第3章 OpenStack Key Manager (barbican) と Hardware Security Module (HSM) アプライアンスのインテグレーション

手順

1. Barbican 用の configure-barbican.yaml 環境ファイルを作成し、以下のパラメーターを追加します。

   parameter_defaults
     BarbicanSimpleCryptoGlobalDefault: false
     BarbicanPkcs11CryptoGlobalDefault: true
     BarbicanPkcs11CryptoLogin: ********
     BarbicanPkcs11CryptoSlotId: 1
     ATOSVars:
       atos_client_iso_name: Proteccio1.09.05.iso
       atos_client_iso_location: https://user@PASSWORD:example.com/Proteccio1.09.05.iso
       atos_client_cert_location: https://user@PASSWORD:example.com/client.CRT
       atos_client_key_location: https://user@PASSWORD:example.com/client.KEY
       atos_hsms:
         - name: myHsm1
           server_cert_location: https://user@PASSWORD:example.com/myHsm1.CRT
           ip: 192.168.1.101
         - name: myHsm2
           server_cert_location: https://user@PASSWORD:example.com/myHsm2.CRT
           ip: ip: 192.168.1.102

   Copy to Clipboard Toggle word wrap
   注記

   atos_hsms パラメーターは、非推奨となったパラメーター atos_hsm_ip_address および atos_server_cert_location に置き換わるもので、今後のリリースで削除される予定です。

   Expand

   表3.2 heat パラメーター

   パラメーター	値
   BarbicanSimpleCryptoGlobalDefault	これは、simplecrypto がグローバルデフォルトであるかどうかを決定するブール値です。
   BarbicanPkcs11GlobalDefault	これは、PKCS#11 がグローバルデフォルトであるかどうかを決定するブール値です。
   BarbicanPkcs11CryptoSlotId	Barbican によって使用される仮想 HSM のスロット ID。
   ATOSVars
   atos_client_iso_name	Atos クライアントソフトウェア ISO のファイル名。この値は、atos_client_iso_location パラメーターの URL のファイル名と一致する必要があります。
   atos_client_iso_location	Proteccio Client Software ISO イメージの HTTPS サーバーの場所を指定するユーザー名とパスワードを含む URL。
   atos_client_cert_location	SSL クライアント証明書の HTTPS サーバーの場所を指定するユーザー名とパスワードを含む URL。
   atos_client_key_location	SSL クライアントキーの HTTPS サーバーの場所を指定するユーザー名とパスワードを含む URL。これは、上記のクライアント証明書に一致するキーである必要があります。
   atos_hsms	HSM の名前、証明書の場所、および IP アドレスを指定する 1 つ以上の HSM のリスト。このリストに複数の HSM を含めると、Barbican は負荷分散と高可用性向けに HSM を設定します。

   Show more

2. デプロイメントコマンドおよびご自分のデプロイメントに該当するその他の環境ファイルと共に、カスタムの configure-barbican.yaml、barbican.yaml、および ATOS 固有の barbican-backend-pkcs11-atos.yaml 環境ファイルを追加します。

   $ openstack overcloud deploy \
       --timeout 100 \
       --templates /usr/share/openstack-tripleo-heat-templates \
       --stack overcloud \
       --libvirt-type kvm \
       --ntp-server clock.redhat.com \
       -e /home/stack/containers-prepare-parameter.yaml \
       -e /home/stack/templates/config_lvm.yaml \
       -e /usr/share/openstack-tripleo-heat-templates/environments/network-isolation.yaml \
       -e /home/stack/templates/network/network-environment.yaml \
       -e /home/stack/templates/hostnames.yml \
       -e /home/stack/templates/nodes_data.yaml \
       -e /home/stack/templates/extra_templates.yaml \
       -e /usr/share/openstack-tripleo-heat-templates/environments/services/barbican.yaml \
       -e /usr/share/openstack-tripleo-heat-templates/environments/barbican-backend-pkcs11-atos.yaml \
       -e /home/stack/templates/configure-barbican.yaml \
       --log-file overcloud_deployment_with_atos.log

   Copy to Clipboard Toggle word wrap

検証

1. テストシークレットを作成します。

   $ openstack secret store --name testSecret --payload 'TestPayload'
   +---------------+------------------------------------------------------------------------------------+
   | Field         | Value                                                                              |
   +---------------+------------------------------------------------------------------------------------+
   | Secret href   | https://192.168.123.163/key-manager/v1/secrets/4cc5ffe0-eea2-449d-9e64-b664d574be53 |
   | Name          | testSecret                                                                         |
   | Created       | None                                                                               |
   | Status        | None                                                                               |
   | Content types | None                                                                               |
   | Algorithm     | aes                                                                                |
   | Bit length    | 256                                                                                |
   | Secret type   | opaque                                                                             |
   | Mode          | cbc                                                                                |
   | Expiration    | None                                                                               |
   +---------------+------------------------------------------------------------------------------------+

   Copy to Clipboard Toggle word wrap

2. 作成したシークレットのペイロードを取得します。

   openstack secret get https://192.168.123.163/key-manager/v1/secrets/4cc5ffe0-eea2-449d-9e64-b664d574be53 --payload
   +---------+-------------+
   | Field   | Value       |
   +---------+-------------+
   | Payload | TestPayload |
   +---------+-------------+

   Copy to Clipboard Toggle word wrap