Variables de entorno

Lerian STA es el riel propio de Lerian que transmite y recibe archivos con el hub STA de BACEN. Configuras estas variables en tiempo de despliegue. Un reinicio del servicio hace que tomen efecto. Todo servicio Go de Lerian comparte una base común: servidor, almacenes de datos, telemetría y autenticación de plugins. Fundamentos de configuración de BYOC documenta esa base común una sola vez. Esta página cubre las variables propias de Lerian STA. Para instalar o actualizar Lerian STA, consulta el README del chart de Lerian STA. En las tablas siguientes, la columna Predeterminado / Obligatorio muestra el valor predeterminado. Un calificador en negrita marca una variable que debes configurar, como Obligatorio o Obligatorio en producción. — significa que no hay valor predeterminado. Una variable marcada como Sensible lleva material de credenciales o claves. Inyéctala desde tu gestor de secretos en tiempo de despliegue. Nunca hagas commit de un valor. Un valor que no se puede leer como el tipo de su variable detiene el arranque. Una variable booleana acepta solo true o false.

Servicio y runtime

Variable	Predeterminado / Obligatorio	Descripción
`SERVER_ADDRESS`	`:4028`	Dirección de escucha HTTP principal. Los probes de liveness, readiness, métricas y versión se enlazan a este mismo puerto.
`DEPLOYMENT_MODE`	`local`	Modelo de despliegue: `local`, `byoc` o `saas`, en mayúsculas o minúsculas. Otro valor detiene el arranque. Con `saas`, el arranque falla cuando una conexión configurada con PostgreSQL, Redis, RabbitMQ, el almacenamiento de objetos o los brokers de streaming no exige TLS.
`PLUGIN_AUTH_ENABLED`	Obligatorio	`true` o `false`. Un valor vacío u otro valor detiene el arranque. `true` activa la autorización mediante Lerian Access Manager. Lerian STA acepta `false` solo cuando `ENV_NAME` es `development`, `develop`, `dev`, `local` o `test`, y `DEPLOYMENT_MODE` no es `saas`. Con `false`, cada solicitud protegida aún necesita un bearer token que nombra a un principal, y Lerian STA omite solo la llamada a Access Manager.
`PLUGIN_AUTH_HOST`	Obligatorio cuando `PLUGIN_AUTH_ENABLED` es `true`	Dirección de Lerian Access Manager.
`SYSTEMPLANE_ENABLED`	`false`	Habilita la API de administración de configuración en tiempo de ejecución de Systemplane bajo el prefijo `/system` en el puerto principal. Desactivado de forma predeterminada (modo de solo variables de entorno).
`BACEN_ENVIRONMENT`	`homologation`	Selecciona el entorno de BACEN STA al que apunta cada llamada a BACEN: `homologation` (staging) o `production` (en vivo). Un valor no reconocido vuelve a `homologation`, de modo que un stack que no es de producción no puede enrutar tráfico al servicio BACEN en vivo.
`SCHEDULER_ENABLED`	`false`	Ejecuta los jobs programados del worker, incluidos los sondeadores de estado saliente, el barrido de credenciales para rotaciones atascadas y la eliminación de transferencias canceladas e inconsistentes después de 7 días.

Lerian STA expone /health (liveness) y /readyz (readiness) en el puerto principal, además de /version y /metrics. Consulta Health and readiness para conocer el contrato del probe.

Licencia

Variable	Predeterminado / Obligatorio	Descripción
`LICENSE_FILE_PATH`	Obligatorio sin `LICENSE_KEY`	Ruta del archivo de licencia firmado que emite Lerian. Lerian STA verifica el archivo localmente y no llama al servicio de licencias. Si el archivo no licencia a Lerian STA, el arranque falla. Lerian STA no intenta usar `LICENSE_KEY` en su lugar. Lerian STA vuelve a leer el archivo aproximadamente cada hora, así que un archivo renovado entra en vigor sin reinicio. El archivo contiene la clave de licencia, así que guárdalo en un secreto. En Kubernetes, monta ese Secret como un directorio, sin `subPath`, porque Kubernetes no actualiza un montaje `subPath`.
`LICENSE_KEY`	Obligatorio sin `LICENSE_FILE_PATH`	Clave de licencia emitida por Lerian. Lerian STA la ignora cuando `LICENSE_FILE_PATH` está configurada. Sensible.
`ORGANIZATION_IDS`	Obligatorio	Ámbito de organización que cubre la licencia.

