2.2. 永続ボリュームの暗号化のためのストレージクラス

前提条件

• OpenShift Data Foundation クラスターは Ready 状態である。

• 外部の鍵管理システム (KMS) で、以下を実行します。

  • トークンのあるポリシーが存在し、Vault のキー値のバックエンドパスが有効化されていることを確認します。
  • vaulttokens サーバーで署名済みの証明書を使用していることを確認します。

前提条件

• OpenShift Data Foundation クラスターは Ready 状態である。

• 外部の鍵管理システム (KMS) で、以下を実行します。

  • ポリシーが存在し、Vault のキー値のバックエンドパスが有効になっていることを確認します。
  • Vault サーバーで署名済みの証明書を使用していることを確認します。

• 以下のようにテナント namespace に以下の serviceaccount を作成します。

  $ cat <<EOF | oc create -f -
  apiVersion: v1
  kind: ServiceAccount
  metadata:
      name: ceph-csi-vault-sa
  EOF

YAML 例

• PV 暗号化の vaulttenantsa メソッドを使用する storageclass を作成するには、既存の ConfigMap を編集するか、Vault との接続を確立するために必要なすべての情報を保持する csi-kms-connection-details という名前の ConfigMap を作成する必要があります。

  以下の yaml のサンプルを使用して、csi-kms-connection-detail ConfigMap を更新または作成できます。

  apiVersion: v1
  data:
    vault-tenant-sa: |-
      {
        "encryptionKMSType": "vaulttenantsa",
        "vaultAddress": "<https://hostname_or_ip_of_vault_server:port>",
        "vaultTLSServerName": "<vault TLS server name>",
        "vaultAuthPath": "/v1/auth/kubernetes/login",
        "vaultAuthNamespace": "<vault auth namespace name>"
        "vaultNamespace": "<vault namespace name>",
        "vaultBackendPath": "<vault backend path name>",
        "vaultCAFromSecret": "<secret containing CA cert>",
        "vaultClientCertFromSecret": "<secret containing client cert>",
        "vaultClientCertKeyFromSecret": "<secret containing client private key>",
        "tenantSAName": "<service account name in the tenant namespace>"
      }
  metadata:
    name: csi-kms-connection-details

  encryptionKMSType	Vault での認証にサービスアカウントを使用するには、vaulttenantsa に設定します。
  vaultAddress:	ポート番号を持つ vault サーバーのホスト名または IP アドレス。
  vaultTLSServerName:	(オプション)vault の TLS サーバー名
  vaultAuthPath	(オプション)Vault で kubernetes 認証メソッドが有効なパス。デフォルトのパスは kubernetes です。auth メソッドが kubernetes 以外のパスで有効になっている場合は、この変数を "/v1/auth/<path>/login" として設定する必要があります。
  vaultAuthNamespace	(オプション)kubernetes 認証メソッドが有効な Vault namespace。
  vaultNamespace	(オプション) キーの保存に使用されるバックエンドパスが存在する Vault namespace
  vaultBackendPath	暗号化キーが保存される Vault のバックエンドパス
  vaultCAFromSecret:	Vault の CA 証明書が含まれる OpenShift Data Foundation クラスターのシークレット
  vaultClientCertFromSecret	Vault のクライアント証明書を含む OpenShift Data Foundation クラスターのシークレット
  vaultClientCertKeyFromSecret	Vault のクライアントプライベートキーが含まれる OpenShift Data Foundation クラスターのシークレット
  tenantSAName	(オプション) テナント namespace のサービスアカウント名。デフォルト値は ceph-csi-vault-sa です。別の名前を使用する場合は、この変数を適切に設定する必要があります。