17.3. Tang サーバーの暗号化キー管理

手順

1. Tang サーバーキーの保存先のディレクトリーを見つけてアクセスします。通常、これは /var/db/tang ディレクトリーです。現在公開されているキーのサムプリントを確認します。

   # tang-show-keys 7500

   出力例

   36AHjNH3NZDSnlONLz1-V4ie6t8

2. Tang サーバーのキーディレクトリーを入力します。

   # cd /var/db/tang/

3. 現在の Tang サーバーキーをリスト表示します。

   # ls -A1

   出力例

   36AHjNH3NZDSnlONLz1-V4ie6t8.jwk
   gJZiNPMLRBnyo_ZKfK4_5SrnHYo.jwk

   通常の Tang サーバーの操作時に、このディレクトリーには、署名および検証用とキー派生用の 2 つの .jwk ファイルがあります。

4. 古いキーのアドバタイズを無効にします。

   # for key in *.jwk; do \
     mv -- "$key" ".$key"; \
   done

   Network-Bound Disk Encryption(NBDE) を使用する新規クライアント、またはキーを要求する新規クライアントには古いキーは表示されなくなりました。既存のクライアントは、削除されるまで以前のキーにアクセスして使用できます。Tang サーバーは、. 文字で始まる、UNIX の非表示ファイルに保存されているキーを読み取りますがアドバタイズはしません。

5. 新しいキーを生成します。

   # /usr/libexec/tangd-keygen /var/db/tang

6. これらのファイルは非表示になり、新しいキーが存在するので、現在の Tang サーバーキーをリスト表示して古いキーがアドバタイズされなくなったことを確認します。

   # ls -A1

   出力例

   .36AHjNH3NZDSnlONLz1-V4ie6t8.jwk
   .gJZiNPMLRBnyo_ZKfK4_5SrnHYo.jwk
   Bp8XjITceWSN_7XFfW7WfJDTomE.jwk
   WOjQYkyK7DxY_T5pMncMO5w0f6E.jwk

   Tang は、新しいキーを自動的にアドバタイズします。

   注記

   より新しい Tang サーバーのインストールには、アドバタイズを無効にして新規キーを同時に生成するヘルパー /usr/libexec/tangd-rotate-keys ディレクトリーが含まれます。

7. 同じキー情報を共有するロードバランサーの背後で複数の Tang サーバーを実行している場合は、続行する前に、ここで加えた変更が一連のサーバー全体に適切に同期されていることを確認します。

検証

1. Tang サーバーが、古いキーではなく、新しいキーをアドバタイズすることを確認します。

   # tang-show-keys 7500

   出力例

   WOjQYkyK7DxY_T5pMncMO5w0f6E

2. アドバタイズされていない古いキーがまだ復号化要求に使用できることを確認します。

   # clevis decrypt </tmp/encrypted.oldkey

手順

1. 以下のテンプレートに基づいて DaemonSet オブジェクトを作成します。このテンプレートは 3 つの冗長 Tang サーバーを設定しますが、他の状況にも簡単に対応できます。NEW_TANG_PIN 環境の Tang サーバーの URL およびサムプリントを、実際の環境に合わせて変更します。

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
     name: tang-rekey
     namespace: openshift-machine-config-operator
   spec:
     selector:
       matchLabels:
         name: tang-rekey
     template:
       metadata:
         labels:
           name: tang-rekey
       spec:
         containers:
         - name: tang-rekey
           image: registry.access.redhat.com/ubi9/ubi-minimal:latest
           imagePullPolicy: IfNotPresent
           command:
           - "/sbin/chroot"
           - "/host"
           - "/bin/bash"
           - "-ec"
           args:
           - |
             rm -f /tmp/rekey-complete || true
             echo "Current tang pin:"
             clevis-luks-list -d $ROOT_DEV -s 1
             echo "Applying new tang pin: $NEW_TANG_PIN"
             clevis-luks-edit -f -d $ROOT_DEV -s 1 -c "$NEW_TANG_PIN"
             echo "Pin applied successfully"
             touch /tmp/rekey-complete
             sleep infinity
           readinessProbe:
             exec:
               command:
               - cat
               - /host/tmp/rekey-complete
             initialDelaySeconds: 30
             periodSeconds: 10
           env:
           - name: ROOT_DEV
             value: /dev/disk/by-partlabel/root
           - name: NEW_TANG_PIN
             value: >-
               {"t":1,"pins":{"tang":[
                 {"url":"http://tangserver01:7500","thp":"WOjQYkyK7DxY_T5pMncMO5w0f6E"},
                 {"url":"http://tangserver02:7500","thp":"I5Ynh2JefoAO3tNH9TgI4obIaXI"},
                 {"url":"http://tangserver03:7500","thp":"38qWZVeDKzCPG9pHLqKzs6k1ons"}
               ]}}
           volumeMounts:
           - name: hostroot
             mountPath: /host
           securityContext:
             privileged: true
         volumes:
         - name: hostroot
           hostPath:
             path: /
         nodeSelector:
           kubernetes.io/os: linux
         priorityClassName: system-node-critical
         restartPolicy: Always
         serviceAccount: machine-config-daemon
         serviceAccountName: machine-config-daemon