Transferencias

Variable	Predeterminado / Obligatorio	Descripción
`TRANSFER_SCHEDULER_ENABLED`	`false`	Ejecuta el loop del worker que sube las transferencias salientes a BACEN. Mientras sea `false`, Lerian STA acepta y almacena nuevas transferencias salientes pero no envía ninguna.
`TRANSFER_INBOUND_ENABLED`	`false`	Habilita el pipeline de transferencias entrantes (descargadas desde BACEN). No cambia el requisito del bucket en producción porque las transferencias salientes también usan el bucket.
`TRANSFER_MAX_ATTEMPTS`	`5`	Intentos que recibe una transferencia saliente antes de que Lerian STA la cancele, de 1 a 10. Clave de runtime: `sta.upload.max_attempts`.
`TRANSFER_TTL_HOURS`	`44`	Vida útil de reloj de pared de una transferencia saliente después de que BACEN asigna su protocolo, de 1 a 44 horas. Clave de runtime: `sta.upload.ttl_hours`.
`TRANSFER_MAX_FILE_SIZE_BYTES`	`5368709120`	Tamaño máximo del archivo que referencia una nueva transferencia saliente, en bytes (5 GiB).

Almacenamiento de objetos

Lerian STA persiste los bytes de la transferencia y las descargas entrantes en un almacén de objetos compatible con S3.

Variable	Predeterminado / Obligatorio	Descripción
`TRANSFER_OBJECT_STORAGE_BUCKET`	Obligatorio en producción	Bucket que contiene ambas direcciones de transferencia. El arranque en producción se rechaza si está vacío, sin importar si las transferencias entrantes están habilitadas.
`TRANSFER_S3_REGION`	`us-east-1`	Región del bucket de transferencias.
`TRANSFER_S3_ENDPOINT`	—	Endpoint de un almacén compatible con S3, como MinIO. Déjalo sin definir para AWS S3.
`TRANSFER_S3_PATH_STYLE`	`false`	Usa direccionamiento path-style, que la mayoría de los almacenes compatibles con S3 requiere.
`TRANSFER_INBOUND_MAX_FILE_SIZE_BYTES`	`5368709120`	Tamaño máximo de archivo entrante anunciado por BACEN, en bytes (5 GiB). Un valor de `0` o menor deshabilita este límite de admisión.
`TRANSFER_INBOUND_EXTRACT_MAX_EXPANSION_RATIO`	`100`	Relación máxima entre el tamaño de la entrada extraída y su envelope ZIP entregado. Un valor de `0` o menor deshabilita la verificación de la relación.
`TRANSFER_INBOUND_EXTRACT_MAX_EXTRACTED_BYTES`	`5368709120`	Tamaño máximo absoluto de la única entrada ZIP extraída, en bytes (5 GiB). Un valor de `0` o menor deshabilita este límite.
`AWS_REGION`	—	Región de AWS KMS cuando `MASTER_KEY_KMS_REGION` está vacío. No configura el almacenamiento de objetos.
`AWS_ACCESS_KEY_ID`	—	Clave de acceso para el almacén de objetos. Sensible. Déjala sin configurar cuando un rol de IAM adjunto proporcione las credenciales.
`AWS_SECRET_ACCESS_KEY`	—	Clave secreta para el almacén de objetos. Sensible. Déjala sin configurar cuando un rol de IAM adjunto proporcione las credenciales.

