4.2. Block Storage(cinder) 볼륨 암호화

절차

1. cinder-volume 및 nova-compute 서비스를 실행하는 노드에서 nova 및 cinder가 모두 키 관리에 barbican을 사용하도록 구성되어 있는지 확인합니다.

   $ crudini --get /var/lib/config-data/puppet-generated/cinder/etc/cinder/cinder.conf key_manager backend
   castellan.key_manager.barbican_key_manager.BarbicanKeyManager
   
   $ crudini --get /var/lib/config-data/puppet-generated/nova_libvirt/etc/nova/nova.conf key_manager backend
   castellan.key_manager.barbican_key_manager.BarbicanKeyManager

2. 암호화를 사용하는 볼륨 템플릿을 생성합니다. 새 볼륨을 생성할 때 여기에 정의된 설정을 모델링할 수 있습니다.

   $ openstack volume type create --encryption-provider nova.volume.encryptors.luks.LuksEncryptor --encryption-cipher aes-xts-plain64 --encryption-key-size 256 --encryption-control-location front-end LuksEncryptor-Template-256
   +-------------+------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | Field       | Value                                                                                                                                                                              |
   +-------------+------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | description | None                                                                                                                                                                               |
   | encryption  | cipher='aes-xts-plain64', control_location='front-end', encryption_id='9df604d0-8584-4ce8-b450-e13e6316c4d3', key_size='256', provider='nova.volume.encryptors.luks.LuksEncryptor' |
   | id          | 78898a82-8f4c-44b2-a460-40a5da9e4d59                                                                                                                                               |
   | is_public   | True                                                                                                                                                                               |
   | name        | LuksEncryptor-Template-256                                                                                                                                                         |
   +-------------+------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+

3. 새 볼륨을 생성하고 LuksEncryptor-Template-256 설정을 사용하도록 지정합니다.

   $ openstack volume create --size 1 --type LuksEncryptor-Template-256 'Encrypted-Test-Volume'
   +---------------------+--------------------------------------+
   | Field               | Value                                |
   +---------------------+--------------------------------------+
   | attachments         | []                                   |
   | availability_zone   | nova                                 |
   | bootable            | false                                |
   | consistencygroup_id | None                                 |
   | created_at          | 2018-01-22T00:19:06.000000           |
   | description         | None                                 |
   | encrypted           | True                                 |
   | id                  | a361fd0b-882a-46cc-a669-c633630b5c93 |
   | migration_status    | None                                 |
   | multiattach         | False                                |
   | name                | Encrypted-Test-Volume                |
   | properties          |                                      |
   | replication_status  | None                                 |
   | size                | 1                                    |
   | snapshot_id         | None                                 |
   | source_volid        | None                                 |
   | status              | creating                             |
   | type                | LuksEncryptor-Template-256           |
   | updated_at          | None                                 |
   | user_id             | 0e73cb3111614365a144e7f8f1a972af     |
   +---------------------+--------------------------------------+

   생성된 시크릿은 barbican 백엔드에 자동으로 업로드됩니다.

   참고

   암호화된 볼륨을 생성하는 사용자가 프로젝트에 대한 작성자 barbican 역할이 있는지 확인합니다. 자세한 내용은 creator 역할에 대한 사용자 액세스 권한 부여 섹션을 참조하십시오.

4. barbican을 사용하여 디스크 암호화 키가 있는지 확인합니다. 이 예에서 타임스탬프는 LUKS 볼륨 생성 시간과 일치합니다.

   $ openstack secret list
   +------------------------------------------------------------------------------------+------+---------------------------+--------+-------------------------------------------+-----------+------------+-------------+------+------------+
   | Secret href                                                                        | Name | Created                   | Status | Content types                             | Algorithm | Bit length | Secret type | Mode | Expiration |
   +------------------------------------------------------------------------------------+------+---------------------------+--------+-------------------------------------------+-----------+------------+-------------+------+------------+
   | https://192.168.123.169:9311/v1/secrets/24845e6d-64a5-4071-ba99-0fdd1046172e | None | 2018-01-22T02:23:15+00:00 | ACTIVE | {u'default': u'application/octet-stream'} | aes       |        256 | symmetric   | None | None       |
   +------------------------------------------------------------------------------------+------+---------------------------+--------+-------------------------------------------+-----------+------------+-------------+------+------------+

5. 새 볼륨을 기존 인스턴스에 연결합니다. 예를 들면 다음과 같습니다.

   $ openstack server add volume testInstance Encrypted-Test-Volume

   그러면 볼륨이 게스트 운영 체제에 표시되고 기본 제공 툴을 사용하여 마운트할 수 있습니다.