보안 및 강화 가이드

snmpd.conf

openstack network create internal-network
openstack network create internal-network
openstack network create internal-network --project testing
openstack network create internal-network --project testing
source /home/stack/stackrc
$ source /home/stack/stackrc
openstack subnet list -c Name -c Subnet
+---------------------+------------------+
| Name                | Subnet           |
+---------------------+------------------+
| ctlplane-subnet     | 192.168.101.0/24 |
| storage_mgmt_subnet | 172.16.105.0/24  |
| tenant_subnet       | 172.16.102.0/24  |
| external_subnet     | 10.94.81.0/24    |
| internal_api_subnet | 172.16.103.0/24  |
| storage_subnet      | 172.16.104.0/24  |
+---------------------+------------------+
openstack subnet list -c Name -c Subnet
+---------------------+------------------+
| Name                | Subnet           |
+---------------------+------------------+
| ctlplane-subnet     | 192.168.101.0/24 |
| storage_mgmt_subnet | 172.16.105.0/24  |
| tenant_subnet       | 172.16.102.0/24  |
| external_subnet     | 10.94.81.0/24    |
| internal_api_subnet | 172.16.103.0/24  |
| storage_subnet      | 172.16.104.0/24  |
+---------------------+------------------+
openstack server list -c Name -c Networks
+-------------------------+-------------------------+
| Name                    | Networks                |
+-------------------------+-------------------------+
| overcloud-controller-0  | ctlplane=192.168.101.15 |
| overcloud-controller-1  | ctlplane=192.168.101.19 |
| overcloud-controller-2  | ctlplane=192.168.101.14 |
| overcloud-novacompute-0 | ctlplane=192.168.101.18 |
| overcloud-novacompute-2 | ctlplane=192.168.101.17 |
| overcloud-novacompute-1 | ctlplane=192.168.101.11 |
+-------------------------+-------------------------+
openstack server list -c Name -c Networks
+-------------------------+-------------------------+
| Name                    | Networks                |
+-------------------------+-------------------------+
| overcloud-controller-0  | ctlplane=192.168.101.15 |
| overcloud-controller-1  | ctlplane=192.168.101.19 |
| overcloud-controller-2  | ctlplane=192.168.101.14 |
| overcloud-novacompute-0 | ctlplane=192.168.101.18 |
| overcloud-novacompute-2 | ctlplane=192.168.101.17 |
| overcloud-novacompute-1 | ctlplane=192.168.101.11 |
+-------------------------+-------------------------+
ssh tripleo-admin@192.168.101.15 ip addr
ssh tripleo-admin@192.168.101.15 ip addr
cat > ~/templates/firewall.yaml <<EOF
parameter_defaults:
  ExtraFirewallRules:
    '300 allow custom application 1':
      dport: 999
      proto: udp
    '301 allow custom application 2':
      dport: 8081
      proto: tcp
EOF
cat > ~/templates/firewall.yaml <<EOF
parameter_defaults:
  ExtraFirewallRules:
    '300 allow custom application 1':
      dport: 999
      proto: udp
    '301 allow custom application 2':
      dport: 8081
      proto: tcp
EOF
openstack overcloud deploy --templates /
...
-e /home/stack/templates/firewall.yaml /
....
openstack overcloud deploy --templates /
...
-e /home/stack/templates/firewall.yaml /
....
sudo iptables -L | grep rabbitmq
[tripleo-admin@overcloud-controller-2 ~]$ sudo iptables -L | grep rabbitmq
ACCEPT     tcp  --  anywhere             anywhere             multiport dports vtr-emulator,epmd,amqp,25672,25673:25683 state NEW /* 109 rabbitmq-bundle ipv4 */
cat > ~/templates/firewall.yaml <<EOF
parameter_defaults:
  ExtraFirewallRules:
    '098 allow rabbit from internalapi network':
      dport:
      - 4369
      - 5672
      - 25672
      proto: tcp
      source: 10.0.0.0/24
    '099 drop other rabbit access':
      dport:
      - 4369
      - 5672
      - 25672
      proto: tcp
      action: drop
EOF
cat > ~/templates/firewall.yaml <<EOF
parameter_defaults:
  ExtraFirewallRules:
    '098 allow rabbit from internalapi network':
      dport:
      - 4369
      - 5672
      - 25672
      proto: tcp
      source: 10.0.0.0/24
    '099 drop other rabbit access':
      dport:
      - 4369
      - 5672
      - 25672
      proto: tcp
      action: drop
EOF
openstack overcloud deploy --templates /
...
-e /home/stack/templates/firewall.yaml /
....
openstack overcloud deploy --templates /
...
-e /home/stack/templates/firewall.yaml /
....
parameter_defaults:
  ExtraConfig:
    snmp::ro_community: mysecurestring
    snmp::ro_community6: myv6securestring
parameter_defaults:
  ExtraConfig:
    snmp::ro_community: mysecurestring
    snmp::ro_community6: myv6securestring
parameter_defaults:
  ExtraConfig:
    snmp::com2sec: ["notConfigUser default mysecurestring"]
    snmp::com2sec6: ["notConfigUser default myv6securestring"]
parameter_defaults:
  ExtraConfig:
    snmp::com2sec: ["notConfigUser default mysecurestring"]
    snmp::com2sec6: ["notConfigUser default myv6securestring"]
NeutronOVSFirewallDriver: openvswitch
NeutronOVSFirewallDriver: openvswitch
cd ~/templates
tree
$ cd ~/templates
$ tree
.
├── environments
│   └── network-environment.yaml
├── hci.yaml
├── network
│   └── config
│       └── multiple-nics
│           ├── computehci.yaml
│           ├── compute.yaml
│           └── controller.yaml
├── network_data.yaml
├── plan-environment.yaml
└── roles_data_hci.yaml
cd ~/templates
find . -name *role*
./templates/roles_data_hci.yaml
$ cd ~/templates
$ find . -name *role*
> ./templates/roles_data_hci.yaml
openstack overcloud roles generate \
--roles-path /usr/share/openstack-tripleo-heat-templates/roles \
-o roles_data.yaml Controller Compute
$ openstack overcloud roles generate \
> --roles-path /usr/share/openstack-tripleo-heat-templates/roles \
> -o roles_data.yaml Controller Compute
source ~/stackrc
$ source ~/stackrc
openstack baremetal node list -c Name
$ openstack baremetal node list -c Name
+--------------+
| Name         |
+--------------+
| controller-0 |
| controller-1 |
| controller-2 |
| compute-0    |
| compute-1    |
| compute-2    |
+--------------+
openstack baremetal introspection data save <node> | jq
$ openstack baremetal introspection data save <node> | jq
openstack baremetal introspection data save controller-0 | jq '.inventory | keys'
$ openstack baremetal introspection data save controller-0 | jq '.inventory | keys'

