2.12.5. Vault를 사용하도록 Ceph Object Gateway 구성
H¢Corp Vault를 사용하도록 Ceph Object Gateway를 구성하려면 암호화 키 저장소로 설정해야 합니다. 현재 Ceph Object Gateway는 두 가지 비밀 엔진과 두 가지 다른 인증 방법을 지원합니다.
사전 요구 사항
- 실행 중인 Red Hat Ceph Storage 클러스터.
- Ceph Object Gateway 소프트웨어 설치.
- Ceph Object Gateway 노드에 대한 루트 수준 액세스.
절차
Ceph 구성 파일을 편집하기 위해 기본적으로
/etc/ceph/ceph.conf
를 열고 암호화 키 저장소로 Vault를 활성화합니다.rgw_crypt_s3_kms_backend = vault
[client.radosgw.INSTANCE_NAME]
섹션에서 Vault 인증 방법인 Token 또는 Vault 에이전트를 선택합니다.Token 을 사용하는 경우 다음 행을 추가합니다.
rgw_crypt_vault_auth = token rgw_crypt_vault_token_file = /etc/ceph/vault.token rgw_crypt_vault_addr = http://VAULT_SERVER:8200
Vault 에이전트를 사용하는 경우 다음 행을 추가합니다.
rgw_crypt_vault_auth = agent rgw_crypt_vault_addr = http://VAULT_SERVER:8100
[client.radosgw.INSTANCE_NAME]
섹션에서 Vault 시크릿 엔진(키/값 또는 전송)을 선택합니다.Key/Value 를 사용하는 경우 다음 행을 추가합니다.
rgw_crypt_vault_secret_engine = kv
Transit 을 사용하는 경우 다음 행을 추가합니다.
rgw_crypt_vault_secret_engine = transit
선택적으로
[client.radosgw.INSTANCE_NAME]
섹션에서 암호화 키를 검색할 Vault 네임스페이스를 설정할 수 있습니다.rgw_crypt_vault_namespace = NAME_OF_THE_NAMESPACE
경로 접두사를 설정하여 Ceph Object Gateway에서 Vault에서 암호화 키를 검색하는 위치를 제한합니다.
예제
rgw_crypt_vault_prefix = /v1/secret/data
내보낼 수 있는 전송 키의 경우 다음과 같이 접두사 경로를 설정합니다.
rgw_crypt_vault_prefix = /v1/transit/export/encryption-key
Vault 서버의 도메인 이름이
vault-server
라고 가정하면 Ceph Object Gateway는 다음 URL에서 암호화된 전송 키를 가져옵니다.예제
http://vault-server:8200/v1/transit/export/encryption-key
- Ceph 구성 파일에 변경 사항을 저장합니다.
추가 리소스
- 자세한 내용은 Red Hat Ceph Storage Object Gateway Configuration and Administration Guide 의 Vault용 Secret Engine 섹션을 참조하십시오.
- 자세한 내용은 Red Hat Ceph Storage Object Gateway Configuration and Administration Guide 의 Vault에 대한 인증 섹션을 참조하십시오.