1.3. キーマネージャーのデプロイ

手順

1. アンダークラウドノードで、barbican の環境ファイルを作成します。

   $ cat /home/stack/templates/configure-barbican.yaml
   	parameter_defaults:
   	  BarbicanSimpleCryptoGlobalDefault: true

   BarbicanSimpleCryptoGlobalDefault は、このプラグインをグローバルのデフォルトプラグインとして設定します。

   環境ファイルに以下のオプションを追加することもできます。

   • BarbicanPassword: barbican サービスアカウントのパスワードを設定します。
   • BarbicanWorkers: barbican::wsgi::apache のワーカー数を設定します。デフォルトで '%{::processorcount}' を使用します。
   • BarbicanDebug: デバッグを有効にします。
   • BarbicanPolicies: barbican 向けに設定するポリシーを定義します。ハッシュ値を使用します (例: { barbican-context_is_admin: { key: context_is_admin, value: 'role:admin' } })。このエントリーは /etc/barbican/policy.json に追加されます。ポリシーの詳細は、後のセクションで説明します。
   • BarbicanSimpleCryptoKek: キー暗号化キー (KEK) は、指定がない場合は director によって生成されます。

2. スクリプトから以前追加したロール、テンプレート、または環境ファイルを削除せずに、openstack overcloud deploy コマンドに以下のファイルを追加します。

   • /usr/share/openstack-tripleo-heat-templates/environments/services/barbican.yaml
   • /usr/share/openstack-tripleo-heat-templates/environments/barbican-backend-simple-crypto.yaml
   • /home/stack/templates/configure-barbican.yaml

3. デプロイメントスクリプトを再度実行して、変更をデプロイメントに適用します。

   $ openstack overcloud deploy \
       --timeout 100 \
       --templates /usr/share/openstack-tripleo-heat-templates \
       --stack overcloud \
       --libvirt-type kvm \
       --ntp-server clock.redhat.com \
       -e /home/stack/containers-prepare-parameter.yaml \
       -e /home/stack/templates/config_lvm.yaml \
       -e /usr/share/openstack-tripleo-heat-templates/environments/network-isolation.yaml \
       -e /home/stack/templates/network/network-environment.yaml \
       -e /home/stack/templates/hostnames.yml \
       -e /home/stack/templates/nodes_data.yaml \
       -e /home/stack/templates/extra_templates.yaml \
       -e /home/stack/container-parameters-with-barbican.yaml \
       -e /usr/share/openstack-tripleo-heat-templates/environments/services/barbican.yaml \
       -e /usr/share/openstack-tripleo-heat-templates/environments/barbican-backend-simple-crypto.yaml \
       -e /home/stack/templates/configure-barbican.yaml \
       --log-file overcloud_deployment_38.log

4. creator ロールの id を取得します。

   openstack role show creator
   +-----------+----------------------------------+
   | Field     | Value                            |
   +-----------+----------------------------------+
   | domain_id | None                             |
   | id        | 4e9c560c6f104608948450fbf316f9d7 |
   | name      | creator                          |
   +-----------+----------------------------------+

   注記

   OpenStack Key Manager(barbican) がインストールされていないと、creator ロールは表示されません。

5. ユーザーを creator ロールに割り当て、関連するプロジェクトを指定します。この例では、project_a プロジェクトの user1 という名前のユーザーが creator ロールに追加されます。

   openstack role add --user user1 --project project_a 4e9c560c6f104608948450fbf316f9d7

検証

1. テストシークレットを作成します。以下に例を示します。

   $ openstack secret store --name testSecret --payload 'TestPayload'
   +---------------+------------------------------------------------------------------------------------+
   | Field         | Value                                                                              |
   +---------------+------------------------------------------------------------------------------------+
   | Secret href   | https://192.168.123.163/key-manager/v1/secrets/4cc5ffe0-eea2-449d-9e64-b664d574be53 |
   | Name          | testSecret                                                                         |
   | Created       | None                                                                               |
   | Status        | None                                                                               |
   | Content types | None                                                                               |
   | Algorithm     | aes                                                                                |
   | Bit length    | 256                                                                                |
   | Secret type   | opaque                                                                             |
   | Mode          | cbc                                                                                |
   | Expiration    | None                                                                               |
   +---------------+------------------------------------------------------------------------------------+

2. 作成したシークレットのペイロードを取得します。

   openstack secret get https://192.168.123.163/key-manager/v1/secrets/4cc5ffe0-eea2-449d-9e64-b664d574be53 --payload
   +---------+-------------+
   | Field   | Value       |
   +---------+-------------+
   | Payload | TestPayload |
   +---------+-------------+