[
  "bmc_address",
  "bmc_v6address",
  "boot",
  "cpu",
  "disks",
  "hostname",
  "interfaces",
  "memory",
  "system_vendor"
]
openstack baremetal introspection data save controller-1 | jq '.inventory.disks'
$ openstack baremetal introspection data save controller-1 | jq '.inventory.disks'
[
  {
    "name": "/dev/sda",
    "model": "QEMU HARDDISK",
    "size": 85899345920,
    "rotational": true,
    "wwn": null,
    "serial": "QM00001",
    "vendor": "ATA",
    "wwn_with_extension": null,
    "wwn_vendor_extension": null,
    "hctl": "0:0:0:0",
    "by_path": "/dev/disk/by-path/pci-0000:00:01.1-ata-1"
  }
]
cat /etc/hosts
$ source stackrc ; openstack endpoint list
$ source overcloudrc ; openstack endpoint list
$ cat /etc/hosts
$ source stackrc ; openstack endpoint list
$ source overcloudrc ; openstack endpoint list
ssh tripleo-admin@compute-0 podman ps
$ ssh tripleo-admin@compute-0 podman ps
parameter_defaults
    KeystoneLockoutDuration: 3600
    KeystoneLockoutFailureAttempts: 3
parameter_defaults
    KeystoneLockoutDuration: 3600
    KeystoneLockoutFailureAttempts: 3
openstack overcloud deploy --templates \
...
-e keystone_config.yaml
...
openstack overcloud deploy --templates \
...
-e keystone_config.yaml
...
./cipherscan https://openstack.lab.local
$ ./cipherscan https://openstack.lab.local
..............................
Target: openstack.lab.local:443

