Variáveis de ambiente do Plugin SISBAJUD

Esta página lista as variáveis de ambiente do Plugin SISBAJUD. Variáveis de ambiente da Lerian SISBAJUD Mensageria lista as variáveis da Mensageria. Fundamentos de configuração do BYOC documenta as variáveis que todo serviço Go da Lerian compartilha: servidor, armazenamento de dados, telemetria e autenticação de plugin. Nas tabelas abaixo, a coluna Padrão / Obrigatório mostra o valor padrão. Um qualificador em negrito (por exemplo, Obrigatório) marca as variáveis que você deve definir. — significa que não há padrão. Uma variável marcada como Sensível guarda uma credencial ou material de chave. Injete-a a partir do seu gerenciador de segredos no momento do deploy. Não faça commit do seu valor. EXECUTOR_ENABLED=true liga o plugin. Com EXECUTOR_ENABLED em branco, uma MENSAGERIA_BASE_URL não vazia também liga o plugin, e false não desliga o plugin de uma Mensageria configurada. Com EXECUTOR_ENABLED=true e sem MENSAGERIA_BASE_URL, o plugin roda sem a Mensageria, apenas para o canal direto. Nesse caso ele exige EXECUTOR_M2M_SUBJECT, RESPONSE_DEADLINE_MARGIN e EXECUTOR_HEARTBEAT_EVERY. Ele não lê as variáveis de cliente, mTLS nem de listener de webhook da Mensageria, exceto EXECUTOR_HUB_WEBHOOK_MAX_HANDLE_ATTEMPTS, que limita as tentativas de cada ordem direta. Para instalar ou atualizar o plugin, consulte o README do chart.

Serviço e runtime

Variável	Padrão / Obrigatório	Descrição
`SERVER_ADDRESS`	Defina como `:4029`	Endereço de escuta da API principal. A imagem expõe a porta 4029. `/health`, `/readyz` e `/version` usam esta porta.
`ENVIRONMENT_NAME`	—	Ambiente de execução. `local`, `development`, `staging`, `e2e` e `test` são valores de não produção. Qualquer outro valor, e nenhum valor, executa as verificações de produção.
`DEPLOYMENT_MODE`	`local`	`local`, `byoc` ou `saas`. Com `saas`, o boot recusa uma conexão PostgreSQL ou Redis sem TLS. Fora de `local`, o listener de webhook precisa de TLS.
`DEFAULT_TENANT_ID`	`11111111-1111-1111-1111-111111111111`	Tenant de um deployment single-tenant. Deve ser um UUID.
`EXECUTOR_ENABLED`	—	`true` ou `false`. Qualquer outro valor recusa o boot.
`SYSTEMPLANE_ENABLED`	`false`	Serve a API de administração do Systemplane em `/system` e os documentos de rotas contábeis em `/tenant-system`.

As verificações de produção exigem POSTGRES_PASSWORD e recusam POSTGRES_SSLMODE=disable. Com STREAMING_ENABLED=true, elas também exigem STREAMING_TLS_ENABLED=true.

Autenticação

Variável	Padrão / Obrigatório	Descrição
`PLUGIN_AUTH_ENABLED`	`false`	Verifica os bearer tokens da API principal com o Access Manager. Com `false`, o plugin não serve a rotação da chave de credenciais, a resolução de decisão humana, o rearme de resultado, a resolução de tentativa estacionada, o apagamento de ordens diretas nem a pré-visualização da limpeza, e o canal direto responde `501`.
`PLUGIN_AUTH_HOST`	Obrigatório	Endereço do Access Manager. O plugin obtém o seu token para a Mensageria neste endereço, também quando `PLUGIN_AUTH_ENABLED` é `false`.

Licença

License Manager descreve como o produto verifica a licença.

Variável	Padrão / Obrigatório	Descrição
`LICENSE_KEY`	Obrigatório	A chave de licença que a Lerian emitiu para o Plugin SISBAJUD. O boot recusa um valor vazio em qualquer ambiente. A licença é global, então nenhuma outra variável define o seu escopo.

