7.4. HashiCorp Vault

手順

1. トークンポリシーを作成します。

   1. キー/値シークレットエンジンの場合:

      例

      [root@vault ~]# vault policy write rgw-kv-policy -<<EOF
       path "secret/data/*" {
         capabilities = ["read"]
       }
      EOF

   2. Transit エンジンの場合:

      例

      [root@vault ~]# vault policy write rgw-transit-policy -<<EOF
        path "transit/keys/*" {
          capabilities = [ "create", "update" ]
          denied_parameters = {"exportable" = [], "allow_plaintext_backup" = [] }
        }
      
        path "transit/keys/*" {
          capabilities = ["read", "delete"]
        }
      
        path "transit/keys/" {
          capabilities = ["list"]
        }
      
        path "transit/keys/+/rotate" {
          capabilities = [ "update" ]
        }
      
        path "transit/*" {
          capabilities = [ "update" ]
        }
      EOF

      注記

      以前のバージョンの Ceph で Transit シークレットエンジンを使用していた場合、トークンポリシーは以下のようになります。

      例

      [root@vault ~]# vault policy write old-rgw-transit-policy -<<EOF
        path "transit/export/encryption-key/*" {
          capabilities = ["read"]
        }
      EOF

手順

1. ceph config set client.rgw OPTION VALUE コマンドを使用して、Vault を暗号化キーストアとして有効にします。

   構文

   ceph config set client.rgw rgw_crypt_s3_kms_backend vault

2. 以下のオプションおよび値を追加します。

   構文

   ceph config set client.rgw rgw_crypt_vault_auth agent
   ceph config set client.rgw rgw_crypt_vault_addr http://VAULT_SERVER:8100

3. ユースケースに従ってポリシーをカスタマイズします。

4. role-id を取得します。

   構文

   vault read auth/approle/role/rgw-ap/role-id -format=json | \ jq -r .data.role_id > PATH_TO_FILE

5. secret-id を取得します。

   構文

   vault read auth/approle/role/rgw-ap/role-id -format=json | \ jq -r .data.secret_id > PATH_TO_FILE

6. Vault エージェントの設定を作成します。

   例

   pid_file = "/run/kv-vault-agent-pid"
   auto_auth {
     method "AppRole" {
       mount_path = "auth/approle"
       config = {
         role_id_file_path ="/root/vault_configs/kv-agent-role-id"
         secret_id_file_path ="/root/vault_configs/kv-agent-secret-id"
         remove_secret_id_file_after_reading ="false"
       }
     }
   }
   cache {
     use_auto_auth_token = true
   }
   listener "tcp" {
     address = "127.0.0.1:8100"
     tls_disable = true
   }
   vault {
     address = "http://10.8.128.9:8200"
   }

7. systemctl を使用して永続デーモンを実行します。

   例

   [root@host03 ~]# /usr/local/bin/vault agent -config=/usr/local/etc/vault/rgw-agent.hcl

8. Vault エージェントの実行時に、トークンファイルに有効なトークンが設定されます。

9. Vault シークレットエンジン (キー/値または Transit) を選択します。

   1. Key/Value を使用している場合は、以下の行を追加します。

      例

      [ceph: root@host03 /]# ceph config set client.rgw rgw_crypt_vault_secret_engine kv

   2. Transit を使用している場合は、以下の行を追加します。

      例

      [ceph: root@host03 /]# ceph config set client.rgw rgw_crypt_vault_secret_engine transit

10. ceph config set client.rgw OPTION VALUE コマンドを使用して、Vault 名前空間が暗号化の鍵を取得するように設定します。

    例

    [ceph: root@host03 /]# ceph config set client.rgw rgw_crypt_vault_namespace testnamespace1

11. パス接頭辞を設定し、Ceph Object Gateway が Vault から暗号化キーを取得する場所を制限します。

    例

    [ceph: root@host03 /]# ceph config set client.rgw rgw_crypt_vault_prefix /v1/secret/data

    1. エクスポート可能な Transit キーの場合、以下のように接頭辞パスを設定します。

       例

       [ceph: root@host03 /]# ceph config set client.rgw rgw_crypt_vault_prefix /v1/transit/export/encryption-key

       Vault サーバーのドメイン名が vault-server である場合は、Ceph Object Gateway は以下の URL から暗号化されたトランジションキーを取得します。

       例

       http://vault-server:8200/v1/transit/export/encryption-key

12. Ceph Object Gateway デーモンを再起動します。

    1. ストレージクラスター内の個別のノードで Ceph Object Gateway を再起動するには、以下を実行します。

       構文

       systemctl restart ceph-CLUSTER_ID@SERVICE_TYPE.ID.service

       例

       [root@host03 ~]# systemctl restart ceph-c4b34c6f-8365-11ba-dc31-529020a7702d@rgw.realm.zone.host01.gwasto.service

