2장. 기본 드라이버가 있는 CephFS

기본 CephFS 백엔드에는 OpenStack Platform 테넌트에 대한 허용 신뢰 모델이 필요합니다. 이러한 신뢰 모델은 사용자가 OpenStack Platform에서 제공하는 서비스 뒤의 인프라에 직접 액세스할 수 없도록 의도적으로 차단하는 일반적인 OpenStack Platform 클라우드에 적합하지 않습니다.

기본 CephFS를 사용하면 공유 영역에 액세스하려면 사용자 컴퓨팅 인스턴스(VM)를 Ceph 공용 네트워크에 직접 연결해야 합니다. Ceph 인프라 서비스 데몬은 사용자 VM에 노출되는 Ceph 공용 네트워크에 배포됩니다. 사용자 VM에서 실행되는 CephFS 클라이언트는 Ceph 서비스 데몬과 협업하여 RADOS와 직접 상호 작용하여 파일 데이터 블록을 읽고 씁니다.

Shared File Systems(manila) 공유 크기를 적용하는 CephFS 할당량은 RHOSP(Red Hat OpenStack Platform) 사용자가 소유한 VM과 같이 클라이언트측에 적용됩니다. 사용자 VM의 클라이언트 측 소프트웨어 버전이 최신 상태가 아닐 수 있으므로 중요한 클라우드 인프라가 Ceph 서비스 포트를 대상으로 하는 악의적이거나 의도치 않게 해로운 소프트웨어에 취약해질 수 있습니다.

이러한 이유로 기본 CephFS를 신뢰할 수 있는 사용자가 최신 버전의 클라이언트 측 소프트웨어를 유지 관리하는 환경에서만 배포할 것을 권장합니다. 또한 사용자는 Ceph Storage 인프라에 영향을 줄 수 있는 VM에서 소프트웨어가 실행되지 않도록 해야 합니다.

신뢰할 수 없는 많은 사용자를 제공하는 일반적인 목적으로 RHOSP 배포의 경우 NFS를 통해 CephFS를 배포하는 것이 좋습니다. NFS를 통한 CephFS 사용에 대한 자세한 내용은 NFS 를 통해 CephFS를 사용하여 공유 파일 시스템 서비스 배포를 참조하십시오.

사용자는 클라이언트 측 소프트웨어를 최신 상태로 유지하지 못할 수 있으며 VM에서 해로운 소프트웨어를 제외하지 못할 수 있지만, NFS를 통해 CephFS를 사용하면 사용자는 Ceph 인프라 자체가 아닌 NFS 서버의 공용 측면만 액세스할 수 있습니다. NFS는 동일한 종류의 협업 클라이언트를 필요로 하지 않으며, 최악의 경우 사용자 VM 공격이 Ceph Storage 인프라를 손상시키지 않고 NFS 게이트웨이를 손상시킬 수 있습니다.

Red Hat은 다음과 같은 보안 조치를 권장합니다.