Variáveis de ambiente

O Lerian STA é o rail de propriedade da Lerian que transmite e recebe arquivos com o hub STA do BACEN. Você define essas variáveis no momento do deploy. Uma reinicialização do serviço faz com que entrem em vigor. Todo serviço Go da Lerian compartilha um backbone universal: servidor, datastores, multi-tenancy, telemetria, autenticação de plugin e licenciamento. A referência de configuração BYOC documenta esse backbone uma única vez. Esta página cobre apenas as variáveis distintivas do Lerian STA. Nas tabelas abaixo, a coluna Padrão / Obrigatória mostra o valor padrão. Um qualificador em negrito marca uma variável que você deve definir, como Obrigatória ou Obrigatória em produção. — significa que não há padrão. Uma variável marcada como Sensível carrega material de credencial ou de chave. Injete-a a partir do seu gerenciador de segredos no momento do deploy. Nunca faça commit de um valor.

Serviço e runtime

Variável	Padrão / Obrigatória	Descrição
`SERVER_ADDRESS`	`:4028`	Endereço de escuta HTTP principal. As probes de liveness, readiness, metrics e version se vinculam a essa mesma porta.
`SYSTEMPLANE_ENABLED`	`false`	Habilita a API de administração de configuração de runtime do Systemplane sob o prefixo `/system` na porta principal. Desligada por padrão (modo apenas variáveis de ambiente).
`DEFAULT_TENANT_ID`	`11111111-1111-1111-1111-111111111111`	UUID de fallback usado somente como `ce-tenantid` do streaming/outbox quando um evento não tem ID de tenant; não é injetado no contexto normal de requisições ou transferências single-tenant.
`BACEN_ENVIRONMENT`	`homologation`	Seleciona o alvo STA do BACEN upstream para a probe de conectividade: `homologation` (staging) ou `production` (produção). Um valor não reconhecido usa `homologation` como fallback, de modo que um stack fora de produção não possa rotear tráfego para o serviço real do BACEN.

O Lerian STA expõe /health (liveness) e /readyz (readiness) na porta principal, além de /version e /metrics. Quando você habilita a multi-tenancy, ele também expõe GET /readyz/tenant/{id}. Consulte Saúde e prontidão para o contrato das probes.

Armazenamento de objetos

O Lerian STA persiste os bytes de transferência e os downloads de entrada em um object store compatível com S3. Cada subsistema configura sua própria conexão através do AWS SDK, de modo que a mesma fiação atende AWS S3, MinIO ou um store local.

Variável	Padrão / Obrigatória	Descrição
`TRANSFER_OBJECT_STORAGE_BUCKET`	Obrigatória em produção	Bucket que armazena ambas as direções de transferência, indexadas por prefixo de direção. O boot de produção é recusado se estiver vazio, independentemente de as transferências de entrada estarem habilitadas.
`TRANSFER_INBOUND_ENABLED`	`false`	Habilita o pipeline de transferência de entrada (puxada pelo BACEN). Não altera o requisito do bucket em produção porque as transferências de saída também o utilizam.
`TRANSFER_INBOUND_MAX_FILE_SIZE_BYTES`	`5368709120`	Tamanho máximo do arquivo de entrada anunciado pelo BACEN, em bytes (5 GiB). Um valor igual ou inferior a `0` desabilita esse limite de admissão.
`TRANSFER_INBOUND_EXTRACT_MAX_EXPANSION_RATIO`	`100`	Razão máxima entre o tamanho da entrada extraída e o envelope ZIP entregue. Um valor igual ou inferior a `0` desabilita a verificação da razão.
`TRANSFER_INBOUND_EXTRACT_MAX_EXTRACTED_BYTES`	`5368709120`	Tamanho máximo absoluto da única entrada extraída do ZIP, em bytes (5 GiB). Um valor igual ou inferior a `0` desabilita esse limite.
`AWS_REGION`	—	Região do AWS Secrets Manager M2M e, quando `MASTER_KEY_KMS_REGION` está vazio, fallback para AWS KMS. Não configura o armazenamento de objetos.
`AWS_ACCESS_KEY_ID`	—	Access key para o object store. Sensível. Deixe não definido quando uma IAM role anexada fornece as credenciais.
`AWS_SECRET_ACCESS_KEY`	—	Secret key para o object store. Sensível. Deixe não definido quando uma IAM role anexada fornece as credenciais.

Criptografia de envelope

O Lerian STA protege as credenciais de operador com criptografia de envelope AES-GCM. O processo do manager sempre precisa do material de chave-mestra. Um valor ausente ou malformado aborta o boot.

Variável	Padrão / Obrigatória	Descrição
`MASTER_KEY_PROVIDER`	`envvar`	Origem da chave de criptografia de envelope: `envvar` (chave lida de `MASTER_KEYS`) ou `aws-kms` (chave envelopada por um cloud KMS).
`MASTER_KEY_VERSION`	Obrigatória	Seleciona a versão de chave-mestra atualmente ativa. Deve corresponder a uma versão presente em `MASTER_KEYS`.
`MASTER_KEYS`	Obrigatória	Pares `version:key` separados por vírgula. Sensível. Com `envvar`, cada valor é uma chave AES-256 de 64 caracteres hex: `version:<64-hex-key>`. Com `aws-kms`, cada valor é texto cifrado de KMS em base64: `version:<base64-ciphertext>`, decifrado no processo. Obtenha do seu gerenciador de segredos — um valor ausente ou malformado aborta o boot.
`MASTER_KEY_KMS_KEY_ID`	Obrigatória se `aws-kms`	Identificador da chave AWS KMS usada para decifrar o texto cifrado de `MASTER_KEYS`. Com `aws-kms`, o texto cifrado é decifrado no processo do STA.
`CREDENTIALS_RECOVERY_ON_BOOT`	`false`	Defina explicitamente como `true` para executar uma vez no boot a varredura de recuperação de credenciais do worker deixadas em meio a uma rotação por um processo anterior.

O Lerian STA roda seu pipeline de auditoria em um worker dedicado. Publisher, consumidor e gerador de exportação oferecem suporte aos modos single-tenant e multitenant; o gerador também precisa do seu bucket S3. O gerenciador de partições, a limpeza e o verificador exigem multi-tenancy. Configure as flags de habilitação e os parâmetros obrigatórios pelas famílias AUDIT_PUBLISHER_*, AUDIT_CONSUMER_*, AUDIT_PARTITION_*, AUDIT_CLEANUP_*, AUDIT_VERIFIER_*, AUDIT_EXPORT_GENERATOR_* e AUDIT_EXPORT_RATE_LIMIT_*. O runtime aplica os padrões declarados; habilite explicitamente um worker antes de esperar que ele rode.

​Serviço e runtime

​Armazenamento de objetos

​Criptografia de envelope

Serviço e runtime

Armazenamento de objetos

Criptografia de envelope