を使用します。してエスケープする必要があることに注意してください。使用するかファイルから読み込むことで、コマンドをスクリプト化できます。@/User/bob/secret.properties)。ssl.keystore.password)を作成し、暗号化された構成パラメーターに対する新しいマスターキーを生成する必要があります。プロパティファイル内で新しいパスワードを作成します。ssl.keystore.password=mynewpassword新しいマスターキーを生成します。@/User/bob/secret.properties新しいマスターキーで構成を暗号化します。内容は次のようになっています。マスターキーの生成に使用されたソルトです。データキーが作成されたときのタイムスタンプです。マスターキー環境変数です。暗号化に使用された反復回数です。データキーの生成に使用されたソルトです。マスターキーを使用してキー:値フォーマットでラップされたデータキーです。使用されるアルゴリズムのフォーマットは次のとおりです。FoundationFeedbackこのページの内容:。