Variables de entorno

Lerian STA es el rail propiedad de Lerian que transmite y recibe archivos con el hub STA de BACEN. Estas variables se definen en el momento del despliegue y requieren reiniciar el servicio para surtir efecto. El backbone universal que comparte cada servicio Go de Lerian —servidor, almacenes de datos, multi-tenancy, telemetría, autenticación de plugins y licenciamiento— se documenta una sola vez en la referencia de configuración BYOC; esta página cubre solo las variables distintivas de Lerian STA. En las tablas siguientes, la columna Valor por defecto / Requerida muestra el valor por defecto; un calificador en negrita (por ejemplo Requerida, Requerida en producción) marca las variables que deben definirse. — significa que no hay valor por defecto. Cualquier variable marcada como Sensible contiene material de credenciales o claves: inyéctala desde tu gestor de secretos en el momento del despliegue y nunca guardes un valor en el repositorio.

Servicio y runtime

Variable	Valor por defecto / Requerida	Descripción
`SERVER_ADDRESS`	`:4028`	Dirección de escucha HTTP principal. Las sondas de liveness, readiness, métricas y versión se enlazan a este mismo puerto.
`SYSTEMPLANE_ENABLED`	`false`	Habilita la API de administración de configuración en tiempo de ejecución de Systemplane bajo el prefijo `/system` en el puerto principal. Desactivada por defecto (modo solo variables de entorno).
`DEFAULT_TENANT_ID`	`11111111-1111-1111-1111-111111111111`	UUID de tenant usado en modo de un solo tenant. Debe ser un UUID válido.
`BACEN_ENVIRONMENT`	`homologation`	Selecciona el objetivo STA de BACEN upstream para la sonda de conectividad: `homologation` (staging) o `production` (en vivo). Un valor no reconocido recae en `homologation`, de modo que un stack no productivo no pueda enrutar tráfico al servicio de BACEN en vivo.

Lerian STA expone /health (liveness) y /readyz (readiness) en el puerto principal, además de /version y /metrics y —cuando la multi-tenancy está habilitada— GET /readyz/tenant/{id}. Consulta Salud y readiness para el contrato de las sondas.

Almacenamiento de objetos

Lerian STA persiste los bytes de transferencia y las descargas entrantes en un almacén de objetos compatible con S3. Cada subsistema configura su propia conexión a través del AWS SDK, de modo que el mismo cableado sirve para AWS S3, MinIO o un almacén local.

Variable	Valor por defecto / Requerida	Descripción
`TRANSFER_OBJECT_STORAGE_BUCKET`	Requerida en producción	Bucket que contiene ambas direcciones de transferencia, indexado por prefijo de dirección. El arranque se rechaza si está vacío en producción.
`TRANSFER_INBOUND_ENABLED`	`false`	Habilita la pipeline de transferencia entrante (extraída por BACEN). Cuando es `true`, `TRANSFER_OBJECT_STORAGE_BUCKET` es requerido en producción.
`TRANSFER_INBOUND_MAX_FILE_SIZE_BYTES`	`5368709120`	Techo sobre el tamaño de archivo entrante anunciado por BACEN (por defecto 5 GiB). Los archivos más grandes se descartan antes de escribir byte alguno.
`AWS_REGION`	`us-east-1`	Región para las conexiones al almacén de objetos y M2M.
`AWS_ACCESS_KEY_ID`	—	Clave de acceso para el almacén de objetos. Sensible. Déjala sin definir cuando un rol IAM adjunto aporte las credenciales.
`AWS_SECRET_ACCESS_KEY`	—	Clave secreta para el almacén de objetos. Sensible. Déjala sin definir cuando un rol IAM adjunto aporte las credenciales.

Cifrado de sobre

Las credenciales de operador se protegen con cifrado de sobre AES-GCM. El material de clave maestra siempre es requerido: el proceso del manager aborta el arranque si falta o está malformado.