prio  ciphersuite                  protocols  pfs                 curves
1     ECDHE-RSA-AES128-GCM-SHA256  TLSv1.2    ECDH,P-256,256bits  prime256v1
2     ECDHE-RSA-AES256-GCM-SHA384  TLSv1.2    ECDH,P-256,256bits  prime256v1
3     DHE-RSA-AES128-GCM-SHA256    TLSv1.2    DH,1024bits         None
4     DHE-RSA-AES256-GCM-SHA384    TLSv1.2    DH,1024bits         None
5     ECDHE-RSA-AES128-SHA256      TLSv1.2    ECDH,P-256,256bits  prime256v1
6     ECDHE-RSA-AES256-SHA384      TLSv1.2    ECDH,P-256,256bits  prime256v1
7     ECDHE-RSA-AES128-SHA         TLSv1.2    ECDH,P-256,256bits  prime256v1
8     ECDHE-RSA-AES256-SHA         TLSv1.2    ECDH,P-256,256bits  prime256v1
9     DHE-RSA-AES128-SHA256        TLSv1.2    DH,1024bits         None
10    DHE-RSA-AES128-SHA           TLSv1.2    DH,1024bits         None
11    DHE-RSA-AES256-SHA256        TLSv1.2    DH,1024bits         None
12    DHE-RSA-AES256-SHA           TLSv1.2    DH,1024bits         None
13    ECDHE-RSA-DES-CBC3-SHA       TLSv1.2    ECDH,P-256,256bits  prime256v1
14    EDH-RSA-DES-CBC3-SHA         TLSv1.2    DH,1024bits         None
15    AES128-GCM-SHA256            TLSv1.2    None                None
16    AES256-GCM-SHA384            TLSv1.2    None                None
17    AES128-SHA256                TLSv1.2    None                None
18    AES256-SHA256                TLSv1.2    None                None
19    AES128-SHA                   TLSv1.2    None                None
20    AES256-SHA                   TLSv1.2    None                None
21    DES-CBC3-SHA                 TLSv1.2    None                None

Certificate: trusted, 2048 bits, sha256WithRSAEncryption signature
TLS ticket lifetime hint: None
NPN protocols: None
OCSP stapling: not supported
Cipher ordering: server
Curves ordering: server - fallback: no
Server supports secure renegotiation
Server supported compression methods: NONE
TLS Tolerance: yes

Intolerance to:
 SSL 3.254           : absent
 TLS 1.0             : PRESENT
 TLS 1.1             : PRESENT
 TLS 1.2             : absent
 TLS 1.3             : absent
 TLS 1.4             : absent
Intolerance to:
 SSL 3.254           : absent
 TLS 1.0             : PRESENT
 TLS 1.1             : PRESENT
 TLS 1.2             : absent
 TLS 1.3             : absent
 TLS 1.4             : absent
Intolerance to:
 SSL 3.254           : absent
 TLS 1.0             : PRESENT
 TLS 1.1             : PRESENT
 TLS 1.2             : absent
 TLS 1.3             : absent
 TLS 1.4             : absent
search example.com bigcorp.com
nameserver $IDM_SERVER_IP_ADDR
search example.com bigcorp.com
nameserver $IDM_SERVER_IP_ADDR
sudo dnf install -y python3-ipalib python3-ipaclient krb5-devel
sudo dnf install -y python3-ipalib python3-ipaclient krb5-devel
export IPA_DOMAIN=bigcorp.com
export IPA_REALM=BIGCORP.COM
export IPA_ADMIN_USER=$IPA_USER 
export IPA_ADMIN_PASSWORD=$IPA_PASSWORD 
export IPA_SERVER_HOSTNAME=ipa.bigcorp.com
export UNDERCLOUD_FQDN=undercloud.example.com 
export USER=stack
export CLOUD_DOMAIN=example.com
export IPA_DOMAIN=bigcorp.com
export IPA_REALM=BIGCORP.COM
export IPA_ADMIN_USER=$IPA_USER 

