2장. FIPS 암호화 지원
버전 4.3부터는 FIPS 검증 / IUT (Implementation Under Test) 암호화 라이브러리를 사용하는 OpenShift Container Platform 클러스터를 설치할 수 있습니다.
클러스터의 RHCOS (Red Hat Enterprise Linux CoreOS) 시스템의 경우 이 변경 사항은 사용자가 클러스터의 배치시 변경할 수 있는 클러스터 옵션을 제어하는 install-config.yaml 파일의 옵션 상태를 기반으로 시스템을 배치할 때 적용됩니다. Red Hat Enterprise Linux 시스템에서는 작업자 시스템으로 사용하려는 시스템에 운영 체제를 설치할 때 FIPS 모드를 활성화해야합니다. 이러한 설정 방법을 사용하면 클러스터가 FIPS 준수 감사 요구 사항을 충족하는지 확인할 수 있습니다. 초기 시스템 부팅 전에 FIPS 검증/ IUT (Implementation Under Test) 암호화 패키지만 활성화됩니다.
클러스터가 사용하는 운영 체제를 처음 부팅하기 전에 FIPS를 활성화해야하므로 클러스터를 배포한 후 FIPS를 활성화할 수 없습니다.
2.1. OpenShift Container Platform에서 FIPS 검증
OpenShift Container Platform은 이를 사용하는 운영 체제 구성 요소에 대해 RHEL (Red Hat Enterprise Linux) 및 RHCOS에서 특정 FIPS 검증 / UT (Implementation Under Test) 모듈을 사용합니다. RHEL7 core crypto components의 내용을 참조하십시오. 예를 들어 사용자가 OpenShift Container Platform 클러스터 및 컨테이너에 SSH를 실행하면 해당 연결이 올바르게 암호화됩니다.
OpenShift Container Platform 구성 요소는 Go로 작성된 Red Hat의 golang 컴파일러를 사용하여 빌드됩니다. 클러스터의 FIPS 모드를 활성화하면 Red Hat의 golang 컴파일러는 암호화 서명이 필요한 모든 OpenShift Container Platform 구성 요소에 대해 RHEL 및 RHCOS 암호화 라이브러리를 호출합니다. OpenShift Container Platform 버전 4.3의 초기 릴리스에서는 ose-sdn 패키지 만 FIPS 검증 / IUT (Implementation Under Test)가 아닌 기본 golang 암호화를 사용합니다. Red Hat은 다른 모든 패키지가 FIPS 검증 / IUT (Implementation Under Test) OpenSSL 모듈을 사용하는지 확인합니다.
| 속성 | 제한 |
|---|---|
| RHEL 7 운영 체제에서 FIPS 지원 | FIPS 구현은 해시 함수를 계산하고 해당 해시 기반 키를 검증하는 단일 함수를 제공하지 않습니다. 이 제한은 향후 OpenShift Container Platform 릴리스에서 지속적으로 평가 및 개선될 예정입니다. |
| CRI-O 런타임에서 FIPS 지원 | |
| OpenShift Container Platform 서비스에서 FIPS 지원 | |
| RHEL 7 및 RHCOS 바이너리 및 이미지에서 얻은 FIPS 검증 / IUT (Implementation Under Test) 암호화 모듈 및 알고리즘 | |
| FIPS 호환 golang 컴파일러 사용 | TLS FIPS 지원은 완전히 구현되어 있지 않지만 향후 OpenShift Container Platform 버전에서 완전히 지원될 예정입니다. |
