Variables de entorno de la Lerian SISBAJUD Mensageria

Esta página lista las variables de entorno de la Mensageria. Variables de entorno de Lerian SISBAJUD executor lista las variables del executor. Fundamentos de configuración de BYOC documenta las variables que comparte cada servicio Go de Lerian: servidor, almacenes de datos, telemetría y autenticación de plugins. En las tablas siguientes, la columna Predeterminado / Obligatorio muestra el valor predeterminado. Un calificador en negrita (por ejemplo, Obligatorio) marca las variables que debes configurar. — significa que no hay valor predeterminado. Una variable marcada como Sensible guarda una credencial o material de claves. Inyéctala desde tu gestor de secretos en el momento del despliegue. No hagas commit de su valor.

Servicio y runtime

Variable	Predeterminado / Obligatorio	Descripción
`SERVER_ADDRESS`	`:4031`	Dirección de escucha de la API principal. `/health`, `/readyz` y `/version` usan este puerto.
`ENVIRONMENT_NAME`	—	Entorno de ejecución. `ENV_NAME` es un nombre alternativo. `local`, `development`, `staging`, `e2e` y `test` son valores de no producción. Cualquier otro valor, y ningún valor, ejecuta las verificaciones de producción.
`DEPLOYMENT_MODE`	`local`	`local`, `byoc` o `saas`. Cualquier otro valor rechaza el arranque. Con `saas`, el arranque rechaza una conexión PostgreSQL o Redis sin TLS.
`SYSTEMPLANE_ENABLED`	`false`	Sirve la API de administración de Systemplane en `/system` en el puerto principal.

Las verificaciones de producción exigen POSTGRES_PASSWORD y rechazan POSTGRES_SSLMODE=disable. Con STREAMING_ENABLED=true, también exigen STREAMING_TLS_ENABLED=true.

Autenticación

Variable	Predeterminado / Obligatorio	Descripción
`PLUGIN_AUTH_ENABLED`	Obligatorio	`true` o `false`. Un valor en blanco o cualquier otro valor rechaza el arranque. La Mensageria acepta `false` solo cuando `ENV_NAME` es `development`, `develop`, `dev`, `local` o `test`, y `DEPLOYMENT_MODE` no es `saas`. Con `false`, las operaciones protegidas aún exigen un bearer token.
`PLUGIN_AUTH_HOST`	Obligatorio si `PLUGIN_AUTH_ENABLED` o `STA_TRANSFERS_ENABLED` es `true`	Dirección del Access Manager. El envío a Lerian STA obtiene su token M2M de esta dirección.
`AUTH_JWT_VERIFY_CERT`	Obligatorio, o `AUTH_JWT_VERIFY_CERT_PATH`	Claves públicas o certificados PEM que verifican la firma de los bearer tokens. Este valor tiene prioridad sobre `AUTH_JWT_VERIFY_CERT_PATH`.
`AUTH_JWT_VERIFY_CERT_PATH`	Obligatorio, o `AUTH_JWT_VERIFY_CERT`	Ruta de un archivo con el mismo contenido PEM.
`AUTH_JWT_ISSUER`	Obligatorio	El valor `iss` que deben llevar los bearer tokens.

El arranque acepta la ausencia de clave de verificación y de emisor solo cuando las tres condiciones son verdaderas: PLUGIN_AUTH_ENABLED es true, DEPLOYMENT_MODE es local o no está definido, y ENV_NAME es local.

Licencia

License Manager describe cómo el producto verifica la licencia.

Variable	Predeterminado / Obligatorio	Descripción
`LICENSE_KEY`	Obligatorio	La clave de licencia que Lerian emitió para Lerian SISBAJUD. El arranque rechaza un valor vacío en cualquier entorno.
`ORGANIZATION_IDS`	Obligatorio	Alcance de la licencia. Configúrala en `global`. Cualquier otro valor rechaza el arranque.

