3장. HSM(Hardware Security Module) 어플라이언스와 OpenStack Key Manager(barbican) 통합

절차

1. Barbican에 대한 configure-barbican.yaml 환경 파일을 생성하고 다음 매개변수를 추가합니다.

   parameter_defaults
     BarbicanSimpleCryptoGlobalDefault: false
     BarbicanPkcs11CryptoGlobalDefault: true
     BarbicanPkcs11CryptoLogin: ********
     BarbicanPkcs11CryptoSlotId: 1
     ATOSVars:
       atos_client_iso_name: Proteccio1.09.05.iso
       atos_client_iso_location: https://user@PASSWORD:example.com/Proteccio1.09.05.iso
       atos_client_cert_location: https://user@PASSWORD:example.com/client.CRT
       atos_client_key_location: https://user@PASSWORD:example.com/client.KEY
       atos_hsms:
         - name: myHsm1
           server_cert_location: https://user@PASSWORD:example.com/myHsm1.CRT
           ip: 192.168.1.101
         - name: myHsm2
           server_cert_location: https://user@PASSWORD:example.com/myHsm2.CRT
           ip: ip: 192.168.1.102

   Copy to Clipboard Toggle word wrap
   참고

   atos_hsms 매개변수는 더 이상 사용되지 않고 향후 릴리스에서 제거될 atos_hsm_ip_address 및 atos_server_cert_location 매개변수를 대체합니다.

   Expand

   표 3.2. heat 매개변수

   매개변수	현재의
   BarbicanSimpleCryptoGlobalDefault	simplecrypto 가 글로벌 기본값인지 여부를 결정하는 부울입니다.
   BarbicanPkcs11GlobalDefault	PKCS#11 이 글로벌 기본값인지 여부를 결정하는 부울입니다.
   BarbicanPkcs11CryptoSlotId	Barbican에서 사용할 Virtual HSM의 슬롯 ID입니다.
   ATOSVars
   atos_client_iso_name	Atos 클라이언트 소프트웨어 ISO의 파일 이름입니다. 이 값은 atos_client_iso_location 매개변수의 URL의 파일 이름과 일치해야 합니다.
   atos_client_iso_location	사용자 이름 및 암호를 포함한 URL은 Proteccio 클라이언트 소프트웨어 ISO 이미지의 HTTPS 서버 위치를 지정합니다.
   atos_client_cert_location	사용자 이름 및 암호를 포함한 URL은 SSL 클라이언트 인증서의 HTTPS 서버 위치를 지정합니다.
   atos_client_key_location	사용자 이름 및 암호를 포함한 URL은 SSL 클라이언트 키의 HTTPS 서버 위치를 지정합니다. 이는 위의 클라이언트 인증서와 일치하는 키여야 합니다.
   atos_hsms	HSM의 이름, 인증서 위치 및 IP 주소를 지정하는 하나 이상의 HSM 목록입니다. 이 목록에 두 개 이상의 HSM을 포함하는 경우 Barbican은 부하 분산 및 고가용성을 위해 HSM을 구성합니다.

   Show more

2. 배포 명령에 사용자 지정 configure-barbican.yaml , barbican.yaml 및 ATOS 특정 barbican-backend-pkcs11-atos.yaml 환경 파일을 포함하고 배포와 관련된 기타 환경 파일을 포함합니다.

   $ openstack overcloud deploy \
       --timeout 100 \
       --templates /usr/share/openstack-tripleo-heat-templates \
       --stack overcloud \
       --libvirt-type kvm \
       --ntp-server clock.redhat.com \
       -e /home/stack/containers-prepare-parameter.yaml \
       -e /home/stack/templates/config_lvm.yaml \
       -e /usr/share/openstack-tripleo-heat-templates/environments/network-isolation.yaml \
       -e /home/stack/templates/network/network-environment.yaml \
       -e /home/stack/templates/hostnames.yml \
       -e /home/stack/templates/nodes_data.yaml \
       -e /home/stack/templates/extra_templates.yaml \
       -e /usr/share/openstack-tripleo-heat-templates/environments/services/barbican.yaml \
       -e /usr/share/openstack-tripleo-heat-templates/environments/barbican-backend-pkcs11-atos.yaml \
       -e /home/stack/templates/configure-barbican.yaml \
       --log-file overcloud_deployment_with_atos.log

   Copy to Clipboard Toggle word wrap

검증

1. 테스트 보안을 생성합니다.

   $ openstack secret store --name testSecret --payload 'TestPayload'
   +---------------+------------------------------------------------------------------------------------+
   | Field         | Value                                                                              |
   +---------------+------------------------------------------------------------------------------------+
   | Secret href   | https://192.168.123.163/key-manager/v1/secrets/4cc5ffe0-eea2-449d-9e64-b664d574be53 |
   | Name          | testSecret                                                                         |
   | Created       | None                                                                               |
   | Status        | None                                                                               |
   | Content types | None                                                                               |
   | Algorithm     | aes                                                                                |
   | Bit length    | 256                                                                                |
   | Secret type   | opaque                                                                             |
   | Mode          | cbc                                                                                |
   | Expiration    | None                                                                               |
   +---------------+------------------------------------------------------------------------------------+

   Copy to Clipboard Toggle word wrap

2. 방금 생성한 시크릿의 페이로드를 검색합니다.

   openstack secret get https://192.168.123.163/key-manager/v1/secrets/4cc5ffe0-eea2-449d-9e64-b664d574be53 --payload
   +---------+-------------+
   | Field   | Value       |
   +---------+-------------+
   | Payload | TestPayload |
   +---------+-------------+

   Copy to Clipboard Toggle word wrap