第2章 ネイティブドライバーを使用する CephFS

ネイティブ CephFS バックエンドには、OpenStack Platform テナントに許容信頼モデルが必要です。この信頼モデルは、OpenStack Platform が提供するサービスの背後にあるインフラストラクチャーにユーザーが直接アクセスするのを意図的にブロックする汎用の OpenStack Platform クラウドには適切ではありません。

ネイティブ CephFS では、ユーザーのコンピュートインスタンス (VM) は、ファイル共有にアクセスするのに Ceph パブリックネットワークに直接接続する必要があります。Ceph インフラストラクチャーサービスデーモンは Ceph パブリックネットワークにデプロイされ、ユーザーの仮想マシンに公開されます。ユーザー仮想マシンで実行される CephFS クライアントは Ceph サービスデーモンと連携し、ファイルデータブロックの読み取りおよび書き込みのために RADOS と直接対話します。

Shared File Systems (manila) 共有サイズを適用する CephFS クォータは、Red Hat OpenStack Platform (RHOSP) ユーザーが所有する仮想マシンなど、クライアント側で適用されます。ユーザー仮想マシンのクライアント側のソフトウェアバージョンは最新ではない可能性があるため、重要なクラウドインフラストラクチャーが Ceph サービスポートをターゲットにする悪意のあるまたは意図的ではないが有害なソフトウェアに対して脆弱になる可能性があります。

このため、Red Hat は、信頼できるユーザーがクライアント側ソフトウェアを最新バージョンに維持する環境でのみ、ネイティブ CephFS をバックエンドとしてデプロイすることを推奨します。また、ユーザーは、Ceph Storage インフラストラクチャーに影響を与える可能性のあるソフトウェアが仮想マシンで実行されないようにする必要があります。

数多くの信頼できないユーザーに対応する汎用 RHOSP デプロイメントについては、Red Hat は NFS バックエンドに CephFS を使用する設定を推奨しています。NFS バックエンドに CephFS を使用する設定についての詳細は、NFS バックエンドに CephFS を使用した Shared File Systems サービスのデプロイ を参照してください。

ユーザーがクライアント側のソフトウェアを最新版に維持できはない、また仮想マシンから有害なソフトウェアを除外できない状況でも、NFS バックエンドに CephFS を使用する設定を使用すると、ユーザーは NFS サーバーの公開側にだけアクセスでき、Ceph インフラストラクチャー自体にはアクセスできません。NFS は同様の協調的なクライアントを必要としないので、最悪の場合でも、ユーザー仮想マシンからの攻撃により、NFS ゲートウェイはダメージを受ける可能性がありますが、それの背後にある Ceph Storage インフラストラクチャーはダメージを受けません。

Red Hat では、以下のセキュリティー対策を推奨します。