Gestión de claves

Variable	Predeterminado / Obligatorio	Descripción
`KMS_PROVIDER`	Obligatorio cuando `ENVIRONMENT_NAME` es `production`	Gestor de claves del cifrado en sobre: `vault` (HashiCorp Vault Transit) o `aws` (AWS KMS). Cualquier otro valor rechaza el arranque. Con cualquier otro entorno, un valor no definido significa `vault`.
`AWS_REGION`	Obligatorio con `aws`	Región de AWS KMS.
`SISBAJUD_DEK_CACHE_TTL`	`5m`	Tiempo que una clave de datos desenvuelta permanece en la caché en memoria. Duración Go.
`KEK_REWRAP_BACKFILL_ENABLED`	`false`	Ejecuta el job en segundo plano que vuelve a envolver las claves de datos bajo la nueva versión de la KEK después de una rotación.
`KEK_REWRAP_BACKFILL_SCAN_INTERVAL`	`300`	Intervalo del job de reenvoltura, en segundos.
`KEK_REWRAP_BACKFILL_BATCH_SIZE`	`100`	Número máximo de claves de datos, por tabla, que una pasada del job de reenvoltura procesa.

Vault (cuando `KMS_PROVIDER=vault`)

Variable	Predeterminado / Obligatorio	Descripción
`VAULT_ADDR`	Obligatorio	Dirección de tu Vault.
`VAULT_AUTH_METHOD`	`token`	`token` o `approle`. Cualquier otro valor rechaza el arranque.
`VAULT_TOKEN`	Obligatorio para `token` cuando `ENVIRONMENT_NAME` es `production`	Token de Vault. Sensible.
`VAULT_APPROLE_ROLE_ID`	Obligatorio para `approle`	Role ID de AppRole. Sensible.
`VAULT_APPROLE_SECRET_ID`	Obligatorio para `approle`	Secret ID de AppRole. Sensible.
`VAULT_TRANSIT_MOUNT_PATH`	`transit`	Ruta de montaje del engine Transit.
`VAULT_TIMEOUT_SEC`	`15`	Timeout de cada solicitud a Vault, en segundos. De `1` a `600`.
`VAULT_TOKEN_RENEW_ENABLED`	`true`	Renueva el token de Vault en segundo plano.
`VAULT_TOKEN_RENEW_MIN_INTERVAL_SEC`	`60`	Tiempo mínimo entre dos renovaciones, en segundos.

AWS KMS (cuando `KMS_PROVIDER=aws`)

Variable	Predeterminado / Obligatorio	Descripción
`KMS_AWS_KEY_MODE`	Obligatorio	`managed` o `provided`. No tiene valor predeterminado. Cualquier otro valor rechaza el arranque.
`KMS_AWS_KEY_ARN`	Obligatorio con `provided`	ARN de tu clave de AWS KMS, en la región de `AWS_REGION`. Un ARN de alias rechaza el arranque. Con `managed`, déjala vacía.
`KMS_AWS_ROTATION_CHECK_INTERVAL_SEC`	`3600`	Con `provided`, el intervalo, en segundos, en el que la Mensageria busca una rotación de tu clave. De `1` a `86400`.
`KMS_AWS_TIMEOUT_SEC`	`20`	Timeout de cada llamada a AWS KMS, en segundos. De `1` a `600`.

Los dos modos de clave:

managed. La Mensageria crea una clave para cada institución, y kek:rotate la rota.
provided. Una clave que tú creas protege todas las instituciones. La Mensageria nunca la crea ni la rota, y kek:rotate devuelve 422. Cuando el custodio de tu clave la rota, la Mensageria registra la nueva versión.

Prepara AWS antes del primer arranque:

En el modo provided, la clave debe ser simétrica (SYMMETRIC_DEFAULT), con el uso ENCRYPT_DECRYPT, el origen AWS_KMS y el estado Enabled. La Mensageria rechaza una clave con material de clave importado.
La Mensageria obtiene sus credenciales de AWS de la cadena de credenciales predeterminada del AWS SDK.
En los dos modos, su identidad necesita kms:DescribeKey, kms:GenerateDataKey, kms:Decrypt, kms:ReEncryptFrom, kms:ReEncryptTo y kms:ListKeyRotations en sus claves. En el modo managed, también necesita kms:CreateKey, kms:TagResource, kms:CreateAlias, kms:RotateKeyOnDemand, kms:GetKeyRotationStatus, kms:ListAliases y tag:GetResources.
Cada llamada de clave de datos lleva el contexto de cifrado institution_id y key_purpose. La política de tu clave puede usarlos en condiciones.

