2.2. 영구 볼륨 암호화의 스토리지 클래스

1. OpenShift Container Platform 웹 콘솔에서 워크로드 시크릿 으로 이동합니다.
2. 생성 키/값 시크릿 을 클릭합니다.
3. 시크릿 이름을 ceph-csi-kms-token 으로 입력합니다.
4. Key 를 토큰 으로 입력합니다.

5. 값을 입력합니다.

   Vault의 토큰입니다. 찾아보기 를 클릭하여 토큰이 포함된 파일을 선택하고 업로드하거나 텍스트 상자에 직접 토큰을 입력할 수 있습니다.

6. 생성을 클릭합니다.

사전 요구 사항

1. KMIP 클라이언트가 없는 경우 해당 클라이언트를 생성합니다. 사용자 인터페이스에서 KMIP 클라이언트 프로필 프로필 추가를 선택합니다.

   1. 프로필 생성 중에 CipherTrust 사용자 이름을 Common Name 필드에 추가합니다.
2. KMIP 등록 토큰 새로운 등록 토큰 으로 이동합니다. 다음 단계를 위해 토큰을 복사합니다.
3. 클라이언트를 등록하려면 KMIP Registered Clients Add Client 로 이동합니다. 이름을 지정합니다. 이전 단계에서 등록 토큰 을 붙여넣은 다음 저장을 클릭합니다.
4. 개인 키 저장을 클릭하고 인증서 저장을 클릭하여 개인 키와 클라이언트 인증서를 다운로드합니다.

5. 새 KMIP 인터페이스를 생성하려면 관리자 설정 인터페이스 인터페이스 추가로 이동합니다.

   1. KMIP 키 관리 상호 운용성 프로토콜 을 선택하고 다음을 클릭합니다.
   2. 무료 포트 를 선택합니다.
   3. 네트워크 인터페이스를 모두 선택합니다.
   4. Interface Mode 를 TLS로 선택하고 클라이언트 인증서에서 가져온 사용자 이름, auth request는 선택 사항입니다.
   5. (선택 사항) 키가 삭제될 때 하드 삭제를 활성화하여 메타 데이터 및 자료를 모두 삭제할 수 있습니다. 이는 기본적으로 비활성화되어 있습니다.
   6. 사용할 CA를 선택하고 저장을 클릭합니다.
6. 서버 CA 인증서를 가져오려면 새로 생성된 인터페이스 오른쪽에 있는 작업 메뉴(ECDHE) 를 클릭하고 인증서 다운로드를 클릭합니다.

절차

1. 스토리지 클래스 암호화를 위한 KEK(Key Encryption Key) 역할을 할 키를 만들려면 다음 단계를 따르십시오.

   1. 키 키 추가로 이동합니다.
   2. 키 이름 을 입력합니다.
   3. Algorithm 및 Size 를 각각 AES 및 256 으로 설정합니다.
   4. Pre-Active 상태에서 키 만들기를 활성화하고 활성화할 날짜와 시간을 설정합니다.
   5. Key Usage 에서 Encrypt 및 Decrypt 가 활성화되어 있는지 확인합니다.
   6. 배포 중에 사용할 새로 생성된 키의 ID를 복사합니다.

1. Openshift 클러스터에 다음 YAML을 적용합니다.

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: rbd-csi-vault-token-review
   ---
   kind: ClusterRole
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: rbd-csi-vault-token-review
   rules:
     - apiGroups: ["authentication.k8s.io"]
       resources: ["tokenreviews"]
       verbs: ["create", "get", "list"]
   
   ---
   kind: ClusterRoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: rbd-csi-vault-token-review
   subjects:
     - kind: ServiceAccount
       name: rbd-csi-vault-token-review
       namespace: openshift-storage
   roleRef:
     kind: ClusterRole
     name: rbd-csi-vault-token-review
     apiGroup: rbac.authorization.k8s.io

   Copy to Clipboard

2. serviceaccount 토큰 및 CA 인증서에 대한 시크릿을 생성합니다.

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: Secret
   metadata:
     name: rbd-csi-vault-token-review-token
     namespace: openshift-storage
     annotations:
       kubernetes.io/service-account.name: "rbd-csi-vault-token-review"
   type: kubernetes.io/service-account-token
   data: {}
   EOF

   Copy to Clipboard

3. 시크릿에서 토큰과 CA 인증서를 가져옵니다.

   $ SA_JWT_TOKEN=$(oc -n openshift-storage get secret rbd-csi-vault-token-review-token -o jsonpath="{.data['token']}" | base64 --decode; echo)
   $ SA_CA_CRT=$(oc -n openshift-storage get secret rbd-csi-vault-token-review-token -o jsonpath="{.data['ca\.crt']}" | base64 --decode; echo)

   Copy to Clipboard

4. OpenShift 클러스터 끝점을 검색합니다.

   $ OCP_HOST=$(oc config view --minify --flatten -o jsonpath="{.clusters[0].cluster.server}")

   Copy to Clipboard

5. 이전 단계에서 수집한 정보를 사용하여 Vault에서 kubernetes 인증 방법을 설정합니다.

   $ vault auth enable kubernetes
   $ vault write auth/kubernetes/config \
             token_reviewer_jwt="$SA_JWT_TOKEN" \
             kubernetes_host="$OCP_HOST" \
             kubernetes_ca_cert="$SA_CA_CRT"

   Copy to Clipboard

6. 테넌트 네임스페이스에 대한 Vault에서 역할을 생성합니다.

   $ vault write "auth/kubernetes/role/csi-kubernetes" bound_service_account_names="ceph-csi-vault-sa" bound_service_account_namespaces=<tenant_namespace> policies=<policy_name_in_vault>

   Copy to Clipboard

   CSI-kubernetes 는 OpenShift Data Foundation이 Vault에서 찾는 기본 역할 이름입니다. OpenShift Data Foundation 클러스터의 테넌트 네임스페이스에 있는 기본 서비스 계정 이름은 ceph-csi-vault-sa 입니다. 이러한 기본값은 테넌트 네임스페이스에 ConfigMap을 생성하여 덮어쓸 수 있습니다.

   기본 이름을 재정의하는 방법에 대한 자세한 내용은 테넌트 ConfigMap을 사용하여 Vault 연결 세부 정보 덮어쓰기를 참조하십시오.

절차

1. 테넌트 네임스페이스에 있는지 확인합니다.
2. 워크로드 ConfigMaps 를 클릭합니다.
3. Create ConfigMap 을 클릭합니다.

4. 다음은 샘플 yaml입니다. 지정된 테넌트 네임스페이스에 대해 덮어쓸 값을 다음과 같이 data 섹션에서 지정할 수 있습니다.

   ---
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: ceph-csi-kms-config
   data:
     vaultAddress: "<vault_address:port>"
     vaultBackendPath: "<backend_path>"
     vaultTLSServerName: "<vault_tls_server_name>"
     vaultNamespace: "<vault_namespace>"

   Copy to Clipboard
5. yaml을 편집한 후 생성 을 클릭합니다.