2.12.5. Vault를 사용하도록 Ceph Object Gateway 구성

절차

1. Ceph 구성 파일을 편집하기 위해 기본적으로 /etc/ceph/ceph.conf 를 열고 암호화 키 저장소로 Vault를 활성화합니다.

   rgw_crypt_s3_kms_backend = vault

2. [client.radosgw.INSTANCE_NAME] 섹션에서 Vault 인증 방법인 Token 또는 Vault 에이전트를 선택합니다.

   1. Token 을 사용하는 경우 다음 행을 추가합니다.

      rgw_crypt_vault_auth = token
      rgw_crypt_vault_token_file = /etc/ceph/vault.token
      rgw_crypt_vault_addr = http://VAULT_SERVER:8200

   2. Vault 에이전트를 사용하는 경우 다음 행을 추가합니다.

      rgw_crypt_vault_auth = agent
      rgw_crypt_vault_addr = http://VAULT_SERVER:8100

3. [client.radosgw.INSTANCE_NAME] 섹션에서 Vault 시크릿 엔진(키/값 또는 전송)을 선택합니다.

   1. Key/Value 를 사용하는 경우 다음 행을 추가합니다.

      rgw_crypt_vault_secret_engine = kv

   2. Transit 을 사용하는 경우 다음 행을 추가합니다.

      rgw_crypt_vault_secret_engine = transit

4. 선택적으로 [client.radosgw.INSTANCE_NAME] 섹션에서 암호화 키를 검색할 Vault 네임스페이스를 설정할 수 있습니다.

   rgw_crypt_vault_namespace = NAME_OF_THE_NAMESPACE

5. 경로 접두사를 설정하여 Ceph Object Gateway에서 Vault에서 암호화 키를 검색하는 위치를 제한합니다.

   예제

   rgw_crypt_vault_prefix = /v1/secret/data

   1. 내보낼 수 있는 전송 키의 경우 다음과 같이 접두사 경로를 설정합니다.

      rgw_crypt_vault_prefix = /v1/transit/export/encryption-key

      Vault 서버의 도메인 이름이 vault-server 라고 가정하면 Ceph Object Gateway는 다음 URL에서 암호화된 전송 키를 가져옵니다.

      예제

      http://vault-server:8200/v1/transit/export/encryption-key

6. Ceph 구성 파일에 변경 사항을 저장합니다.