export IPA_ADMIN_PASSWORD=$IPA_PASSWORD 

export IPA_SERVER_HOSTNAME=ipa.bigcorp.com
export UNDERCLOUD_FQDN=undercloud.example.com 

export USER=stack
export CLOUD_DOMAIN=example.com
ansible-playbook \
--ssh-extra-args "-o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null" \
/usr/share/ansible/tripleo-playbooks/undercloud-ipa-install.yaml
ansible-playbook \
--ssh-extra-args "-o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null" \
/usr/share/ansible/tripleo-playbooks/undercloud-ipa-install.yaml
undercloud_nameservers = $IDM_SERVER_IP_ADDR
overcloud_domain_name = example.com
undercloud_nameservers = $IDM_SERVER_IP_ADDR
overcloud_domain_name = example.com
parameter_defaults:
  certmonger_krb_realm = EXAMPLE.COMPANY.COM
parameter_defaults:
  certmonger_krb_realm = EXAMPLE.COMPANY.COM
custom_env_files = /home/stack/hiera_override.yaml
custom_env_files = /home/stack/hiera_override.yaml
openstack undercloud install
openstack undercloud install
kinit admin
ipa host-find
$ kinit admin
$ ipa host-find
ls /etc/novajoin/krb5.keytab
ls /etc/novajoin/krb5.keytab
parameter_defaults:
    DnsSearchDomains: ["example.com"]
    CloudDomain: example.com
    CloudName: overcloud.example.com
    CloudNameInternal: overcloud.internalapi.example.com
    CloudNameStorage: overcloud.storage.example.com
    CloudNameStorageManagement: overcloud.storagemgmt.example.com
    CloudNameCtlplane: overcloud.ctlplane.example.com
    IdMServer: freeipa-0.redhat.local
    IdMDomain: redhat.local
    IdMInstallClientPackages: False

resource_registry:
      OS::TripleO::Services::IpaClient: /usr/share/openstack-tripleo-heat-templates/deployment/ipa/ipaservices-baremetal-ansible.yaml
parameter_defaults:
    DnsSearchDomains: ["example.com"]
    CloudDomain: example.com
    CloudName: overcloud.example.com
    CloudNameInternal: overcloud.internalapi.example.com
    CloudNameStorage: overcloud.storage.example.com
    CloudNameStorageManagement: overcloud.storagemgmt.example.com
    CloudNameCtlplane: overcloud.ctlplane.example.com
    IdMServer: freeipa-0.redhat.local
    IdMDomain: redhat.local
    IdMInstallClientPackages: False

resource_registry:
      OS::TripleO::Services::IpaClient: /usr/share/openstack-tripleo-heat-templates/deployment/ipa/ipaservices-baremetal-ansible.yaml
DEFAULT_TEMPLATES=/usr/share/openstack-tripleo-heat-templates/
CUSTOM_TEMPLATES=/home/stack/templates

openstack overcloud deploy \
-e ${DEFAULT_TEMPLATES}/environments/ssl/tls-everywhere-endpoints-dns.yaml \
-e ${DEFAULT_TEMPLATES}/environments/services/haproxy-public-tls-certmonger.yaml \
-e ${DEFAULT_TEMPLATES}/environments/ssl/enable-internal-tls.yaml \
-e ${CUSTOM_TEMPLATES}/tls-parameters.yaml \
...
DEFAULT_TEMPLATES=/usr/share/openstack-tripleo-heat-templates/
CUSTOM_TEMPLATES=/home/stack/templates

