Sécuriser les flux de données

Référence de sécurité de la production

• Utilisez wss et validez la chaîne de certificats de serveur complète.

• Utilisez un groupe de confiance d'autorité de certification privé si nécessaire ; ne définissez pas de mode TLS non sécurisé ou sans vérification.

• Stockez les mots de passe, les clés privées client et les jetons dans un gestionnaire de clés secrètes approuvé. Injectez-les lors de l'exécution.

• Ne placez pas les informations d'identification dans l'URL WebSocket, les journaux, l'historique du shell, les référentiels de configuration ou les fichiers AsyncAPI.

• Accordez le rôle GoldenGate minimum requis pour chaque tâche d'administration et séparez les informations d'identification d'administration des informations d'identification de consommateur d'exécution lorsque cela est possible.

• Limitez l'accès réseau aux sous-réseaux client, services et routes proxy approuvés.

• Effectuez la rotation des informations d'identification et des certificats sans perdre le point de reprise du consommateur durable.

Remarques concernant le proxy inverse

Un proxy inverse peut modifier l'hôte public, le préfixe de chemin, le mode d'authentification, le point de terminaison TLS, le délai d'inactivité, la taille maximale des messages et le comportement de mise à niveau WebSocket. Validez tous les éléments suivants :

• Les en-têtes HTTP Upgrade et Connection sont transférés pour l'établissement de liaison WebSocket.

• Les délais d'inactivité et de lecture dépassent la période d'inactivité attendue, ou le trafic ping/pong maintient la connexion active.

• La taille maximale des images et des messages dépasse la taille des enregistrements et des lots de flux de données configurés.

• Le YAML AsyncAPI généré expose l'hôte et l'adresse de canal accessibles en externe.

• Les en-têtes d'authentification et les certificats client sont transmis ou interrompus en fonction de la conception de sécurité.

Données de charge utile confidentielles

Data Streams peut afficher des images de ligne complète, des instructions LDD, des jetons, des détails d'hôte, des noms de base de données et des URI source. Appliquer la classification des données, la minimisation des champs, le masquage ou la segmentation en jetons, le cryptage en transit et au repos, la journalisation des accès et les contrôles de conservation au destinataire et à chaque copie en aval. Evitez d'activer env, sys ou tous les jetons, sauf si chaque valeur émise a été vérifiée.