3.3. メッセンジャー v2 プロトコル
Ceph のオンワイヤプロトコル msgr2 の 2 番目のバージョンには、以下の機能があります。
- 安全なモードは、ネットワークを介したすべてのデータの移動を暗号化します。
- 認証ペイロードのカプセル化を改善し、新しい認証モードの今後の統合を可能にします。
- 機能のアドバタイズおよびネゴシエーションの改善。
Ceph デーモンは、レガシー、v1 互換、および新しい v2 互換の Ceph クライアントを同じストレージクラスターに接続することができるように、複数のポートにバインドします。Ceph Monitor デーモンに接続する Ceph クライアントまたはその他の Ceph デーモンは、まず v2 プロトコルを使用しますが、可能な場合は古い v1 プロトコルが使用されます。デフォルトでは、メッセンジャープロトコル v1 と v2 の両方が有効です。新規の v2 ポートは 3300 で、レガシー v1 ポートはデフォルトで 6789 になります。
messenger v2 プロトコルには、v1 プロトコルまたは v2 プロトコルを使用するかどうかを制御する 2 つの設定オプションがあります。
-
ms_bind_msgr1- このオプションは、デーモンが v1 プロトコルと通信するポートにバインドするかどうかを制御します。デフォルトではtrueです。 -
ms_bind_msgr2- このオプションは、デーモンが v2 プロトコルと通信するポートにバインドするかどうかを制御します。デフォルトではtrueです。
同様に、使用する IPv4 アドレスと IPv6 アドレスに基づいて 2 つのオプションを制御します。
-
ms_bind_ipv4- このオプションは、デーモンが IPv4 アドレスにバインドするかどうかを制御します。デフォルトではtrueです。 -
ms_bind_ipv6- このオプションは、デーモンが IPv6 アドレスにバインドするかどうかを制御します。デフォルトではtrueです。
複数のポートにバインドする機能は、デュアルスタック IPv4 および IPv6 サポートの方法になります。
msgr2 プロトコルは、以下の 2 つの接続モードをサポートします。
crc-
cephxで接続を確立すると、強固な初期認証を提供します。 -
ビットフリップから保護する
crc32c整合性チェックを提供します。 - 悪意のある中間者攻撃に対する保護を提供しません。
- 盗聴者がすべての認証後のトラフィックを見るのを妨げません。
-
secure-
cephxで接続を確立すると、強固な初期認証を提供します。 - 認証後トラフィックをすべて完全に暗号化します。
- 暗号化整合性チェックを提供します。
-
デフォルトのモードは crc です。
Ceph Object Gateway 暗号化
また、Ceph Object Gateway は S3 API を使用したお客様によって提供されるキーによる暗号化をサポートします。
転送において厳密な暗号化を必要とする規制コンプライアンス標準に準拠するために、管理者はクライアント側の暗号化で Ceph Object Gateway をデプロイ する必要があります。
Ceph ブロックデバイスの暗号化
システム管理者は、Ceph を Red Hat OpenStack Platform 13 暗号化のバックエンドとして統合し、RBD Cinder に dm_crypt を使用して Ceph ブロックデバイスボリュームを Ceph Storage クラスター内で有線暗号化できるようにする 必要があります。
転送で厳密な暗号化を必要とする規制コンプライアンス標準に準拠するために、システム管理者は、RBD Cinder に dmcrypt を使用して、Ceph ストレージクラスター内で有線暗号化を行う 必要があります。