Variáveis de ambiente

O Lerian SCR é o trilho de propriedade da Lerian que consulta posições de tomadores no BACEN. Você define essas variáveis em tempo de deploy. Uma reinicialização do serviço as coloca em vigor. O system plane mantém um segundo conjunto de parâmetros que um operador altera após o deployment. Veja Operações e System plane. Nas tabelas abaixo, a coluna Padrão / Obrigatório mostra o valor padrão. — significa nenhum padrão. Um qualificador em negrito marca um valor que você deve definir. Uma linha marcada com Sensitive. carrega material de credencial ou de chave. Injete-o a partir do seu gerenciador de segredos em tempo de deploy, e nunca faça commit de um valor. A postura estrita cobre um nome de ambiente de produção e o modo de deployment saas. Obrigatório em produção marca um valor que a postura estrita exige. Um valor ausente ou inseguro ali recusa a inicialização.

Serviço e runtime

Variável	Padrão / Obrigatório	Descrição
`SERVICE_NAME`	`br-scr`	Identidade do serviço registrada nos logs e na telemetria.
`ENV_NAME`	`development`	Ambiente de deployment. Os valores `production` e `prod` selecionam a postura estrita.
`LOG_LEVEL`	`info`	Nível mínimo de log. Um de `debug`, `info`, `warn`, `error`. Outro valor recusa a inicialização.
`SERVER_PORT`	`3003`	Porta HTTP de escuta de entrada.
`DEPLOYMENT_MODE`	`local`, Obrigatório em produção	Postura de TLS. Um de `local`, `byoc`, `saas`. O valor `saas` seleciona a postura estrita. A postura estrita exige um valor explícito.
`TRUSTED_PROXIES`	—	Endereços de proxy ou intervalos CIDR separados por vírgula cujo IP de cliente encaminhado o serviço confia. Vazio não confia em nenhum proxy e lê o peer direto. Um intervalo wildcard recusa uma inicialização estrita.
`PROXY_HEADER`	`X-Forwarded-For`	Header do qual o serviço lê o IP do cliente. Aplica-se apenas quando a lista de proxies confiáveis está definida.
`MULTI_TENANT_ENABLED`	`false`	O valor `true` atende muitas instituições a partir de uma única instância pelo diretório de tenants. O valor `false` atende uma.
`MULTI_TENANT_URL`	Obrigatório com multi-tenancy	URL base do diretório de tenants.
`MULTI_TENANT_SERVICE_API_KEY`	Obrigatório com multi-tenancy	Chave de serviço enviada como `X-API-Key` em cada requisição ao diretório de tenants. Sensível.
`READYZ_DRAIN_DELAY`	`3s`	Janela mantida aberta depois que a prontidão reporta 503 no encerramento, antes que o listener feche. Um `0` desativa a espera. Um valor inválido ou negativo volta ao padrão. O serviço limita a janela a um terço do orçamento de encerramento.

O Lerian SCR expõe /health, /readyz e /version na porta principal. Veja Saúde e prontidão para o contrato do probe, e Operações para as verificações de prontidão.

Postgres

O Postgres armazena a trilha de auditoria, os metadados de credencial e o outbox. Um operador aplica o esquema antes da primeira inicialização. O serviço lê o esquema e nunca o cria.