    2. ストレージクラスター内のすべてのノードで Ceph Object Gateway を再起動するには、以下を実行します。

       構文

       ceph orch restart SERVICE_TYPE

       例

       [ceph: root@host03 /]# ceph orch restart rgw

手順

1. Cephadm シェルにログインします。

   例

   [root@host01 ~]# cephadm shell

2. SSE-S3 暗号化キーを取得するシークレットエンジンとして Vault を有効にします。

   構文

   ceph config set client.rgw rgw_crypt_sse_s3_backend vault

3. SSE-S3 および Vault で使用する認証方法を設定するには、以下を設定します。

   構文

   ceph config set client.rgw rgw_crypt_sse_s3_vault_auth agent
   ceph config set client.rgw rgw_crypt_sse_s3_vault_addr http://VAULT_AGENT:VAULT_AGENT_PORT

   例

   [ceph: root@host01 ~]# ceph config set client.rgw rgw_crypt_sse_s3_vault_auth agent
   [ceph: root@host01 ~]# ceph config set client.rgw rgw_crypt_sse_s3_vault_addr http://vaultagent:8100

   1. ユースケースに応じてポリシーをカスタマイズして、Vault エージェントを設定します。

   2. role-id を取得します。

      構文

      vault read auth/approle/role/rgw-ap/role-id -format=json | \ jq -r .rgw-ap-role-id > PATH_TO_FILE

   3. secret-id を取得します。

      構文

      vault read auth/approle/role/rgw-ap/role-id -format=json | \ jq -r .rgw-ap-secret-id > PATH_TO_FILE

   4. Vault エージェントの設定を作成します。

      例

      pid_file = "/run/rgw-vault-agent-pid"
      auto_auth {
        method "AppRole" {
          mount_path = "auth/approle"
          config = {
            role_id_file_path ="/usr/local/etc/vault/.rgw-ap-role-id"
            secret_id_file_path ="/usr/local/etc/vault/.rgw-ap-secret-id"
            remove_secret_id_file_after_reading ="false"
          }
        }
      }
      cache {
        use_auto_auth_token = true
      }
      listener "tcp" {
        address = "127.0.0.1:8100"
        tls_disable = true
      }
      vault {
        address = "https://vaultserver:8200"
      }

   5. systemctl を使用して永続デーモンを実行します。

      例

      [root@host01 ~]# /usr/local/bin/vault agent -config=/usr/local/etc/vault/rgw-agent.hcl

   6. Vault エージェントの実行時に、トークンファイルに有効なトークンが設定されます。

4. 暗号化キー (キー/値またはトランジット) の取得に使用する Vault シークレットエンジンを設定します。

   1. Key/Value を使用する場合は、次のように設定します。

      例

      [ceph: root@host01 /]# ceph config set client.rgw rgw_crypt_sse_s3_vault_secret_engine kv

   2. Transit を使用する場合は、次のように設定します。

      例

      [ceph: root@host01 /]# ceph config set client.rgw rgw_crypt_sse_s3_vault_secret_engine transit

5. オプション: Ceph Object Gateway が特定の名前空間内の Vault にアクセスして暗号化キーを取得するように設定します。

   例

   [ceph: root@host01 /]# ceph config set client.rgw rgw_crypt_sse_s3_vault_namespace company/testnamespace1

   注記

   Vault 名前空間を使用すると、チームはテナントと呼ばれる隔離された環境内で運用できます。Vault 名前空間機能は、Vault Enterprise バージョンでのみ使用できます。

6. オプション: Ceph Object Gateway が暗号鍵を取得する URL パス接頭辞を設定して、Vault シークレットスペースの特定のサブセットへのアクセスを制限します。

   1. Key/Value を使用する場合は、次のように設定します。

      例

      [ceph: root@host01 /]# ceph config set client.rgw rgw_crypt_sse_s3_vault_prefix /v1/secret/data

   2. Transit を使用する場合は、次のように設定します。

      例

      [ceph: root@host01 /]# ceph config set client.rgw rgw_crypt_sse_s3_vault_prefix /v1/transit

      Vault サーバーのドメイン名が vault-server である場合は、Ceph Object Gateway は以下の URL から暗号化されたトランジションキーを取得します。

