5.2. 永続ボリュームの暗号化のためのストレージクラスの作成

手順

1. OpenShift Web コンソールで、Storage Storage Classes に移動します。
2. Create Storage Class をクリックします。
3. ストレージクラスの Name および Description を入力します。
4. Reclaim Policy について Delete または Retain のいずれかを選択します。デフォルトでは、Delete が選択されます。
5. Immediate または WaitForFirstConsumer を Volume binding モード として選択します。WaitForConsumer はデフォルトオプションとして設定されます。
6. 永続ボリュームをプロビジョニングするために使用されるプラグインである RBD Provisioner openshift-storage.rbd.csi.ceph.com を選択します。
7. ボリュームデータが保存される Storage Pool をリストから選択するか、新規プールを作成します。

8. Enable encryption チェックボックスを選択します。KMS 接続の詳細を設定するオプションは 2 つあります。

   • 既存の KMS 接続の選択: ドロップダウンリストから既存の KMS 接続を選択します。このリストは、csi-kms-connection-details ConfigMap で利用可能な接続の詳細から設定されます。

     1. ドロップダウンから Provider を選択します。
     2. リストから特定のプロバイダーの Key service を選択します。

   • Create new KMS connection: これは、vaulttoken と Thales CipherTrust Manager (using KMIP) にのみ適用されます。

     1. Key Management Service Provider を選択します。

     2. Key Management Service Provider として Vault が選択されている場合は、次の手順に従います。

        1. Vault サーバーの一意の 接続名、ホスト アドレス、ポート番号および トークン を入力します。

        2. Advanced Settings をデプロイメントして、Vault 設定に基づいて追加の設定および証明書の詳細を入力します。

           1. OpenShift Data Foundation 専用かつ特有のキーと値のシークレットパスを Backend Path に入力します。
           2. オプション: TLS Server Name および Vault Enterprise Namespace を入力します。
           3. PEM でエンコードされた、該当の証明書ファイルをアップロードし、CA Certificate、Client Certificate、および Client Private Key を指定します。
           4. Save をクリックします。

     3. Key Management Service Provider として Thales CipherTrust Manager (using KMIP) が選択されている場合は、次の手順に従います。

        1. 一意の Connection Name を入力します。
        2. Address および Port セクションで、Thales CipherTrust Manager の IP と、KMIP インターフェイスが有効になっているポートを入力します。たとえば、Address: 123.34.3.2、Port: 5696 などです。
        3. Client Certificate、CA certificate、および Client Private Key をアップロードします。
        4. 上記で生成された暗号化および復号化に使用する鍵の Unique Identifier を入力します。
        5. TLS Server フィールドはオプションであり、KMIP エンドポイントの DNS エントリーがない場合に使用します。たとえば、kmip_all_<port>.ciphertrustmanager.local などです。
     4. Save をクリックします。
     5. Create をクリックします。

9. HashiCorp Vault 設定により、バックエンドパスによって使用されるキー/値 (KV) シークレットエンジン API バージョンの自動検出が許可されない場合は、ConfigMap を編集して vaultBackend パラメーターを追加します。

   注記

   vaultBackend は、バックエンドパスに関連付けられた KV シークレットエンジン API のバージョンを指定するために configmap に追加されるオプションのパラメーターです。値がバックエンドパスに設定されている KV シークレットエンジン API バージョンと一致していることを確認します。一致しない場合には、永続ボリューム要求 (PVC) の作成時に失敗する可能性があります。

   1. 新規に作成されたストレージクラスによって使用されている encryptionKMSID を特定します。

      1. OpenShift Web コンソールで、Storage Storage Classes に移動します。
      2. Storage class 名 YAML タブをクリックします。

      3. ストレージクラスによって使用されている encryptionKMSID を取得します。

         以下に例を示します。

         encryptionKMSID: 1-vault

         Copy to Clipboard Toggle word wrap
   2. OpenShift Web コンソールで Workloads ConfigMaps に移動します。
   3. KMS 接続の詳細を表示するには、csi-kms-connection-details をクリックします。

   4. ConfigMap を編集します。

      1. アクションメニュー (⋮) Edit ConfigMap をクリックします。

      2. 以前に特定した encryptionKMSID に設定されるバックエンドに応じて、vaultBackend パラメーターを追加します。

         KV シークレットエンジン API バージョン 1 の場合は kv を、KV シークレットエンジン API バージョン 2 の場合は kv-v2 を、それぞれ割り当てることができます。

         以下に例を示します。

          kind: ConfigMap
          apiVersion: v1
          metadata:
            name: csi-kms-connection-details
          [...]
          data:
            1-vault: |-
              {
                "encryptionKMSType": "vaulttokens",
                "kmsServiceName": "1-vault",
                [...]
                "vaultBackend": "kv-v2"
              }
            2-vault: |-
              {
                "encryptionKMSType": "vaulttenantsa",
                [...]
                "vaultBackend": "kv"
              }

         Copy to Clipboard Toggle word wrap
      3. 保存をクリックします。