Аҭаӡырақәа рхранилище (vault)

AIHUMMER_MASTER_KEY (KEK)  ──wraps──▶  per-tenant DEK  ──AES-256-GCM──▶  secret value

# /home/.aihummer/etc/gateway.env
# 32 random bytes, base64-encoded
AIHUMMER_MASTER_KEY=Base64Of32RandomBytes==

openssl rand -base64 32

AiHummer излаҵаны идкыло акредент зегьы — аканал ртокенқәа, SMTP/IMAP апарольқәа, OAuth токенқәа, тенант-хаҭала LLM аӡырақәа (BYOK) — **шифрла иҭакны аҭаӡырақәа рхранилищеҿы**. Ахранилище аҵаразы конверт ала ахархәара ауеит, убри аҟынтә ишьҭоу аҵакы абазадан хаҭала аԥхьара амуӡом, насгьы ишҟаҵоу ала аҭаӡыр **амодель аконтекст ма ажурналқәа рахь иҭагалаӡам**. ## Конверт ала ашифрла аҵаразы Ахранилище хадоу ҩ-уровеникны иҟоу аӡырқәа риерархиа ихархәоит: - **Хадоу аӡыр (KEK)** — `AIHUMMER_MASTER_KEY` ала иҭоу, base64 ала иҭакны иҟоу 32-байт аҵакы — адырраҭарагьы анкьахарагьы адыррацәа рӡырқәа иҟанаҵоит. Уи хост ахаҭа иалҵӡом насгьы абазадан иҭаҩуӡам. - **Тенант-хаҭала иҟоу адырратә шифратә аӡыр (DEK)** иаабо аҭаӡыр аҵакқәа **AES-256-GCM** ала (аутентификациатә шифрла) ишифруеит. Тенант зегьы хаҭала DEK амоуп, убри аҟынтә аӡ тенанти раӡырқәа даҽа тенанти раҭаӡырқәа дешифрла ируӡом. Аҭаӡыр аҵакқәа шифратекступ иштаны; DEK иштоуп KEK ала иднакыланы. Ашифрла адырра амҩаԥысуеит абжьахраҿы аҭаӡыр зхәоу аамҭазы (ишаҳҳауа, аконнектор анаутентификациа ауа), насгьы аплаинтекст уаҳа иныжьуп. ```text AIHUMMER_MASTER_KEY (KEK) ──wraps──▶ per-tenant DEK ──AES-256-GCM──▶ secret value ``` > [!NOTE] > Ахранилище PostgreSQL `pgcrypto` арасширениа иадҳәалоуп. Уи иуубазадан > иҟазааит — уи астандарттә система аҭахрақәа ирыхәҭакуп. ## Хадоу аӡыр Хадоу аӡыр загрузкатә (bootstrap) ҵакуп: уи аус анаҿала окружениа иалырԥхьоит насгьы админ UI аҟынтә **иконфигурируем дам**. ```ini # /home/.aihummer/etc/gateway.env # 32 random bytes, base64-encoded AIHUMMER_MASTER_KEY=Base64Of32RandomBytes== ``` Уи иуоԥҵар улшоит: ```bash openssl rand -base64 32 ``` > [!WARNING] > Хадоу аӡыр иаҭахуп ахранилище иҭоу зегьы рдешифрлазы. Уи иеиԥшу абжьыхгара > алагьыр аҵла иеиԥшны изны, насгьы абазадан **иабзаны ишьахьаз ршкны иҟаҵа** — уи > анышьҭыхуа, ашифратә ҵакқәа реиҭашьақәыргылара амуӡом. > [Аоперациақәа](/en/v1.0/getting-started/installation) аҟны ашьахьара рацхырагӡара иабалар. ## Хадоу аӡыр ада `AIHUMMER_MASTER_KEY` иҟаҵаӡамзар, ахранилищеи уи иадҳәалоу зегьи **иаԥырхагахоит**: ишьҭоу аҭагылазаашьаҿы аҭаӡырақәа рхранилище, акредент ахранилищеи тенант-хаҭала BYOK аӡырқәеи зегьы иаҟәыхуп. Ари мап-кьахьала иадгылоу хымԥада ауп — апродукт ишьымшарыла аплаинтекст ала аҭаӡырақәа адкылара иаваргылаӡом. ## Аҭаӡырақәа амодель иахьынӡамнало Ари ахранилище иреиҳау иаԥырхагоу шьахаҵакуп, насгьы уи политикатә ахьаргозарам, аусура структуратә ала ишьоуп. > [!DANGER] > Аҭаӡырақәа **иаⷁԥшᵾзар-да** систематә промпт, аиҿцәажәара аистoриа, ма > модель-зыбо текст аҟны иҭагалаӡам, насгьы **уаҳа** иаⷁԥшᵾзар-да ажурналқәа рҟны иҭаҩуам. > акредент зҭаху аусхәырҭақәа уи ахранилище иалырԥхьоит аусура аамҭазы, агейтуэи аҩныҵҟа, > насгьы уи рхархәоит автбоунд агәаразы анаутентификациа азы — амодель иабоит > *арезултат* аусхәырҭа азхәара амацара, аҭаӡыр акәым. Иабжьа аинтерактивра аусхәырҭа-арыцара ала ишьоуп (иабалар [Агардқәеи промпт-инжекциа аԥырхагареи](/en/v1.0/security/guardrails)), убри аҟынтә амодель аидкыланы аҭаӡыр "ианылырԥхьаразы" азҵаара зхалаша амҩа ыҟам: амодель зхысыршаша акопиа амам. ## Изеиԥшу насгьы аусдулаҟ-хаҭала иҟоу акредентқәа Ахранилище алкаа ауеит **изеиԥшу** (аусуратә-уровень) акредентқәеи насгьы **аусдулаҟ-хаҭала** (аусдулаҟ-хаҭала) акредентқәеи рыбжьара. Аусдулаҟ-хаҭала OAuth2 токенқәа, Аиҿартәырақәа (Connections) аусура иалырԥхьоу, ахранилищеҿы иштаны иҟоуп, насгьы рышьоуп *аус зуа аусдулаҟ* ала, иахьынӡаҟало аусуратә аиҳаргалара ала. Ари аиԥшу аусхәырҭа даҽа аусдулаҟцәа рыбла ауснагара иадгылоит, рхатә аиҳаргалара ала, насгьы аӡ аусдулаҟ итокен даҽаӡәы изаабоӡам. ## Уаҳа абатеи - [RBAC насгьы ахьшьоу API аӡырқәа](/en/v1.0/security/rbac) — ахранилище иадгылоу аконфигурациа дызԥхьар ма дызԥсахыр ишзылшо. - [Аштан-уровень ахьчара (RLS)](/en/v1.0/security/rls) — тенант-хаҭала аизолациа ахранилище иадгылоу абазадан аҟны. - [Агардқәеи промпт-инжекциа аԥырхагареи](/en/v1.0/security/guardrails) — амодель изны аҭаӡыр аиҭара иахьымԥшааша.