4.2. Block Storage (cinder) ボリュームの暗号化

手順

1. cinder-volume および nova-compute サービスを実行しているノードで、nova と cinder の両方がキー管理に barbican を使用するように設定されていることを確認します。

   $ crudini --get /var/lib/config-data/puppet-generated/cinder/etc/cinder/cinder.conf key_manager backend
   castellan.key_manager.barbican_key_manager.BarbicanKeyManager
   
   $ crudini --get /var/lib/config-data/puppet-generated/nova_libvirt/etc/nova/nova.conf key_manager backend
   castellan.key_manager.barbican_key_manager.BarbicanKeyManager

2. 暗号化を使用するボリュームテンプレートを作成します。新しいボリュームを作成すると、設定からモデル化できます。

   $ openstack volume type create --encryption-provider nova.volume.encryptors.luks.LuksEncryptor --encryption-cipher aes-xts-plain64 --encryption-key-size 256 --encryption-control-location front-end LuksEncryptor-Template-256
   +-------------+------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | Field       | Value                                                                                                                                                                              |
   +-------------+------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | description | None                                                                                                                                                                               |
   | encryption  | cipher='aes-xts-plain64', control_location='front-end', encryption_id='9df604d0-8584-4ce8-b450-e13e6316c4d3', key_size='256', provider='nova.volume.encryptors.luks.LuksEncryptor' |
   | id          | 78898a82-8f4c-44b2-a460-40a5da9e4d59                                                                                                                                               |
   | is_public   | True                                                                                                                                                                               |
   | name        | LuksEncryptor-Template-256                                                                                                                                                         |
   +-------------+------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+

3. 新しいボリュームを作成して、LuksEncryptor-Template-256 設定を使用するように指定します。

   $ openstack volume create --size 1 --type LuksEncryptor-Template-256 'Encrypted-Test-Volume'
   +---------------------+--------------------------------------+
   | Field               | Value                                |
   +---------------------+--------------------------------------+
   | attachments         | []                                   |
   | availability_zone   | nova                                 |
   | bootable            | false                                |
   | consistencygroup_id | None                                 |
   | created_at          | 2018-01-22T00:19:06.000000           |
   | description         | None                                 |
   | encrypted           | True                                 |
   | id                  | a361fd0b-882a-46cc-a669-c633630b5c93 |
   | migration_status    | None                                 |
   | multiattach         | False                                |
   | name                | Encrypted-Test-Volume                |
   | properties          |                                      |
   | replication_status  | None                                 |
   | size                | 1                                    |
   | snapshot_id         | None                                 |
   | source_volid        | None                                 |
   | status              | creating                             |
   | type                | LuksEncryptor-Template-256           |
   | updated_at          | None                                 |
   | user_id             | 0e73cb3111614365a144e7f8f1a972af     |
   +---------------------+--------------------------------------+

   生成されるシークレットは barbican バックエンドに自動的にアップロードされます。

   注記

   暗号化されたボリュームを作成するユーザーに、プロジェクトで creator barbican ロールがあることを確認します。詳細は、creator ロールへのユーザーアクセスの付与 セクションを参照してください。

4. barbican を使用して、ディスクの暗号化キーが存在することを確認します。この例では、タイムスタンプが LUKS ボリュームの作成時間と一致します。

   $ openstack secret list
   +------------------------------------------------------------------------------------+------+---------------------------+--------+-------------------------------------------+-----------+------------+-------------+------+------------+
   | Secret href                                                                        | Name | Created                   | Status | Content types                             | Algorithm | Bit length | Secret type | Mode | Expiration |
   +------------------------------------------------------------------------------------+------+---------------------------+--------+-------------------------------------------+-----------+------------+-------------+------+------------+
   | https://192.168.123.169:9311/v1/secrets/24845e6d-64a5-4071-ba99-0fdd1046172e | None | 2018-01-22T02:23:15+00:00 | ACTIVE | {u'default': u'application/octet-stream'} | aes       |        256 | symmetric   | None | None       |
   +------------------------------------------------------------------------------------+------+---------------------------+--------+-------------------------------------------+-----------+------------+-------------+------+------------+

5. 新規ボリュームを既存のインスタンスにアタッチします。以下に例を示します。

   $ openstack server add volume testInstance Encrypted-Test-Volume

   その後、ボリュームはゲストオペレーティングシステムに表示され、組み込みツールを使用してマウントできます。