Variável	Padrão / Obrigatório	Descrição
`POSTGRES_HOST`	Obrigatório em produção	Host do banco de dados.
`POSTGRES_PORT`	`5432`	Porta do banco de dados.
`POSTGRES_USER`	Obrigatório em produção	Usuário do banco de dados.
`POSTGRES_PASSWORD`	—	Senha para esse usuário. Sensível.
`POSTGRES_DB`	Obrigatório em produção	Nome do banco de dados.
`POSTGRES_SSLMODE`	`disable`, Obrigatório em produção	Modo de TLS da conexão. A postura estrita aceita apenas `require`, `verify-ca` ou `verify-full`.
`POSTGRES_MAX_OPEN_CONNS`	`25`	Máximo de conexões abertas no pool. Um valor de `0` ou menor restaura o padrão.
`POSTGRES_MAX_IDLE_CONNS`	`10`	Máximo de conexões ociosas no pool. Um valor de `0` ou menor restaura o padrão.
`POSTGRES_CONN_LIFETIME`	`30m`	Tempo de vida máximo de uma conexão em pool. Um valor não interpretável volta ao padrão.
`POSTGRES_CONN_IDLE_TIME`	`5m`	Tempo ocioso máximo de uma conexão em pool. Um valor não interpretável volta ao padrão.

Redis

O Redis dá suporte ao cache de resultado, à janela de idempotência e ao rate limit de entrada.

Variável	Padrão / Obrigatório	Descrição
`REDIS_HOST`	Obrigatório	Host do cache. Todo modo de deployment o exige, a menos que o operador declare o opt-out abaixo. Um host em branco recusa a inicialização.
`REDIS_PORT`	`6379`	Porta do cache.
`REDIS_PASSWORD`	—	Senha do cache. Sensível.
`REDIS_TLS_ENABLED`	`false`, Obrigatório em produção	A postura estrita exige `true` quando o Redis está configurado.
`SCR_REDIS_DISABLED`	`false`	O valor `true` é a declaração explícita de que este deployment roda sem Redis. O cache de resultado, a janela de idempotência e o rate limit então degradam.

Streaming

O dispatcher do outbox publica os eventos de consulta. Nenhuma variável define o tópico, porque o serviço o deriva a partir da origem do evento. As cinco primeiras variáveis pertencem ao Lerian SCR. As demais pertencem à biblioteca de streaming, que aplica o TLS do broker e as credenciais SASL à conexão.

Variável	Padrão / Obrigatório	Descrição
`SCR_STREAMING_BROKERS`	Obrigatório	Endereços de broker separados por vírgula. Todo modo de deployment os exige, a menos que o operador declare o opt-out abaixo. Uma lista em branco recusa a inicialização.
`SCR_STREAMING_CLIENT_ID`	`br-scr`	Identificador de cliente do produtor.
`SCR_STREAMING_SOURCE`	`br-scr`	Origem do CloudEvents, e a origem do nome do tópico. A inicialização recusa qualquer outro valor. O serviço compara o valor bruto, então preenchimento também recusa a inicialização.
`SCR_STREAMING_TLS`	`false`, Obrigatório em produção	A postura estrita exige `true` quando brokers estão configurados. Um `true` aqui também exige `STREAMING_TLS_ENABLED=true`.
`SCR_STREAMING_EMISSION_DISABLED`	`false`	O valor `true` interrompe o dispatcher. Os eventos permanecem como linhas pendentes no outbox, e são enviados assim que um broker é configurado.
`STREAMING_TLS_ENABLED`	`false`	Habilita a conexão TLS com o broker.
`STREAMING_TLS_CA_CERT`	—	Autoridade certificadora PEM codificada em base64. Um broker atrás de uma autoridade privada precisa dela. Sem ela, apenas um certificado de broker publicamente confiável se valida.
`STREAMING_SASL_MECHANISM`	—	Mecanismo SASL para o produtor. Sem um mecanismo, o produtor se conecta de forma anônima e não apresenta nenhum principal para a concessão de escrita.
`STREAMING_SASL_USERNAME`	—	Usuário SASL.
`STREAMING_SASL_PASSWORD`	—	Senha SASL. Sensível.
`STREAMING_SASL_ALLOW_PLAINTEXT`	`false`	O valor `true` coloca as credenciais SASL na rede em texto claro. Mantenha-o `false`.