openstack overcloud deploy \
-e ${DEFAULT_TEMPLATES}/environments/ssl/tls-everywhere-endpoints-dns.yaml \
-e ${DEFAULT_TEMPLATES}/environments/services/haproxy-public-tls-certmonger.yaml \
-e ${DEFAULT_TEMPLATES}/environments/ssl/enable-internal-tls.yaml \
-e ${CUSTOM_TEMPLATES}/tls-parameters.yaml \
...
openstack endpoint list
openstack endpoint list
parameter_defaults:
    MemcachedTLS: true
    MemcachedPort: 11212
parameter_defaults:
    MemcachedTLS: true
    MemcachedPort: 11212
openstack overcloud deploy --templates \
-e /usr/share/openstack-tripleo-heat-templates/environments/ssl/enable-internal-tls.yaml \
-e /usr/share/openstack-tripleo-heat-templates/environments/ssl/tls-everywhere-endpoints-dns.yaml \
-e /usr/share/openstack-tripleo-heat-templates/environments/services/haproxy-public-tls-certmonger.yaml \
-e /home/stack/memcached.yaml
...
openstack overcloud deploy --templates \
-e /usr/share/openstack-tripleo-heat-templates/environments/ssl/enable-internal-tls.yaml \
-e /usr/share/openstack-tripleo-heat-templates/environments/ssl/tls-everywhere-endpoints-dns.yaml \
-e /usr/share/openstack-tripleo-heat-templates/environments/services/haproxy-public-tls-certmonger.yaml \
-e /home/stack/memcached.yaml
...
parameter_defaults:
    CertificateKeySize: '4096'
    RedisCertificateKeySize: '2048'
parameter_defaults:
    CertificateKeySize: '4096'
    RedisCertificateKeySize: '2048'
#File modified by ipa-client-install

[global]
basedn = dc=redhat,dc=local
realm = REDHAT.LOCAL
domain = redhat.local
server = freeipa-0.redhat.local
host = undercloud-0.redhat.local
xmlrpc_uri = https://freeipa-0.redhat.local/ipa/xml
enable_ra = True
#File modified by ipa-client-install

[global]
basedn = dc=redhat,dc=local
realm = REDHAT.LOCAL
domain = redhat.local
server = freeipa-0.redhat.local
host = undercloud-0.redhat.local
xmlrpc_uri = https://freeipa-0.redhat.local/ipa/xml
enable_ra = True
export IPA_DOMAIN=bigcorp.com
export IPA_REALM=BIGCORP.COM
export IPA_ADMIN_USER=$IPA_USER
export IPA_ADMIN_PASSWORD=$IPA_PASSWORD
export IPA_SERVER_HOSTNAME=ipa.bigcorp.com
export UNDERCLOUD_FQDN=undercloud.example.com
export USER=stack
export CLOUD_DOMAIN=example.com
export IPA_DOMAIN=bigcorp.com
export IPA_REALM=BIGCORP.COM
export IPA_ADMIN_USER=$IPA_USER
export IPA_ADMIN_PASSWORD=$IPA_PASSWORD
export IPA_SERVER_HOSTNAME=ipa.bigcorp.com
export UNDERCLOUD_FQDN=undercloud.example.com
export USER=stack
export CLOUD_DOMAIN=example.com
sudo mkdir -p /etc/pki/CA
sudo touch /etc/pki/CA/index.txt
$ sudo mkdir -p /etc/pki/CA
$ sudo touch /etc/pki/CA/index.txt
echo '1000' | sudo tee /etc/pki/CA/serial
$ echo '1000' | sudo tee /etc/pki/CA/serial
openssl genrsa -out ca.key.pem 4096
openssl req  -key ca.key.pem -new -x509 -days 7300 -extensions v3_ca -out ca.crt.pem
$ openssl genrsa -out ca.key.pem 4096
$ openssl req  -key ca.key.pem -new -x509 -days 7300 -extensions v3_ca -out ca.crt.pem
parameter_defaults:
    PublicTLSCAFile: /etc/pki/ca-trust/source/anchors/cacert.pem
parameter_defaults:
    PublicTLSCAFile: /etc/pki/ca-trust/source/anchors/cacert.pem
sudo cp ca.crt.pem /etc/pki/ca-trust/source/anchors/
$ sudo cp ca.crt.pem /etc/pki/ca-trust/source/anchors/
sudo update-ca-trust extract
$ sudo update-ca-trust extract
openssl genrsa -out server.key.pem 2048
$ openssl genrsa -out server.key.pem 2048
cp /etc/pki/tls/openssl.cnf .
$ cp /etc/pki/tls/openssl.cnf .
[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req

[req_distinguished_name]
countryName = Country Name (2 letter code)
countryName_default = AU
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = Queensland
localityName = Locality Name (eg, city)
localityName_default = Brisbane
organizationalUnitName = Organizational Unit Name (eg, section)
organizationalUnitName_default = Red Hat
commonName = Common Name
commonName_default = 192.168.0.1
commonName_max = 64

