2.6. 簡単な crypto 暗号化鍵のバックアップ

手順

1. オーバークラウドで新しい 256 ビットの鍵を生成し、barbican に保存します。

   (overcloud) [stack@undercloud-0 ~]$ openstack secret order create --name swift_key --algorithm aes --mode ctr --bit-length 256 --payload-content-type=application/octet-stream key
   +----------------+-----------------------------------------------------------------------+
   | Field          | Value                                                                 |
   +----------------+-----------------------------------------------------------------------+
   | Order href     | http://10.0.0.104:9311/v1/orders/2a11584d-851c-4bc2-83b7-35d04d3bae86 |
   | Type           | Key                                                                   |
   | Container href | N/A                                                                   |
   | Secret href    | None                                                                  |
   | Created        | None                                                                  |
   | Status         | None                                                                  |
   | Error code     | None                                                                  |
   | Error message  | None                                                                  |
   +----------------+-----------------------------------------------------------------------+

   Copy to Clipboard Toggle word wrap

2. テストシークレットを作成します。

   (overcloud) [stack@undercloud-0 ~]$ openstack secret store --name testSecret --payload 'TestPayload'
   +---------------+------------------------------------------------------------------------+
   | Field         | Value                                                                  |
   +---------------+------------------------------------------------------------------------+
   | Secret href   | http://10.0.0.104:9311/v1/secrets/93f62cfd-e008-401f-be74-bf057c88b04a |
   | Name          | testSecret                                                             |
   | Created       | None                                                                   |
   | Status        | None                                                                   |
   | Content types | None                                                                   |
   | Algorithm     | aes                                                                    |
   | Bit length    | 256                                                                    |
   | Secret type   | opaque                                                                 |
   | Mode          | cbc                                                                    |
   | Expiration    | None                                                                   |
   +---------------+------------------------------------------------------------------------+

   Copy to Clipboard Toggle word wrap

3. テストシークレットが作成されていることを確認します。

   (overcloud) [stack@undercloud-0 ~]$ openstack secret list
   +------------------------------------------------------------------------+------------+---------------------------+--------+-------------------------------------------+-----------+------------+-------------+------+------------+
   | Secret href                                                            | Name       | Created                   | Status | Content types                             | Algorithm | Bit length | Secret type | Mode | Expiration |
   +------------------------------------------------------------------------+------------+---------------------------+--------+-------------------------------------------+-----------+------------+-------------+------+------------+
   | http://10.0.0.104:9311/v1/secrets/93f62cfd-e008-401f-be74-bf057c88b04a | testSecret | 2018-06-19T18:25:25+00:00 | ACTIVE | {u'default': u'text/plain'}               | aes       |        256 | opaque      | cbc  | None       |
   | http://10.0.0.104:9311/v1/secrets/f664b5cf-5221-47e5-9887-608972a5fefb | swift_key  | 2018-06-19T18:24:40+00:00 | ACTIVE | {u'default': u'application/octet-stream'} | aes       |        256 | symmetric   | ctr  | None       |
   +------------------------------------------------------------------------+------------+---------------------------+--------+-------------------------------------------+-----------+------------+-------------+------+------------+

   Copy to Clipboard Toggle word wrap
4. メインの KEK が含まれる barbican.conf ファイルを、セキュリティーが強化された場所にコピーします。

5. controller-0 ノードにログインし、barbican ユーザーパスワードを取得します。

   [heat-admin@controller-0 ~]$ sudo grep -r "barbican::db::mysql::password" /etc/puppet/hieradata
   /etc/puppet/hieradata/service_configs.json:    "barbican::db::mysql::password": "seDJRsMNRrBdFryCmNUEFPPev",

   Copy to Clipboard Toggle word wrap
   注記

   barbican データベースにアクセスできるのは、ユーザー barbican のみです。そのため、barbican ユーザーのパスワードはデータベースをバックアップまたは復元するために必要です。

6. barbican データベースをバックアップします。

   [heat-admin@controller-0 ~]$ mysqldump -u barbican -p"seDJRsMNRrBdFryCmNUEFPPev" barbican > barbican_db_backup.sql

   Copy to Clipboard Toggle word wrap

7. データベースのバックアップが /home/heat-admin に保存されていることを確認します。

   [heat-admin@controller-0 ~]$ ll
   total 36
   -rw-rw-r--. 1 heat-admin heat-admin 36715 Jun 19 18:31 barbican_db_backup.sql

   Copy to Clipboard Toggle word wrap

8. オーバークラウドで、以前に作成したシークレットを削除し、それらのシークレットが存在しないことを確認します。

   (overcloud) [stack@undercloud-0 ~]$ openstack secret delete http://10.0.0.104:9311/v1/secrets/93f62cfd-e008-401f-be74-bf057c88b04a
   (overcloud) [stack@undercloud-0 ~]$ openstack secret delete http://10.0.0.104:9311/v1/secrets/f664b5cf-5221-47e5-9887-608972a5fefb
   (overcloud) [stack@undercloud-0 ~]$ openstack secret list
   
   (overcloud) [stack@undercloud-0 ~]$

   Copy to Clipboard Toggle word wrap