Variables de entorno

Lerian STA es el rail propiedad de Lerian que transmite y recibe archivos con el hub STA de BACEN. Defines estas variables en el momento del despliegue. Un reinicio del servicio hace que surtan efecto. Cada servicio Go de Lerian comparte un backbone universal: servidor, almacenes de datos, multi-tenancy, telemetría, autenticación de plugins y licenciamiento. La referencia de configuración BYOC documenta ese backbone una sola vez. Esta página cubre solo las variables distintivas de Lerian STA. En las tablas siguientes, la columna Valor por defecto / Requerida muestra el valor por defecto. Un calificador en negrita marca una variable que debes definir, como Requerida o Requerida en producción. — significa que no hay valor por defecto. Una variable marcada como Sensible contiene material de credenciales o claves. Inyéctala desde tu gestor de secretos en el momento del despliegue. Nunca guardes un valor en el repositorio.

Servicio y runtime

Variable	Valor por defecto / Requerida	Descripción
`SERVER_ADDRESS`	`:4028`	Dirección de escucha HTTP principal. Las sondas de liveness, readiness, métricas y versión se enlazan a este mismo puerto.
`SYSTEMPLANE_ENABLED`	`false`	Habilita la API de administración de configuración en tiempo de ejecución de Systemplane bajo el prefijo `/system` en el puerto principal. Desactivada por defecto (modo solo variables de entorno).
`DEFAULT_TENANT_ID`	`11111111-1111-1111-1111-111111111111`	UUID de fallback usado solo como `ce-tenantid` de streaming/outbox cuando un evento no tiene ID de tenant; no se inyecta en el contexto ordinario de solicitudes o transferencias single-tenant.
`BACEN_ENVIRONMENT`	`homologation`	Selecciona el objetivo STA de BACEN upstream para la sonda de conectividad: `homologation` (staging) o `production` (en vivo). Un valor no reconocido recae en `homologation`, de modo que un stack no productivo no pueda enrutar tráfico al servicio de BACEN en vivo.

Lerian STA expone /health (liveness) y /readyz (readiness) en el puerto principal, además de /version y /metrics. Cuando habilitas la multi-tenancy, también expone GET /readyz/tenant/{id}. Consulta Salud y readiness para el contrato de las sondas.

Almacenamiento de objetos

Lerian STA persiste los bytes de transferencia y las descargas entrantes en un almacén de objetos compatible con S3. Cada subsistema configura su propia conexión a través del AWS SDK, de modo que el mismo cableado sirve para AWS S3, MinIO o un almacén local.

Variable	Valor por defecto / Requerida	Descripción
`TRANSFER_OBJECT_STORAGE_BUCKET`	Requerida en producción	Bucket que contiene ambas direcciones de transferencia, indexado por prefijo de dirección. El arranque de producción se rechaza si está vacío, independientemente de que las transferencias entrantes estén habilitadas.
`TRANSFER_INBOUND_ENABLED`	`false`	Habilita la pipeline de transferencia entrante (extraída por BACEN). No cambia el requisito del bucket en producción porque las transferencias salientes también lo usan.
`TRANSFER_INBOUND_MAX_FILE_SIZE_BYTES`	`5368709120`	Tamaño máximo de archivo entrante anunciado por BACEN, en bytes (5 GiB). Un valor de `0` o menos desactiva este límite de admisión.
`TRANSFER_INBOUND_EXTRACT_MAX_EXPANSION_RATIO`	`100`	Relación máxima entre el tamaño de la entrada extraída y el sobre ZIP entregado. Un valor de `0` o menos desactiva la comprobación de proporción.
`TRANSFER_INBOUND_EXTRACT_MAX_EXTRACTED_BYTES`	`5368709120`	Tamaño máximo absoluto de la única entrada extraída del ZIP, en bytes (5 GiB). Un valor de `0` o menos desactiva este límite.
`AWS_REGION`	—	Región para AWS Secrets Manager M2M y, cuando `MASTER_KEY_KMS_REGION` está vacío, el fallback de AWS KMS. No configura el almacenamiento de objetos.
`AWS_ACCESS_KEY_ID`	—	Clave de acceso para el almacén de objetos. Sensible. Déjala sin definir cuando un rol IAM adjunto aporte las credenciales.
`AWS_SECRET_ACCESS_KEY`	—	Clave secreta para el almacén de objetos. Sensible. Déjala sin definir cuando un rol IAM adjunto aporte las credenciales.

Cifrado de sobre

Lerian STA protege las credenciales de operador con cifrado de sobre AES-GCM. El proceso del manager siempre necesita el material de clave maestra. Un valor faltante o malformado aborta el arranque.

Variable	Valor por defecto / Requerida	Descripción
`MASTER_KEY_PROVIDER`	`envvar`	Origen de la clave de cifrado de sobre: `envvar` (clave leída de `MASTER_KEYS`) o `aws-kms` (clave envuelta por un KMS en la nube).
`MASTER_KEY_VERSION`	Requerida	Selecciona la versión de clave maestra actualmente activa. Debe coincidir con una versión presente en `MASTER_KEYS`.
`MASTER_KEYS`	Requerida	Pares `version:key` separados por comas. Sensible. Con `envvar`, cada valor es una clave AES-256 de 64 caracteres hex: `version:<64-hex-key>`. Con `aws-kms`, cada valor es texto cifrado de KMS en base64: `version:<base64-ciphertext>`, que se descifra en el proceso. Obtenla de tu gestor de secretos: un valor faltante o malformado aborta el arranque.
`MASTER_KEY_KMS_KEY_ID`	Requerida si `aws-kms`	Identificador de la clave AWS KMS usada para descifrar el texto cifrado de `MASTER_KEYS`. Con `aws-kms`, el texto cifrado se descifra en el proceso de STA.
`CREDENTIALS_RECOVERY_ON_BOOT`	`false`	Establécela explícitamente en `true` para ejecutar una vez al arrancar el barrido de recuperación de credenciales del lado worker dejadas a mitad de rotación por un proceso anterior.

Lerian STA ejecuta su pipeline de auditoría en un worker dedicado. El publicador, el consumidor y el generador de exportación soportan modos single-tenant y multitenant; el generador también necesita su bucket S3. El gestor de particiones, la limpieza y el verificador requieren multi-tenancy. Configura las flags de habilitación y los parámetros requeridos mediante las familias AUDIT_PUBLISHER_*, AUDIT_CONSUMER_*, AUDIT_PARTITION_*, AUDIT_CLEANUP_*, AUDIT_VERIFIER_*, AUDIT_EXPORT_GENERATOR_* y AUDIT_EXPORT_RATE_LIMIT_*. El runtime aplica sus valores declarados por defecto; habilita un worker explícitamente antes de esperar que se ejecute.

​Servicio y runtime

​Almacenamiento de objetos

​Cifrado de sobre

Servicio y runtime

Almacenamiento de objetos

Cifrado de sobre