11.8. API アクセスの監査
所定のロールがアクセスできる API 呼び出しを監査できます。各ロールに対してこのプロセスを繰り返すと、各ロールのアクセス可能な API に包括的なレポートが実行されます。
前提条件
- ターゲットロールのユーザーとしてソースとする認証ファイル。
- JSON 形式のアクセストークン
- 監査する各サービスの API のポリシーファイル。
手順
- 次に、必要なロールでユーザーの認証ファイルを一時停止します。
Keystone 生成されたトークンを取得し、ファイルに保存します。そのためには、openstack-cli コマンドを実行し、--debug オプションを指定して、指定したトークンを stdout に出力します。このトークンをコピーして、アクセスファイルに保存できます。このコマンドを 1 つのステップとして実行します。
openstack token issue --debug 2>&1 | egrep ^'{\"token\":' > access.file.json
ポリシーファイルを作成します。これは、コンテナー化されたサービスをホストするオーバークラウドノード上で実行できます。以下の例では、cinder サービスのポリシーファイルを作成します。
ssh tripleo-admin@CONTROLLER-1 sudo podman exec cinder_api \ oslopolicy-policy-generator \ --config-file /etc/cinder/cinder.conf \ --namespace cinder > cinderpolicy.json
これらのファイルを使用して、cinder の API にアクセスするための対象のロールを監査できるようになりました。
oslopolicy-checker --policy cinderpolicy.json --access access.file.json