      例

      http://vaultserver:8200/v1/transit

7. オプション: カスタム SSL 証明書を使用して Vault で認証するには、次の設定を設定します。

   構文

   ceph config set client.rgw rgw_crypt_sse_s3_vault_verify_ssl true
   ceph config set client.rgw rgw_crypt_sse_s3_vault_ssl_cacert PATH_TO_CA_CERTIFICATE
   ceph config set client.rgw rgw_crypt_sse_s3_vault_ssl_clientcert PATH_TO_CLIENT_CERTIFICATE
   ceph config set client.rgw rgw_crypt_sse_s3_vault_ssl_clientkey PATH_TO_PRIVATE_KEY

   例

   [ceph: root@host01 /]# ceph config set client.rgw rgw_crypt_sse_s3_vault_verify_ssl true
   [ceph: root@host01 /]# ceph config set client.rgw rgw_crypt_sse_s3_vault_ssl_cacert /etc/ceph/vault.ca
   [ceph: root@host01 /]# ceph config set client.rgw rgw_crypt_sse_s3_vault_ssl_clientcert /etc/ceph/vault.crt
   [ceph: root@host03 /]# ceph config set client.rgw rgw_crypt_sse_s3_vault_ssl_clientkey /etc/ceph/vault.key

8. Ceph Object Gateway デーモンを再起動します。

   1. ストレージクラスター内の個別のノードで Ceph Object Gateway を再起動するには、以下を実行します。

      構文

      systemctl restart ceph-CLUSTER_ID@SERVICE_TYPE.ID.service

      例

      [root@host01 ~]# systemctl restart ceph-c4b34c6f-8365-11ba-dc31-529020a7702d@rgw.realm.zone.host01.gwasto.service

   2. ストレージクラスター内のすべてのノードで Ceph Object Gateway を再起動するには、以下を実行します。

      構文

      ceph orch restart SERVICE_TYPE

      例

      [ceph: root@host01 /]# ceph orch restart rgw

手順

1. キー/値 バージョン 2 シークレットエンジンを有効にします。

   例

   vault secrets enable -path secret kv-v2

2. 新しいキーを作成します。

   構文

   vault kv put secret/PROJECT_NAME/BUCKET_NAME key=$(openssl rand -base64 32)

   例

   [root@vault ~]# vault kv put secret/myproject/mybucketkey key=$(openssl rand -base64 32)
   
   ====== Metadata ======
   Key              Value
   ---              -----
   created_time     2020-02-21T17:01:09.095824999Z
   deletion_time    n/a
   destroyed        false
   version          1

手順

1. Transit シークレットエンジンを有効にします。

   [root@vault ~]# vault secrets enable transit

2. 新しいエクスポート可能なキーを作成します。

   構文

   vault write -f transit/keys/BUCKET_NAME exportable=true

   例

   [root@vault ~]# vault write -f transit/keys/mybucketkey exportable=true

   注記

   デフォルトでは、上記のコマンドは aes256-gcm96 タイプキーを作成します。

3. キーの作成を確認します。

   構文

   vault read transit/export/encryption-key/BUCKET_NAME/VERSION_NUMBER

   例

   [root@vault ~]# vault read transit/export/encryption-key/mybucketkey/1
   
   Key     Value
   ---     -----
   keys    map[1:-gbTI9lNpqv/V/2lDcmH2Nq1xKn6FPDWarCmFM2aNsQ=]
   name    mybucketkey
   type    aes256-gcm96

   注記

   キーバージョンを含む完全なキーパスを指定する必要があります。

手順

1. AWS コマンドラインクライアントを使用してオブジェクトをアップロードし、要求に Secure Side Encryption (SSE) キー ID を提供します。

   1. キー/値シークレットエンジンの場合:

      例 (SSE-KMS を使用)

      [user@client ~]$ aws --endpoint=http://radosgw:8000 s3 cp plaintext.txt s3://mybucket/encrypted.txt --sse=aws:kms --sse-kms-key-id myproject/mybucketkey

      例 (SSE-S3 を使用)

      [user@client ~]$ aws s3api --endpoint http://rgw_host:8080 put-object --bucket my-bucket --key obj1 --body test_file_to_upload --server-side-encryption AES256

      注記

      この例では、Ceph Object Gateway は http://vault-server:8200/v1/secret/data/myproject/mybucketkey からシークレットをフェッチします。

   2. Transit エンジンの場合:

      例 (SSE-KMS を使用)

      [user@client ~]$ aws --endpoint=http://radosgw:8000 s3 cp plaintext.txt s3://mybucket/encrypted.txt --sse=aws:kms --sse-kms-key-id mybucketkey

      例 (SSE-S3 を使用)

      [user@client ~]$ aws s3api --endpoint http://rgw_host:8080 put-object --bucket my-bucket --key obj1 --body test_file_to_upload --server-side-encryption AES256

      注記

      この例では、Ceph Object Gateway は http://vaultserver:8200/v1/transit/mybucketkey からシークレットをフェッチします。