13.3. 데이터 암호화

OpenStack의 볼륨 암호화 기능은 프로젝트별로 기밀성을 지원합니다. 지원되는 기능은 다음과 같습니다.

임시 디스크 암호화 기능으로 데이터 프라이버시를 처리합니다. 임시 디스크는 가상 호스트 운영 체제에서 사용하는 임시 작업 공간입니다. 암호화를 사용하지 않으면 이 디스크에서 중요한 사용자 정보에 액세스할 수 있으며 디스크의 마운트를 해제한 후에도 vestigial 정보가 유지될 수 있습니다. 다음과 같은 임시 디스크 암호화 기능이 지원됩니다.

Object Storage(swift)는 스토리지 노드에서 유휴 상태의 오브젝트 데이터의 선택적 암호화를 지원합니다. 개체 데이터의 암호화는 무단 당사자가 디스크에 대한 물리적 액세스를 얻는 경우 사용자의 데이터를 읽을 위험을 완화하기 위한 것입니다.

유휴 상태의 데이터 암호화는 프록시 서버 WSGI 파이프라인에 포함될 수 있는 미들웨어에 의해 구현됩니다. 이 기능은 Swift 클러스터 내부이며 API를 통해 노출되지 않습니다. 클라이언트는 데이터가 swift 서비스로 내부적으로 암호화된다는 것을 인식하지 못합니다. 내부적으로 암호화된 데이터는 swift API를 통해 클라이언트로 반환되지 않아야 합니다.

다음 데이터는 swift에서 유휴 상태로 유지되는 동안 암호화됩니다.

위 목록에 포함되지 않은 모든 데이터 또는 메타데이터는 다음을 포함하여 암호화되지 않습니다.

운영 체제를 활성화하면 현재 Intel 및 AMD 프로세서에서 사용 가능한 하드웨어 가속 기능을 사용하여 OpenStack 볼륨 암호화 성능을 향상시킬 수 있습니다. OpenStack 볼륨 암호화 기능과 OpenStack Ephemeral Disk Encryption 기능은 모두 dm-crypt 를 사용하여 볼륨 데이터를 보호합니다. dm-crypt 는 Linux 커널 버전 2.6 이상에서 투명한 디스크 암호화 기능입니다. 하드웨어 가속 기능을 사용하면 두 암호화 기능의 성능에 미치는 영향이 최소화됩니다.

컴퓨팅 노드의 프로젝트 데이터는 IPsec 또는 기타 터널을 통해 암호화할 수 있습니다. 이 방법은 OpenStack에서 일반 또는 표준이 아닌 동기부여 및 관심 있는 구현자가 사용할 수 있는 옵션입니다. 마찬가지로, 암호화된 데이터는 네트워크를 통해 전송되므로 계속 암호화됩니다.