Gestão de chaves

Variável	Padrão / Obrigatório	Descrição
`KMS_PROVIDER`	Obrigatório quando `ENVIRONMENT_NAME` é `production`	Gerenciador de chaves: `vault` (HashiCorp Vault Transit) ou `aws` (AWS KMS). Qualquer outro valor recusa o boot. Com qualquer outro ambiente, um valor não definido significa `vault`.
`AWS_REGION`	Obrigatório com `aws`	Região do AWS KMS.
`KMS_AWS_KEY_MODE`	Obrigatório com `aws`	`managed` ou `provided`. Não tem padrão. Qualquer outro valor recusa o boot.
`KMS_AWS_KEY_ARN`	Obrigatório com `provided`	ARN da sua chave do AWS KMS para os dados da instituição, na região de `AWS_REGION`. Um ARN de alias recusa o boot. Com `managed`, deixe-o vazio.
`KMS_AWS_CREDENTIALS_KEY_ARN`	Obrigatório com `provided`	ARN da sua chave do AWS KMS para as credenciais de conector armazenadas, com as mesmas regras. Deve ser uma chave diferente de `KMS_AWS_KEY_ARN`.
`KMS_AWS_ROTATION_CHECK_INTERVAL_SEC`	`3600`	Com `provided`, o intervalo, em segundos, em que o plugin procura uma rotação das suas chaves. De `1` a `86400`.
`KMS_AWS_TIMEOUT_SEC`	`20`	Timeout de cada chamada ao AWS KMS, em segundos. De `1` a `600`.
`VAULT_ADDR`	Obrigatório com `vault`	Endereço do seu Vault.
`VAULT_AUTH_METHOD`	`token`	`token` ou `approle`. Qualquer outro valor recusa o boot.
`VAULT_TOKEN`	Obrigatório para `token` quando `ENVIRONMENT_NAME` é `production`	Token do Vault. Sensível.
`VAULT_APPROLE_ROLE_ID`	Obrigatório para `approle`	Role ID do AppRole. Sensível.
`VAULT_APPROLE_SECRET_ID`	Obrigatório para `approle`	Secret ID do AppRole. Sensível.
`VAULT_TRANSIT_MOUNT_PATH`	`transit`	Caminho de montagem do engine Transit.
`VAULT_TIMEOUT_SEC`	`15`	Timeout de cada requisição ao Vault, em segundos. De `1` a `600`.
`VAULT_TOKEN_RENEW_ENABLED`	`true`	Renova o token do Vault em segundo plano.
`VAULT_TOKEN_RENEW_MIN_INTERVAL_SEC`	`60`	Tempo mínimo entre duas renovações, em segundos.

Com o AWS KMS, os dois modos de chave são:

managed. O plugin cria duas chaves para cada instituição: uma para os seus dados e uma para as suas credenciais de conector armazenadas. credential-kek:rotate rotaciona a chave de credenciais.
provided. Você cria as duas chaves. O plugin nunca as cria nem as rotaciona, e credential-kek:rotate retorna 422. Quando o custodiante das suas chaves rotaciona uma chave, o plugin registra a nova versão.

Os requisitos da chave, as credenciais da AWS, as permissões, exceto kms:ListAliases, e o contexto de criptografia são os mesmos da Mensageria. AWS KMS na Mensageria os lista. Escolha o provedor de chaves uma vez. Quando o banco de dados contém dados que outro provedor de chaves protege, o boot recusa.

Conexão com a Mensageria

O plugin chama a API de execução da Mensageria. Integrando com o Lerian SISBAJUD a descreve.

Variável	Padrão / Obrigatório	Descrição
`MENSAGERIA_BASE_URL`	Obrigatório com a Mensageria	URL base da API de execução da Mensageria (`SISBAJUD_EXECUTION_ADDRESS` na Mensageria). Deve ser uma URL `https` com host.
`MENSAGERIA_MTLS_ENABLED`	`false`	`true` apresenta um certificado de cliente. `false` usa TLS de uma via. Qualquer outro valor recusa o boot.
`MENSAGERIA_TLS_CA_FILE`	Obrigatório se `MENSAGERIA_MTLS_ENABLED=true`	Pacote de CA que verifica a Mensageria. Com TLS de uma via, é opcional, e um valor vazio usa o repositório de confiança do sistema.
`MENSAGERIA_TLS_CLIENT_CERT_FILE`	Obrigatório se `MENSAGERIA_MTLS_ENABLED=true`	Certificado de cliente do plugin.
`MENSAGERIA_TLS_CLIENT_KEY_FILE`	Obrigatório se `MENSAGERIA_MTLS_ENABLED=true`	Chave privada desse certificado. Sensível.
`EXECUTOR_M2M_SUBJECT`	Obrigatório	O `sub` do token M2M do plugin. O plugin o registra como dono de cada instituição que cria.
`MENSAGERIA_CLIENT_ID`	Obrigatório	Client ID do cliente M2M do plugin.
`MENSAGERIA_CLIENT_SECRET`	Obrigatório	Client secret desse cliente. Sensível. O boot recusa um par com apenas um dos dois valores.
`STREAMING_HUB_TENANT_ID`	Obrigatório	Tenant das sondas canário.