   この場合は、tangserver01 のキーを再生成していても、tangserver01 の新規サムプリントだけでなく、その他すべての Tang サーバーの現在のサムプリントも指定する必要があります。キーの再生成操作にすべてのサムプリントの指定に失敗すると、中間者攻撃の可能性が高まります。

2. キーの再生成が必要なすべてのクラスターにデーモンセットを配布するには、次のコマンドを実行します。

   $ oc apply -f tang-rekey.yaml

   ただし、スケーリングで実行するには、デーモンセットを ACM ポリシーでラップします。この ACM 設定には、デーモンセットをデプロイするポリシーが 1 つ、すべてのデーモンセット Pod が READY であることを確認する 2 番目のポリシー、およびクラスターの適切なセットに適用する配置ルールを含める必要があります。

手順

1. 通常の Kubernetes Pod 再起動ポリシーを使用してキーの再生成操作を実行する Pod を再起動します。
2. 関連付けられた Tang サーバーのいずれかが利用できない場合は、すべてのサーバーがオンラインに戻るまでキーの再生成を試みます。

手順

1. デーモンセットの定義に従って各 Tang サーバーの設定に対して単純な暗号化および復号化操作を実行して、Tang サーバー設定を検証します。

   これは、不適切なサムプリントで暗号化および復号化を試行する例です。

   $ echo "okay" | clevis encrypt tang \
     '{"url":"http://tangserver02:7500","thp":"badthumbprint"}' | \
     clevis decrypt

   出力例

   Unable to fetch advertisement: 'http://tangserver02:7500/adv/badthumbprint'!

   これは、正常なサムプリントで暗号化および復号化を試行する例です。

   $ echo "okay" | clevis encrypt tang \
     '{"url":"http://tangserver03:7500","thp":"goodthumbprint"}' | \
     clevis decrypt

   出力例

   okay

2. 根本的な原因を特定した後に、その原因となる状況に対応します。

   1. 機能しないデーモンセットを削除します。

   2. デーモンセットの定義を編集して基礎となる問題を修正します。これには、以下のアクションのいずれかが含まれる場合があります。

      • Tang サーバーのエントリーを編集して URL とサムプリントを修正します。
      • 使用されなくなった Tang サーバーを削除します。
      • 使用停止したサーバーの代わりとなる、新規の Tang サーバーを追加します。
3. 更新されたデーモンセットを再度配布します。

1. デーモンセットによって作成されたコンテナーの名前を見つけます。

   $ oc get pods -A | grep tang-rekey

   出力例

   openshift-machine-config-operator  tang-rekey-7ks6h  1/1  Running   20 (8m39s ago)  89m

2. コンテナーからログを印刷します。キーの再生成操作に成功すると、以下のログのようになります。

   $ oc logs tang-rekey-7ks6h

   出力例

   Current tang pin:
   1: sss '{"t":1,"pins":{"tang":[{"url":"http://10.46.55.192:7500"},{"url":"http://10.46.55.192:7501"},{"url":"http://10.46.55.192:7502"}]}}'
   Applying new tang pin: {"t":1,"pins":{"tang":[
     {"url":"http://tangserver01:7500","thp":"WOjQYkyK7DxY_T5pMncMO5w0f6E"},
     {"url":"http://tangserver02:7500","thp":"I5Ynh2JefoAO3tNH9TgI4obIaXI"},
     {"url":"http://tangserver03:7500","thp":"38qWZVeDKzCPG9pHLqKzs6k1ons"}
   ]}}
   Updating binding...
   Binding edited successfully
   Pin applied successfully