Autenticação

Variável	Padrão / Obrigatório	Descrição
`PLUGIN_AUTH_ENABLED`	`false`, Obrigatório em produção	O valor `true` habilita a ida e volta de autorização em cada requisição protegida por gate. A postura estrita exige `true`.
`PLUGIN_AUTH_ADDRESS`	Obrigatório em produção	URL base do servidor de autorização. A postura estrita exige um esquema `https`.

Canal do BACEN

O canal de saída alcança o web service de consulta do BACEN por HTTPS com credenciais HTTP Basic. O serviço lê as duas variáveis de credencial apenas quando o tipo de armazenamento de segredos é o ambiente.

Variável	Padrão / Obrigatório	Descrição
`SCR_WSSCR2N_BASE_URL`	Obrigatório em produção	URL base completa, incluindo o context path do BACEN. O adapter anexa apenas o caminho da operação. O host de homologação é `www9.bcb.gov.br` e o host de produção é `scr.bcb.gov.br`. A postura estrita exige um esquema `https`.
`SCR_WSSCR2N_BASIC_USER`	Obrigatório em produção com o armazenamento de segredos de ambiente	O usuário de serviço virtual da instituição, no formato `UUUUUDDDD.OPERADOR` do BACEN. Não é o nome da transação do Sisbacen.
`SCR_WSSCR2N_BASIC_PASSWORD`	Obrigatório em produção com o armazenamento de segredos de ambiente	Senha para esse usuário de serviço. Sensível.

Armazenamento de segredos

O armazenamento de segredos resolve a credencial do canal do BACEN.

Variável	Padrão / Obrigatório	Descrição
`SECRET_STORE_KIND`	`env`	Fonte da credencial. O valor `env` lê a credencial a partir do ambiente. O valor `aws` a lê por instituição a partir do vault gerenciado, e monta as operações de credencial. Outro valor recusa a inicialização.
`AWS_REGION`	Obrigatório em produção com o vault gerenciado	Região a partir da qual o cliente do vault gerenciado resolve seu endpoint.
`SECRET_STORE_PREFIX`	—	Prefixo de path do vault para as credenciais por instituição. Não é um segredo.

Criptografia em repouso

A trilha de auditoria criptografa os dados do tomador e os indexa de forma cega. Duas chaves independentes fazem esse trabalho. Uma única chave para as duas vazaria a relação entre o texto cifrado e o índice. Fora da postura estrita, o serviço volta a chaves de desenvolvimento bem conhecidas, que nunca devem alcançar um runtime regulado.

Variável	Padrão / Obrigatório	Descrição
`SCR_ATREST_ENCRYPTION_KEY`	Obrigatório em produção	Chave de envelope AES-256, como base64 ou como 32 bytes brutos. Sensível.
`SCR_ATREST_BLIND_INDEX_KEY`	Obrigatório em produção	Chave HMAC para o índice pesquisável de documento. Deve conter pelo menos 32 caracteres, e deve ser diferente da chave de envelope. Sensível.

Telemetria e métricas

Variável	Padrão / Obrigatório	Descrição
`ENABLE_TELEMETRY`	`false`	O valor `true` conecta os provedores OpenTelemetry.
`OTEL_EXPORTER_OTLP_ENDPOINT`	—	Endpoint do collector. Com a telemetria ativada, a postura estrita exige um esquema `https`.
`METRICS_PROMETHEUS_ENABLED`	`false`	O valor `true` ativa um listener de scrape dedicado do Prometheus.
`METRICS_PROMETHEUS_ADDRESS`	`127.0.0.1:9075`	Endereço de bind desse listener. A porta da aplicação não carrega nenhuma rota `/metrics`.

​Serviço e runtime

​Postgres

​Redis

​Streaming

​Autenticação

​Canal do BACEN

​Armazenamento de segredos

​Criptografia em repouso

​Telemetria e métricas

Serviço e runtime

Postgres

Redis

Streaming

Autenticação

Canal do BACEN

Armazenamento de segredos

Criptografia em repouso

Telemetria e métricas