[ v3_req ]
# Extensions to add to a certificate request
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

[alt_names]
IP.1 = 192.168.0.1
DNS.1 = instack.localdomain
DNS.2 = vip.localdomain
DNS.3 = 192.168.0.1
[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req

[req_distinguished_name]
countryName = Country Name (2 letter code)
countryName_default = AU
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = Queensland
localityName = Locality Name (eg, city)
localityName_default = Brisbane
organizationalUnitName = Organizational Unit Name (eg, section)
organizationalUnitName_default = Red Hat
commonName = Common Name
commonName_default = 192.168.0.1
commonName_max = 64

[ v3_req ]
# Extensions to add to a certificate request
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

[alt_names]
IP.1 = 192.168.0.1
DNS.1 = instack.localdomain
DNS.2 = vip.localdomain
DNS.3 = 192.168.0.1
openssl req -config openssl.cnf -key server.key.pem -new -out server.csr.pem
$ openssl req -config openssl.cnf -key server.key.pem -new -out server.csr.pem
sudo mkdir -p /etc/pki/CA/newcerts
sudo mkdir -p /etc/pki/CA/newcerts
sudo openssl ca -config openssl.cnf -extensions v3_req -days 3650 -in server.csr.pem -out server.crt.pem -cert ca.crt.pem -keyfile ca.key.pem
$ sudo openssl ca -config openssl.cnf -extensions v3_req -days 3650 -in server.csr.pem -out server.crt.pem -cert ca.crt.pem -keyfile ca.key.pem
cat server.crt.pem server.key.pem > undercloud.pem
$ cat server.crt.pem server.key.pem > undercloud.pem
sudo mkdir /etc/pki/undercloud-certs
sudo cp ~/undercloud.pem /etc/pki/undercloud-certs/.
sudo semanage fcontext -a -t etc_t "/etc/pki/undercloud-certs(/.*)?"
sudo restorecon -R /etc/pki/undercloud-certs
$ sudo mkdir /etc/pki/undercloud-certs
$ sudo cp ~/undercloud.pem /etc/pki/undercloud-certs/.
$ sudo semanage fcontext -a -t etc_t "/etc/pki/undercloud-certs(/.*)?"
$ sudo restorecon -R /etc/pki/undercloud-certs
undercloud_service_certificate = /etc/pki/undercloud-certs/undercloud.pem
undercloud_service_certificate = /etc/pki/undercloud-certs/undercloud.pem
sudo cp ca.crt.pem /etc/pki/ca-trust/source/anchors/
sudo update-ca-trust extract
$ sudo cp ca.crt.pem /etc/pki/ca-trust/source/anchors/
$ sudo update-ca-trust extract
openssl crl2pkcs7 -nocrl -certfile /etc/pki/tls/certs/ca-bundle.crt | openssl pkcs7 -print_certs -text | grep <CN of the CA issuer> -A 10 -B 10
$ openssl crl2pkcs7 -nocrl -certfile /etc/pki/tls/certs/ca-bundle.crt | openssl pkcs7 -print_certs -text | grep <CN of the CA issuer> -A 10 -B 10
cp -r /usr/share/openstack-tripleo-heat-templates/environments/ssl/enable-tls.yaml ~/templates/.
$ cp -r /usr/share/openstack-tripleo-heat-templates/environments/ssl/enable-tls.yaml ~/templates/.
parameter_defaults:
  SSLCertificate: |
    -----BEGIN CERTIFICATE-----
    MIIDgzCCAmugAwIBAgIJAKk46qw6ncJaMA0GCSqGS
    ...
    sFW3S2roS4X0Af/kSSD8mlBBTFTCMBAj6rtLBKLaQ