Cifrado envelope

Lerian STA protege las credenciales del operador con cifrado envelope AES-GCM. Todo proceso de Lerian STA necesita el material de la clave maestra. Un valor faltante o malformado aborta el arranque.

Variable	Predeterminado / Obligatorio	Descripción
`MASTER_KEY_PROVIDER`	`envvar`	Origen de la clave de cifrado envelope: `envvar` (clave leída desde `MASTER_KEYS`) o `aws-kms` (clave envuelta por un KMS en la nube).
`MASTER_KEY_VERSION`	Obligatorio	Selecciona la versión de clave maestra actualmente activa. Debe coincidir con una versión presente en `MASTER_KEYS`.
`MASTER_KEYS`	Obligatorio	Pares `version:key` separados por comas. Sensible. Con `envvar`, cada valor es una clave AES-256 de 64 caracteres hexadecimales: `version:<64-hex-key>`. Con `aws-kms`, cada valor es texto cifrado KMS en base64: `version:<base64-ciphertext>`, descifrado en el proceso. Obténlo desde tu gestor de secretos. Un valor faltante o malformado aborta el arranque.
`MASTER_KEY_KMS_KEY_ID`	Obligatorio si es `aws-kms`	Identificador de la clave de AWS KMS usada para descifrar el texto cifrado de `MASTER_KEYS`. Con `aws-kms`, el texto cifrado se descifra en el proceso de STA.
`MASTER_KEY_KMS_REGION`	—	Región de la clave de AWS KMS. Cuando está vacía, Lerian STA usa `AWS_REGION`.
`CREDENTIALS_RECOVERY_ON_BOOT`	`false`	Configúralo explícitamente en `true` para ejecutar, una vez en el arranque, el barrido de recuperación de credenciales del lado del worker para credenciales que quedaron a mitad de rotación por un proceso anterior.

Lerian STA ejecuta su pipeline de auditoría en un worker dedicado. El generador de exportación también necesita su bucket de S3.Configura los flags habilitados y los parámetros necesarios a través de las familias AUDIT_PUBLISHER_*, AUDIT_CONSUMER_*, AUDIT_PARTITION_*, AUDIT_VERIFIER_*, AUDIT_EXPORT_GENERATOR_* y AUDIT_EXPORT_RATE_LIMIT_*. El runtime aplica sus valores predeterminados declarados. El gestor de particiones y el verificador se ejecutan de forma predeterminada. Habilita cada uno de los otros jobs antes de esperar que se ejecute.

Streaming

Lerian STA y la librería de streaming de Lerian leen la familia STREAMING_. Lerian Streaming Hub entrega los eventos publicados.