Elige el proveedor de claves una sola vez. Cuando la base de datos contiene datos que otro proveedor de claves protege, el arranque rechaza.

API de ejecución y sweeper

El executor lee las órdenes e informa los resultados por la API de ejecución. Integración con Lerian SISBAJUD la describe.

Variable	Predeterminado / Obligatorio	Descripción
`SISBAJUD_EXECUTION_ADDRESS`	`:4032`	Dirección de escucha de la API de ejecución. Este listener acepta solo TLS.
`SISBAJUD_EXECUTION_TLS_CERT_FILE`	Obligatorio	Ruta del certificado de servidor de la API de ejecución.
`SISBAJUD_EXECUTION_TLS_KEY_FILE`	Obligatorio	Ruta de la clave privada de ese certificado. Sensible.
`SISBAJUD_EXECUTION_MTLS_ENABLED`	`false`	`true` hace que el listener exija un certificado de cliente. Cualquier valor distinto de `true`, `false` o en blanco rechaza el arranque.
`SISBAJUD_EXECUTION_CLIENT_CA_FILE`	Obligatorio si `SISBAJUD_EXECUTION_MTLS_ENABLED=true`	Ruta del bundle de CA que verifica los certificados de cliente.
`RESPONSE_DEADLINE_MARGIN`	Obligatorio	Duración Go mayor que 0, por ejemplo `2h`. Para una orden que espera detrás de una revisión anterior con un resultado incierto, el sweeper mantiene este margen antes del plazo de respuesta.
`EXECUTION_DRAINED_HEAD_ALARM_AFTER`	Obligatorio	Duración Go mayor que 0, por ejemplo `30m`. Cuánto tiempo una orden estacionada puede bloquear a su sujeto antes de que el sweeper dispare una alarma.
`EXECUTION_SWEEP_INTERVAL_SEC`	`60`	Intervalo del sweeper de ejecución, en segundos.
`EXECUTION_DEADLINE_MARGIN_SEC`	`RETURN_FILE_GENERATION_SCAN_INTERVAL`	Tiempo, en segundos, entre el `deadlineAt` de una orden y su plazo de respuesta. Debe ser mayor que 0 y menor que `21600`.
`EXECUTION_CANARY_INTERVAL_SEC`	`300`	Intervalo del probe canario, en segundos. Cada ejecución envía un probe por cada institución habilitada.

Streaming de eventos

Variable	Predeterminado / Obligatorio	Descripción
`STREAMING_ENABLED`	Obligatorio: `true`	Publica eventos. El valor predeterminado es `false`, y `false` rechaza el arranque: los avisos de ejecución necesitan un publicador real.
`STREAMING_BROKERS`	Obligatorio	Lista, separada por comas, de los brokers Kafka de los eventos que publica la Mensageria.
`STREAMING_CLOUDEVENTS_SOURCE`	Obligatorio	Configúrala en `br-sisbajud`. Cualquier otro valor rechaza el arranque.
`STREAMING_TLS_ENABLED`	`false` · `true` en producción	Se conecta a los brokers por TLS.
`STREAMING_SASL_MECHANISM`	—	Mecanismo SASL de los brokers. Con un mecanismo y sin TLS, el arranque rechaza, salvo que `STREAMING_SASL_ALLOW_PLAINTEXT` sea `true`.
`OUTBOX_ENABLED`	`true`	Ruta de entrega durable de los eventos. `STREAMING_ENABLED=true` la exige.
`OUTBOX_RETRY_WINDOW_SEC`	`300`	Tiempo, en segundos, antes de que la Mensageria reintente un evento que falló. Con `STA_TRANSFERS_ENABLED=true`, un valor menor que `300` rechaza el arranque.