Tempos de execução

Variável	Padrão / Obrigatório	Descrição
`EXECUTOR_TICK_EVERY`	`30s`	Intervalo do ciclo de execução. Duração Go maior que 0.
`EXECUTOR_HEARTBEAT_EVERY`	Obrigatório	Intervalo dos heartbeats de uma escrita cujo resultado não é conhecido. Duração Go maior que 0.
`EXECUTOR_HUMAN_DECISION_AFTER_BEATS`	`3`	Número de heartbeats sem mudança antes de a ordem ir para uma decisão humana.
`EXECUTOR_RESULT_MAX_ATTEMPTS`	`12`	Número de envios com falha de um resultado antes de o plugin estacioná-lo, registrar uma decisão humana e disparar um alarme. `0` significa o padrão. Um valor negativo recusa o boot. Um administrador da plataforma rearma um resultado estacionado.
`RESPONSE_DEADLINE_MARGIN`	Obrigatório	Duração Go maior que 0, por exemplo `2h`. Antes do prazo da ordem, o plugin mantém esta margem e entrega uma escrita não resolvida a uma decisão humana.
`EXECUTOR_SETTLE_WINDOW`	`1s`	Duração Go. Defina-a com pelo menos a latência assíncrona do seu ledger.
`EXECUTOR_ORPHAN_RECONCILE_WINDOW`	`48h`	Até quando, no passado, o plugin procura operações em contas de bloqueio que ele não escreveu.

Listener de webhook

Variável	Padrão / Obrigatório	Descrição
`EXECUTOR_TRANSPORT`	`webhook`	Como os avisos de execução chegam ao plugin. Esta página descreve `webhook`.
`EXECUTOR_HUB_WEBHOOK_ADDRESS`	`:9082`	Endereço de escuta do listener de webhook.
`EXECUTOR_HUB_WEBHOOK_PATH`	`/v1/webhooks/hub`	Rota do listener de webhook. Deve começar com `/`.
`EXECUTOR_HUB_WEBHOOK_SECRET`	Obrigatório	Secret de assinatura da assinatura do Streaming Hub. Sensível.
`EXECUTOR_HUB_WEBHOOK_SECRET_PREVIOUS`	—	O secret anterior à última rotação. O listener aceita os dois secrets. Sensível.
`EXECUTOR_HUB_WEBHOOK_MAX_SKEW_SEC`	`300`	De `1` a `300`. O listener aceita uma entrega fora desta diferença de relógio, com um aviso no log.
`EXECUTOR_HUB_WEBHOOK_TLS_CERT_FILE`	Obrigatório fora de `DEPLOYMENT_MODE=local`, a menos que o TLS termine antes	Certificado de servidor do listener. Defina-o junto com a chave.
`EXECUTOR_HUB_WEBHOOK_TLS_KEY_FILE`	Obrigatório com o certificado	Chave privada desse certificado. Sensível.
`EXECUTOR_HUB_WEBHOOK_UPSTREAM_TLS_VALIDATED`	`false`	Defina como `true` quando o TLS termina na frente do listener.
`EXECUTOR_HUB_WEBHOOK_MAX_HANDLE_ATTEMPTS`	`5`	Número de tentativas para cada entrega aceita. Deve ser pelo menos 1 + `EXECUTOR_SETTLE_WINDOW` / `EXECUTOR_TICK_EVERY`, arredondado para cima.

Canal direto

O canal direto exige PLUGIN_AUTH_ENABLED ligado, um tenant e o modo executor. Como o Plugin SISBAJUD executa ordens o descreve.

