2.2. 영구 볼륨 암호화를 위한 스토리지 클래스

1. OpenShift Container Platform 웹 콘솔에서 워크로드 시크릿 으로 이동합니다.
2. 생성 키/값 시크릿을 클릭합니다.
3. ceph-csi-kms-token 으로 시크릿 이름을 입력합니다.
4. 토큰으로 Key 를 입력합니다.

5. 값을 입력합니다.

   Vault의 토큰입니다. 찾아보기 를 클릭하여 토큰이 포함된 파일을 선택하고 업로드하거나 텍스트 상자에 토큰을 직접 입력할 수 있습니다.

6. 생성을 클릭합니다.

사전 요구 사항

1. 존재하지 않는 경우 KMIP 클라이언트를 생성합니다. 사용자 인터페이스에서 KMIP 클라이언트 프로필 프로필 추가를 선택합니다.

   1. 프로필 생성 중에 CipherTrust 사용자 이름을 공통 이름 필드에 추가합니다.
2. KMIP 등록 토큰 새 등록 토큰으로 이동하는 토큰 을 생성합니다. 다음 단계에 사용할 토큰을 복사합니다.
3. 클라이언트를 등록하려면 KMIP Registered Clients Add Client 로 이동합니다. 이름을 지정합니다. 이전 단계에서 등록 토큰 을 붙여넣은 다음 저장을 클릭합니다.
4. 개인 키 저장을 클릭하고 인증서 저장을 클릭하여 개인 키 및 클라이언트 인증서 를 다운로드합니다.

5. 새 KMIP 인터페이스를 생성하려면 관리자 설정 인터페이스 인터페이스 추가로 이동합니다.

   1. KMIP 키 관리 상호 운용성 프로토콜 을 선택하고 다음을 클릭합니다.
   2. 무료 포트 를 선택합니다.
   3. 네트워크 인터페이스를 모두 선택합니다.
   4. TLS로 인터페이스 모드를 선택하고 클라이언트 인증서에서 가져온 사용자 이름을 확인합니다. 인증 요청은 선택 사항입니다.
   5. (선택 사항) 키가 삭제될 때 메타 데이터 및 자료를 모두 삭제하도록 하드 삭제를 활성화할 수 있습니다. 기본적으로 비활성화되어 있습니다.
   6. 사용할 CA를 선택하고 저장을 클릭합니다.
6. 서버 CA 인증서를 가져오려면 새로 생성된 인터페이스 오른쪽에 있는 Action 메뉴 ( Cryostat) 를 클릭하고 인증서 다운로드를 클릭합니다.

프로시저

1. 스토리지 클래스 암호화를 위한 KEK(Key Encryption Key) 역할을 할 키를 생성하려면 다음 단계를 따르십시오.

   1. 키 키 추가로 이동합니다.
   2. 키 이름을 입력합니다.
   3. 알고리즘 및 크기를 각각 AES 및 256 으로 설정합니다.
   4. Pre-Active 상태에서 키 만들기 를 활성화하고 활성화 날짜 및 시간을 설정합니다.
   5. 키 사용량 에서 Encrypt 및 Decrypt 가 활성화되어 있는지 확인합니다.
   6. 배포 중에 고유 식별자로 사용할 새로 생성된 키의 ID를 복사합니다.

1. Openshift 클러스터에 다음 YAML을 적용합니다.

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: rbd-csi-vault-token-review
   ---
   kind: ClusterRole
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: rbd-csi-vault-token-review
   rules:
     - apiGroups: ["authentication.k8s.io"]
       resources: ["tokenreviews"]
       verbs: ["create", "get", "list"]
   
   ---
   kind: ClusterRoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: rbd-csi-vault-token-review
   subjects:
     - kind: ServiceAccount
       name: rbd-csi-vault-token-review
       namespace: openshift-storage
   roleRef:
     kind: ClusterRole
     name: rbd-csi-vault-token-review
     apiGroup: rbac.authorization.k8s.io

2. serviceaccount 토큰 및 CA 인증서에 대한 시크릿을 생성합니다.

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: Secret
   metadata:
     name: rbd-csi-vault-token-review-token
     namespace: openshift-storage
     annotations:
       kubernetes.io/service-account.name: "rbd-csi-vault-token-review"
   type: kubernetes.io/service-account-token
   data: {}
   EOF

3. 시크릿에서 토큰 및 CA 인증서를 가져옵니다.

   $ SA_JWT_TOKEN=$(oc -n openshift-storage get secret rbd-csi-vault-token-review-token -o jsonpath="{.data['token']}" | base64 --decode; echo)
   $ SA_CA_CRT=$(oc -n openshift-storage get secret rbd-csi-vault-token-review-token -o jsonpath="{.data['ca\.crt']}" | base64 --decode; echo)

4. OpenShift 클러스터 끝점을 검색합니다.

   $ OCP_HOST=$(oc config view --minify --flatten -o jsonpath="{.clusters[0].cluster.server}")

5. 이전 단계에서 수집한 정보를 사용하여 다음과 같이 Vault에서 kubernetes 인증 방법을 설정합니다.

   $ vault auth enable kubernetes
   $ vault write auth/kubernetes/config \
             token_reviewer_jwt="$SA_JWT_TOKEN" \
             kubernetes_host="$OCP_HOST" \
             kubernetes_ca_cert="$SA_CA_CRT"

6. 테넌트 네임스페이스에 대한 Vault에서 역할을 생성합니다.

   $ vault write "auth/kubernetes/role/csi-kubernetes" bound_service_account_names="ceph-csi-vault-sa" bound_service_account_namespaces=<tenant_namespace> policies=<policy_name_in_vault>

   CSI-kubernetes 는 OpenShift Data Foundation이 Vault에서 찾는 기본 역할 이름입니다. OpenShift Data Foundation 클러스터의 테넌트 네임스페이스의 기본 서비스 계정 이름은 ceph-csi-vault-sa 입니다. 이러한 기본값은 테넌트 네임스페이스에 ConfigMap을 생성하여 덮어쓸 수 있습니다.

   기본 이름을 재정의하는 방법에 대한 자세한 내용은 테넌트 ConfigMap을 사용하여 Vault 연결 세부 정보 덮어쓰기 를 참조하십시오.

프로시저

1. 테넌트 네임스페이스에 있는지 확인합니다.
2. 워크로드 ConfigMap 을 클릭합니다.
3. Create ConfigMap 을 클릭합니다.

4. 다음은 샘플 yaml입니다. 다음과 같이 지정된 테넌트 네임스페이스에 대해 초과할 값을 data 섹션에서 지정할 수 있습니다.

   ---
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: ceph-csi-kms-config
   data:
     vaultAddress: "<vault_address:port>"
     vaultBackendPath: "<backend_path>"
     vaultTLSServerName: "<vault_tls_server_name>"
     vaultNamespace: "<vault_namespace>"

5. yaml을 편집한 후 생성 을 클릭합니다.