Variable	Predeterminado / Obligatorio	Descripción
`STREAMING_ENABLED`	`false`	Interruptor maestro para la emisión de eventos de negocio hacia los brokers de streaming. También necesita `BUSINESS_EVENTS_ENABLED` y `RABBITMQ_ENABLED`, ambas `true` de forma predeterminada. Mientras está desactivado, el servicio no envía ningún evento a los brokers.
`STREAMING_BROKERS`	Obligatorio cuando el streaming está habilitado	Lista de arranque de brokers separada por comas. Una configuración habilitada con una lista vacía rechaza el arranque.
`STREAMING_CLOUDEVENTS_SOURCE`	`br-sta` (fijo)	Fuente de CloudEvents de este servicio. Define el espacio de nombres del topic y el prefijo del tipo de evento. Déjala sin configurar. Cualquier valor no vacío distinto de `br-sta` rechaza el arranque, incluso cuando el streaming está desactivado.
`STREAMING_CLIENT_ID`	`br-sta`	Identificador de cliente del broker usado para diagnósticos del lado del broker.
`STREAMING_CB_FAILURE_RATIO`	`0.5`	Relación de fallos que abre el circuit breaker del productor. Con el streaming habilitado, un valor de 0 o menor, o mayor que 1, rechaza el arranque.
`STREAMING_CB_MIN_REQUESTS`	`10`	Mínimo de solicitudes antes de que el circuit breaker del productor evalúe la relación de fallos. Con el streaming habilitado, un valor negativo rechaza el arranque.
`STREAMING_CB_TIMEOUT_S`	`30`	Tiempo de enfriamiento en estado abierto, en segundos, para el circuit breaker del productor. Con el streaming habilitado, un valor negativo rechaza el arranque.
`STREAMING_CLOSE_TIMEOUT_S`	`30`	Ventana máxima de drenaje y vaciado, en segundos, cuando el productor se cierra. Con el streaming habilitado, un valor de 0 o menos rechaza el arranque.
`STREAMING_TOPIC_AUTO_PROVISION`	`true`	Con el streaming habilitado, el servicio crea su topic de eventos `lerian.streaming.br-sta` y su topic de dead-letter `lerian.streaming.br-sta.dlq` en los brokers durante el arranque, cuando no existen. Una creación fallida registra una advertencia y el arranque continúa. Configúrala en `false` cuando creas los topics por adelantado.
`STREAMING_TOPIC_PARTITIONS`	`-1`	Número de particiones de un topic que el servicio crea. Un valor menor que 1 usa el valor predeterminado del broker.
`STREAMING_TOPIC_REPLICATION_FACTOR`	`-1`	Factor de replicación de un topic que el servicio crea. Un valor menor que 1 usa el valor predeterminado del broker.
`STREAMING_TLS_ENABLED`	`false` (Obligatorio como `true` con `DEPLOYMENT_MODE=saas` cuando el streaming está habilitado)	Activa TLS en la conexión al broker. La versión mínima es TLS 1.2.
`STREAMING_TLS_CA_CERT`	—	Autoridad certificadora PEM para un broker privado u on-premises, en PEM plano o codificado en base64. Se aplica cuando `STREAMING_TLS_ENABLED` es `true`. Un valor vacío usa el almacén de confianza del host.
`STREAMING_SASL_MECHANISM`	— (Obligatorio con `DEPLOYMENT_MODE=saas` cuando el streaming está habilitado)	Mecanismo de autenticación del broker: `PLAIN`, `SCRAM-SHA-256` o `SCRAM-SHA-512`. Un valor vacío desactiva la autenticación del broker. Con el streaming habilitado, un mecanismo sin sus credenciales, o sin `STREAMING_TLS_ENABLED=true`, rechaza el arranque.
`STREAMING_SASL_USERNAME`	— (Obligatorio con `DEPLOYMENT_MODE=saas` cuando el streaming está habilitado)	Usuario de autenticación del broker.
`STREAMING_SASL_PASSWORD`	— (Obligatorio con `DEPLOYMENT_MODE=saas` cuando el streaming está habilitado)	Contraseña de autenticación del broker. Sensible.

Presentaciones de Reporter

Estas variables controlan el consumidor que presenta ante BACEN los informes regulatorios aprobados en Reporter. Consulta Presentaciones regulatorias de Reporter.

Variable	Predeterminado / Obligatorio	Descripción
`REPORTER_EVENTS_CONSUMER_ENABLED`	`false`	Consume las aprobaciones de presentación regulatoria de Reporter y presenta los informes aprobados ante BACEN.
`REPORTER_EVENTS_CONSUMER_EXCHANGE`	Obligatorio si el consumidor está habilitado	Exchange de eventos de Reporter al que se vincula el consumidor.
`REPORTER_EVENTS_DOCTYPE_RESOLVER`	Obligatorio si el consumidor está habilitado	Cómo Lerian STA obtiene el tipo de documento de BACEN de un informe. Configura `payload` para leerlo desde el evento.

​Servicio y runtime

​Licencia

​Transferencias

​Almacenamiento de objetos

​Cifrado envelope

​Streaming

​Presentaciones de Reporter

Servicio y runtime

Licencia

Transferencias

Almacenamiento de objetos

Cifrado envelope

Streaming

Presentaciones de Reporter