Archivos de respuesta y workers

Variable	Predeterminado / Obligatorio	Descripción
`RETURN_FILE_GENERATION_ENABLED`	`false`	Genera los archivos de respuesta de bloqueo para las órdenes finalizadas que no tienen archivo de respuesta.
`RETURN_FILE_GENERATION_SCAN_INTERVAL`	`3600`	Intervalo de la generación de archivos de respuesta de bloqueo, en segundos.
`RETURN_FILE_GENERATION_LIMIT`	`500`	Número de órdenes que una pasada de generación procesa.
`INFORMATION_RETURN_FILE_GENERATION_ENABLED`	`false`	Genera los archivos de respuesta de información (AJUD309).
`INFORMATION_RETURN_FILE_GENERATION_SCAN_INTERVAL`	`3600`	Intervalo de la generación de archivos de respuesta de información, en segundos.
`INFORMATION_RETURN_FILE_GENERATION_LIMIT`	`500`	Número de órdenes que una pasada de generación de información procesa.
`RETURN_FILE_ENVIRONMENT`	`HOMOLOGATION`	`PRODUCTION` o `HOMOLOGATION`. Un archivo de respuesta toma el entorno del archivo de remesa detrás de sus órdenes. Este valor se aplica solo cuando ningún archivo de remesa las respalda. Un valor inválido desactiva la generación de archivos de respuesta.
`SISBAJUD_REMITTANCE_LAYOUTS`	`v111,v2026`	Layouts de remesa, separados por comas, que acepta la Mensageria: `v111` y `v2026`. La recepción rechaza un archivo en cualquier otro layout. Un valor inválido rechaza el arranque.
`SISBAJUD_RESPONSE_LAYOUT`	`auto`	Layout de la respuesta de bloqueo. `auto` responde cada remesa en el layout en que llegó. `v111` o `v2026` fuerza un layout. Un valor inválido rechaza el arranque.
`SLA_ALERT_ENABLED`	`false`	Clasifica las órdenes activas por banda de riesgo de SLA y publica las bandas como métricas.
`SLA_ALERT_SCAN_INTERVAL`	`60`	Intervalo de la clasificación de SLA, en segundos.
`PROCESSING_LOCK_REAPER_ENABLED`	`true`	Borra los locks de procesamiento vencidos en segundo plano.
`PROCESSING_LOCK_REAPER_INTERVAL_SEC`	`300`	Intervalo de la limpieza de locks, en segundos.

Almacenamiento de objetos

Variable	Predeterminado / Obligatorio	Descripción
`SEAWEEDFS_S3_ENDPOINT`	`http://localhost:8333`	Endpoint del almacenamiento de objetos compatible con S3.
`SEAWEEDFS_BUCKET`	`sisbajud`	Bucket para los archivos cifrados de la Mensageria.
`SEAWEEDFS_REGION`	`us-east-1`	Región S3.
`SEAWEEDFS_CREDENTIALS_SOURCE`	`static`	`static` firma con las dos claves siguientes, o envía solicitudes sin firma cuando las dos están en blanco. `default-chain` usa la cadena de credenciales del AWS SDK, y entonces las dos claves deben quedar en blanco.
`SEAWEEDFS_ACCESS_KEY`	—	Clave de acceso del almacenamiento de objetos. Sensible.
`SEAWEEDFS_SECRET_KEY`	—	Clave secreta del almacenamiento de objetos. Sensible.
`STA_INBOUND_BUCKET`	Obligatorio	Bucket con los archivos de remesa que entrega Lerian STA. Usa el mismo endpoint que `SEAWEEDFS_S3_ENDPOINT`.
`STA_FILE_LOCK_TTL`	`5`	Tiempo de vida del lock de procesamiento de un archivo, en minutos.

Consumidor de Lerian STA

La Mensageria recibe los archivos de remesa solo por los eventos que publica Lerian STA. El consumidor usa su propia configuración de broker, STA_STREAM_*. No lee las variables STREAMING_*.