Variable	Valor por defecto / Requerida	Descripción
`MASTER_KEY_PROVIDER`	`envvar`	Origen de la clave de cifrado de sobre: `envvar` (clave leída de `MASTER_KEYS`) o `aws-kms` (clave envuelta por un KMS en la nube).
`MASTER_KEY_VERSION`	`v1` · Requerida	Selecciona la versión de clave maestra actualmente activa.
`MASTER_KEYS`	Requerida	Pares `version:key` separados por comas. Sensible. Bajo `envvar` cada clave es una clave AES-256 de 32 bytes; bajo `aws-kms` cada valor es un blob envuelto. Obténla de tu gestor de secretos: un valor faltante o malformado aborta el arranque.
`MASTER_KEY_KMS_KEY_ID`	Requerida si `aws-kms`	Referencia a la clave del KMS en la nube que envuelve las claves maestras. El material de clave nunca entra en el proceso; solo se pasa la referencia.
`CREDENTIALS_RECOVERY_ON_BOOT`	`true`	Ejecuta el barrido de recuperación de credenciales del lado worker una vez al arrancar para resolver credenciales dejadas a mitad de rotación por un proceso anterior.

Trust store

Cada tenant sube los certificados raíz X.509 en los que Lerian STA confía al establecer el TLS mutuo hacia BACEN. El módulo de trust store siempre está activado. Los cuerpos PEM de los certificados se persisten en el almacén de objetos, por lo que la conexión al bucket del trust store es requerida.

Variable	Valor por defecto / Requerida	Descripción
`TRUST_STORE_S3_BUCKET`	Requerida	Bucket que contiene los PEM de certificados del trust store por tenant. El arranque falla sin él.
`TRUST_STORE_S3_REGION`	`us-east-1`	Región para el bucket del trust store.
`TRUST_STORE_S3_ENDPOINT`	—	Endpoint del almacén de objetos. Déjalo vacío para recaer en el endpoint por defecto de AWS S3.
`TRUST_STORE_S3_PATH_STYLE`	`false`	Usa el direccionamiento path-style. Requerido para MinIO o un almacén local; déjalo en `false` para AWS S3.
`TRUST_STORE_MAX_CERT_SIZE_BYTES`	`65536`	Tamaño máximo aceptado de un PEM de certificado subido.
`TRUST_STORE_EXPIRING_SOON_DAYS`	`30`	Ventana, en días, a partir de la cual se reporta un certificado como próximo a expirar. Ajustable por el operador con recarga en caliente.
`TRUST_STORE_DEFAULT_PAGE_SIZE`	`25`	Tamaño de página por defecto para la API de listado del trust store.
`TRUST_STORE_MAX_PAGE_SIZE`	`100`	Tamaño de página máximo para la API de listado del trust store.

Lerian STA ejecuta su pipeline de auditoría en un worker dedicado: un publicador de outbox, un consumidor de auditoría encadenado por hash, un gestor de particiones, una limpieza de outbox y un generador asíncrono de exportación de auditoría. Estos se ejecutan cuando la multi-tenancy y el broker están habilitados y se ajustan a través de las familias AUDIT_PUBLISHER_*, AUDIT_CONSUMER_*, AUDIT_PARTITION_*, AUDIT_CLEANUP_*, AUDIT_EXPORT_GENERATOR_* y AUDIT_EXPORT_RATE_LIMIT_*, cada una con valores por defecto funcionales.

Resumen

Lerian SPB

Lerian SPI

Lerian SILOC

Lerian SLC

Lerian STA

Lerian SISBAJUD

Lerian Consignado — Dataprev

Variables de entorno

Servicio y runtime

Almacenamiento de objetos

Cifrado de sobre

Trust store

​Servicio y runtime

​Almacenamiento de objetos

​Cifrado de sobre

​Trust store

Servicio y runtime

Almacenamiento de objetos

Cifrado de sobre

Trust store