5.6. インスタンスのメモリーを暗号化するための AMD SEV コンピュートノードの設定

手順

1. nova-extra-config.yaml という名前の ConfigMap CR を作成または更新し、[libvirt] の下にあるパラメーターの値を設定します。

   apiVersion: v1
   kind: ConfigMap
   metadata:
      name: nova-extra-config
      namespace: openstack
   data:
      30-nova-amd-sev.conf: |
        [libvirt]
        num_memory_encrypted_guests = 15

   注記

   libvirt/num_memory_encrypted_guests パラメーターのデフォルト値は none です。カスタム値を設定しない場合、AMD SEV コンピュートノードは、ノードが同時にホストできるメモリーが暗号化されたインスタンスの数に制限を設けません。代わりに、ハードウェアが、AMD SEV コンピュートノードが同時にホストできるメモリーが暗号化されたインスタンス数の最大値を決定します。この場合、メモリーが暗号化されたインスタンスの一部が起動に失敗する可能性があります。

   注記

   Q35 マシンタイプはデフォルトのマシンタイプであり、SEV に必要です。

2. AMD SEV コンピュートノードのカーネルパラメーターを設定するには、更新するノードセットの OpenStackDataPlaneNodeSet CR 定義ファイル (例: my_data_plane_node_set.yaml) を開きます。

3. 必要なネットワーク設定を追加するか、ansibleVars の下の edpm_kernel_args で既存の設定を変更します。

   apiVersion: dataplane.openstack.org/v1beta1
   kind: OpenStackDataPlaneNodeSet
   metadata:
      name: my-data-plane-node-set
   spec:
      ...
      nodeTemplate:
        ...
        ansible:
          ansibleVars:
          edpm_kernel_args: "kvm_amd.sev=1"

4. オプション: ホストメモリーを暗号化するには、edpm_kernel_args に mem_encrypt=on を追加します。

   警告

   デバイスドライバーがメモリー暗号化をサポートしていることを確認してください。

         edpm_kernel_args: "kvm_amd.sev=1 mem_encrypt=on"

5. 新しい OpenStackDataPlaneDeployment CR を作成し、データプレーンノード上のサービスを設定してデータプレーンをデプロイし、ワークステーション上の compute_amd_sev_deploy.yaml という名前のファイルに保存します。

   apiVersion: dataplane.openstack.org/v1beta1
   kind: OpenStackDataPlaneDeployment
   metadata:
      name: openstack-edpm-amd-sev

6. compute_amd_sev_deploy.yaml で、デプロイするすべての OpenStackDataPlaneNodeSet CR を含めるように nodeSets を指定します。前提条件として選択した OpenStackDataPlaneNodeSet CR が含まれていることを確認してください。この OpenStackDataPlaneNodeSet CR は、メモリー暗号化に指定するノードを定義します。

   警告

   デプロイメントに複数のノードセットがある場合、NodeSet と DataPlaneServices がどのように設定されているかにより、nova-extra-config.yaml ConfigMap への変更が複数のノードセットに直接影響する可能性があります。ノードセットが nova-extra-config.yaml ConfigMap を使用しているために再設定の影響を受けるかを確認するには、次の手順を実行します。

   1. ノードセットのサービスリストを確認し、nova を指す DataPlaneService の名前を見つけます。

   2. DataPlaneService の edpmServiceType フィールドの値が nova に設定されていることを確認します。

      DataPlaneService の dataSources リストに nova-extra-config という名前の configMapRef が含まれている場合、このノードセットはその ConfigMap を使用するため、ConfigMap に加えた設定変更の影響を受けます。影響を受けるノードセットの一部を再設定しない場合は、これらのノードセットの別の ConfigMap を指す新しい DataPlaneService を作成する必要があります。

   apiVersion: dataplane.openstack.org/v1beta1
   kind: OpenStackDataPlaneDeployment
   metadata:
      name: openstack-edpm-amd-sev
   spec:
      nodeSets:
        - openstack-edpm
        - compute-amd-sev
        - my-data-plane-node-set
        - ...
        - <nodeSet_name>

   • <nodeSet_name> を、データプレーンデプロイメントに含める OpenStackDataPlaneNodeSet CR の名前に置き換えます。
7. compute_amd_sev_deploy.yaml デプロイメントファイルを保存します。

8. データプレーンをデプロイします。

   $ oc create -f compute_amd_sev_deploy.yaml

9. データプレーンがデプロイされていることを確認します。

   $ oc get openstackdataplanenodeset
   NAME           STATUS MESSAGE
   openstack-edpm True   Deployed

10. openstackclient のリモートシェルにアクセスし、デプロイされたコンピュートノードがコントロールプレーンに表示されることを確認します。

    $ oc rsh -n openstack openstackclient
    $ openstack hypervisor list

手順

1. メモリー暗号化用の新規イメージの作成

    $ openstack image create ...  \
    --property hw_firmware_type=uefi amd-sev-image

   注記

   既存のイメージを使用する場合、イメージの hw_firmware_type 属性が uefi に設定されている必要があります。

2. イメージに属性 hw_mem_encryption=True を追加して、イメージで AMD SEV のメモリー暗号化を有効にします。

    $ openstack image set  \
    --property hw_mem_encryption=True amd-sev-image

   ヒント

   フレーバーでメモリー暗号化を有効にすることができます。詳細は、Creating a flavor for memory encryption を参照してください。

手順

1. ワークステーションから OpenStackClient Pod のリモートシェルにアクセスします。

   $ oc rsh -n openstack openstackclient

2. メモリー暗号化用のフレーバーを作成します。

   $ openstack flavor create --vcpus 1 --ram 512 --disk 2  \
   --property hw:mem_encryption=True m1.small-amd-sev

3. openstackclient Pod を終了します。

   $ exit

手順

1. AMD SEV フレーバーまたはイメージを使用してインスタンスを作成します。以下の例では、メモリー暗号化用のフレーバーの作成 で作成したフレーバーおよび メモリー暗号化用のイメージの作成 で作成したイメージを使用してインスタンスを作成します。

    $ openstack server create --flavor m1.small-amd-sev \
    --image amd-sev-image amd-sev-instance

2. クラウドユーザーとしてインスタンスにログインします。

3. インスタンスがメモリーの暗号化を使用していることを確認するには、インスタンスから以下のコマンドを入力します。

   $ dmesg | grep -i sev
   AMD Secure Encrypted Virtualization (SEV) active