Variable	Predeterminado / Obligatorio	Descripción
`STA_CONSUMER_ENABLED`	`false`	Recibe los archivos de remesa por los eventos de Lerian STA.
`STA_STREAM_BROKERS`	Obligatorio si el consumidor está activo	Lista, separada por comas, de los brokers Kafka de Lerian STA.
`STA_STREAM_SASL_MECHANISM`	Obligatorio si el consumidor está activo	`PLAIN`, `SCRAM-SHA-256` o `SCRAM-SHA-512`.
`STA_STREAM_SASL_USERNAME`	Obligatorio si el consumidor está activo	Nombre de usuario SASL.
`STA_STREAM_SASL_PASSWORD`	Obligatorio si el consumidor está activo	Contraseña SASL. Sensible.
`STA_STREAM_TLS_ENABLED`	`false`	Se conecta a los brokers por TLS. Con el consumidor activo, `false` exige `STA_STREAM_SASL_ALLOW_PLAINTEXT=true`.
`STA_STREAM_TLS_CA_CERT`	Obligatorio si TLS está activo	Certificado de CA de los brokers, en PEM codificado en base64.
`STA_STREAM_SASL_ALLOW_PLAINTEXT`	`false`	Acepta SASL sin TLS. La producción rechaza `true`.
`STA_CONSUMER_RETRY_BUDGET`	`3`	Número de reintentos de una falla transitoria dentro de una entrega.
`STA_SOURCE_PRODUCT`	Obligatorio si el consumidor o el envío está activo	Nombre del producto que Lerian STA registra para este riel. La Mensageria conserva solo los eventos con este nombre. La configuración de ejemplo usa `br-sisbajud`.
`STA_BACEN_SYSTEM_CODE`	Obligatorio si el consumidor está activo	La configuración de ejemplo usa `JUD`.
`STA_MAX_INBOUND_SIZE_BYTES`	Obligatorio si el consumidor está activo	Mayor archivo de remesa, en bytes, que descarga el consumidor. Debe ser mayor que 0. La configuración de ejemplo usa `52428800`.
`STA_OBJECT_STORAGE_ENDPOINT`	Obligatorio si el consumidor o el envío está activo	Endpoint de almacenamiento de objetos de Lerian STA. Debe indicar el mismo almacenamiento que `SEAWEEDFS_S3_ENDPOINT`. Un almacenamiento distinto rechaza el arranque.

Envío a Lerian STA

Variable	Predeterminado / Obligatorio	Descripción
`STA_TRANSFERS_ENABLED`	`false`	Envía los archivos de respuesta a Lerian STA. Exige `PLUGIN_AUTH_HOST`.
`STA_TRANSFERS_BASE_URL`	Obligatorio si el envío está activo	URL base de la API de Lerian STA.
`STA_DOCUMENT_TYPE_AJUD302`	Obligatorio si el envío está activo	Tipo de documento de Lerian STA para la respuesta de bloqueo. La configuración de ejemplo usa `AJUD302`.
`STA_DOCUMENT_TYPE_AJUD309`	Obligatorio si el envío está activo	Tipo de documento de Lerian STA para la respuesta de información. La configuración de ejemplo usa `AJUD309`.
`TRANSFER_OBJECT_STORAGE_BUCKET`	Obligatorio si el envío está activo	Bucket compartido con Lerian STA para los archivos de respuesta. Debe indicar el mismo bucket que `STA_INBOUND_BUCKET`. Un bucket distinto rechaza el arranque.
`STA_CLIENT_ID`	Obligatorio si el envío está activo	Client ID OAuth que obtiene el token para Lerian STA.
`STA_CLIENT_SECRET`	Obligatorio si el envío está activo	Client secret OAuth para Lerian STA. Sensible.

Valores que deben coincidir con el executor

RESPONSE_DEADLINE_MARGIN. El executor lee la misma variable. Configura el mismo valor en los dos componentes.
TLS mutuo. El executor tiene su propio interruptor, MENSAGERIA_MTLS_ENABLED. Configúralo con el mismo valor que SISBAJUD_EXECUTION_MTLS_ENABLED. Con TLS mutuo activo en la Mensageria e inactivo en el executor, el handshake TLS falla.

​Servicio y runtime

​Autenticación

​Licencia

​Gestión de claves

​Vault (cuando KMS_PROVIDER=vault)

​AWS KMS (cuando KMS_PROVIDER=aws)

​API de ejecución y sweeper

​Streaming de eventos

​Archivos de respuesta y workers

​Almacenamiento de objetos

​Consumidor de Lerian STA

​Envío a Lerian STA

​Valores que deben coincidir con el executor

Servicio y runtime

Autenticación

Licencia

Gestión de claves

Vault (cuando `KMS_PROVIDER=vault`)

AWS KMS (cuando `KMS_PROVIDER=aws`)

API de ejecución y sweeper

Streaming de eventos

Archivos de respuesta y workers

Almacenamiento de objetos

Consumidor de Lerian STA

Envío a Lerian STA

Valores que deben coincidir con el executor