Variável	Padrão / Obrigatório	Descrição
`DIRECT_PERMANENT_BLOCK_ENABLED`	`false`	`true` ou `false`. Qualquer outro valor recusa o boot. Com `false`, o canal recusa um novo bloqueio permanente com `SBJ-0027`. Com `false`, os bloqueios permanentes ativos continuam bloqueando novos créditos até se encerrarem. Com `true`, o plugin aceita um novo bloqueio permanente, e o boot exige `STREAMING_ENABLED` `true` e `STREAMING_BROKERS`. `STREAMING_BROKERS` deve alcançar os brokers onde o Midaz publica os seus eventos de ledger: sem eles, o plugin não captura nenhum crédito posterior.
`DIRECT_PERMANENT_REFRESH_EVERY`	`15m`	Com que frequência o plugin atualiza as contas do sujeito de um bloqueio permanente. De `1m` a `15m`.
`EXECUTOR_PERMANENT_RESULT_EMITTER_ENABLED`	`false`	`true` ou `false`. Com `true`, o plugin escreve um resultado para cada bloqueio posterior de um bloqueio permanente. Ele exige `DIRECT_PERMANENT_BLOCK_ENABLED` `true`. O plugin retém um resultado e dispara um alarme quando `connectorMetadata.permanentProducts` não mapeia o tipo de conta.
`EXECUTOR_ORDER_SWEEP_ENABLED`	`false`	`true` ou `false`. Com `true`, o plugin fecha as revisões concluídas dos dois canais.
`EXECUTOR_DIRECT_DRAINER_INFRA_ALARM_THRESHOLD`	`3`	O plugin dispara um alarme quando uma ordem direta chega a cada múltiplo deste número de erros de infraestrutura consecutivos. Pelo menos `1`.
`EXECUTOR_DIRECT_PURGE_ELIGIBLE_ALARM_AFTER`	`168h`	Go duration maior que 0. O plugin registra um erro no log quando a ordem direta mais antiga que pode ser apagada espera por esse tempo, para que um administrador a revise. Um valor inválido interrompe o plugin na inicialização.
`EXECUTOR_DIRECT_PURGE_REFRESH_EVERY`	`15m`	Go duration maior que 0. Com que frequência o plugin conta as ordens diretas que podem ser apagadas. Um valor inválido interrompe o plugin na inicialização.

Midaz

Variável	Padrão / Obrigatório	Descrição
`MIDAZ_CRM_MODE`	`legacy`	Superfície de CRM das instituições que não definem `crmMode`: `legacy` (o CRM autônomo do Midaz em `crmBaseUrl`) ou `embedded` (o CRM do ledger Midaz em `baseUrl`).

O plugin lê a conexão com o Midaz de cada instituição da sua configuração, não de variáveis de ambiente. Operando o Plugin SISBAJUD a descreve.

Streaming de eventos

Variável	Padrão / Obrigatório	Descrição
`STREAMING_ENABLED`	`true`	Publica eventos. Uma rotação da chave de credenciais publica `kek.rotated`. O boot recusa `false` quando `STREAMING_BROKERS` está definido.
`STREAMING_BROKERS`	—	Lista de brokers Kafka separada por vírgulas.
`STREAMING_TLS_ENABLED`	`true` em produção	Conecta aos brokers por TLS.
`OUTBOX_ENABLED`	`true`	Caminho de entrega durável dos eventos. `STREAMING_ENABLED=true` o exige.

Valores que devem coincidir com a Mensageria

RESPONSE_DEADLINE_MARGIN. A Mensageria lê a mesma variável. Defina o mesmo valor na Mensageria e no Plugin SISBAJUD.
TLS mútuo. Defina MENSAGERIA_MTLS_ENABLED com o mesmo valor de SISBAJUD_EXECUTION_MTLS_ENABLED na Mensageria. Com TLS mútuo ligado na Mensageria e desligado no plugin, o handshake TLS falha.
Identidade do plugin. EXECUTOR_M2M_SUBJECT é o sub do token do cliente M2M em MENSAGERIA_CLIENT_ID.

Introdução

TED Lerian

TED JD

Pix Lerian

Pix JD

JD Courier

Pix BTG

Payments BTG

Plugin SISBAJUD

Variáveis de ambiente do Plugin SISBAJUD

Serviço e runtime

Autenticação

Licença

Gestão de chaves

Conexão com a Mensageria

Tempos de execução

Listener de webhook

Canal direto

Midaz

Streaming de eventos

Valores que devem coincidir com a Mensageria

​Serviço e runtime

​Autenticação

​Licença

​Gestão de chaves

​Conexão com a Mensageria

​Tempos de execução

​Listener de webhook

​Canal direto

​Midaz

​Streaming de eventos

​Valores que devem coincidir com a Mensageria

Serviço e runtime

Autenticação

Licença

Gestão de chaves

Conexão com a Mensageria

Tempos de execução

Listener de webhook

Canal direto

Midaz

Streaming de eventos

Valores que devem coincidir com a Mensageria