    -----END CERTIFICATE-----
parameter_defaults:
  SSLCertificate: |
    -----BEGIN CERTIFICATE-----
    MIIDgzCCAmugAwIBAgIJAKk46qw6ncJaMA0GCSqGS
    ...
    sFW3S2roS4X0Af/kSSD8mlBBTFTCMBAj6rtLBKLaQ
    -----END CERTIFICATE-----
parameter_defaults:
  SSLIntermediateCertificate: |
    -----BEGIN CERTIFICATE-----
    sFW3S2roS4X0Af/kSSD8mlBBTFTCMBAj6rtLBKLaQbIxEpIzrgvpBCwUAMFgxCzAJB
    ...
    MIIDgzCCAmugAwIBAgIJAKk46qw6ncJaMA0GCSqGSIb3DQE
    -----END CERTIFICATE-----
parameter_defaults:
  SSLIntermediateCertificate: |
    -----BEGIN CERTIFICATE-----
    sFW3S2roS4X0Af/kSSD8mlBBTFTCMBAj6rtLBKLaQbIxEpIzrgvpBCwUAMFgxCzAJB
    ...
    MIIDgzCCAmugAwIBAgIJAKk46qw6ncJaMA0GCSqGSIb3DQE
    -----END CERTIFICATE-----
parameter_defaults:
  ...
  SSLKey: |
    -----BEGIN RSA PRIVATE KEY-----
    MIIEowIBAAKCAQEAqVw8lnQ9RbeI1EdLN5PJP0lVO
    ...
    ctlKn3rAAdyumi4JDjESAXHIKFjJNOLrBmpQyES4X
    -----END RSA PRIVATE KEY-----
parameter_defaults:
  ...
  SSLKey: |
    -----BEGIN RSA PRIVATE KEY-----
    MIIEowIBAAKCAQEAqVw8lnQ9RbeI1EdLN5PJP0lVO
    ...
    ctlKn3rAAdyumi4JDjESAXHIKFjJNOLrBmpQyES4X
    -----END RSA PRIVATE KEY-----
cp -r /usr/share/openstack-tripleo-heat-templates/environments/ssl/inject-trust-anchor-hiera.yaml ~/templates/.
$ cp -r /usr/share/openstack-tripleo-heat-templates/environments/ssl/inject-trust-anchor-hiera.yaml ~/templates/.
parameter_defaults:
  CAMap:
    ...
    undercloud-ca:
      content: |
        -----BEGIN CERTIFICATE-----
        MIIDlTCCAn2gAwIBAgIJAOnPtx2hHEhrMA0GCS
        BAYTAlVTMQswCQYDVQQIDAJOQzEQMA4GA1UEBw
        UmVkIEhhdDELMAkGA1UECwwCUUUxFDASBgNVBA
        -----END CERTIFICATE-----
    overcloud-ca:
      content: |
        -----BEGIN CERTIFICATE-----
        MIIDBzCCAe+gAwIBAgIJAIc75A7FD++DMA0GCS
        BAMMD3d3dy5leGFtcGxlLmNvbTAeFw0xOTAxMz
        Um54yGCARyp3LpkxvyfMXX1DokpS1uKi7s6CkF
        -----END CERTIFICATE-----
parameter_defaults:
  CAMap:
    ...
    undercloud-ca:
      content: |
        -----BEGIN CERTIFICATE-----
        MIIDlTCCAn2gAwIBAgIJAOnPtx2hHEhrMA0GCS
        BAYTAlVTMQswCQYDVQQIDAJOQzEQMA4GA1UEBw
        UmVkIEhhdDELMAkGA1UECwwCUUUxFDASBgNVBA
        -----END CERTIFICATE-----
    overcloud-ca:
      content: |
        -----BEGIN CERTIFICATE-----
        MIIDBzCCAe+gAwIBAgIJAIc75A7FD++DMA0GCS
        BAMMD3d3dy5leGFtcGxlLmNvbTAeFw0xOTAxMz
        Um54yGCARyp3LpkxvyfMXX1DokpS1uKi7s6CkF
        -----END CERTIFICATE-----
openstack overcloud deploy --templates \
[...]
$ openstack overcloud deploy --templates \
[...]
-e /home/stack/templates/enable-tls.yaml \
-e ~/templates/custom-domain.yaml \
-e ~/templates/inject-trust-anchor-hiera.yaml \
-e /usr/share/openstack-tripleo-heat-templates/environments/ssl/tls-endpoints-public-dns.yaml
openstack overcloud deploy --templates \
[...]
$ openstack overcloud deploy --templates \
[...]
-e /home/stack/templates/enable-tls.yaml \
-e ~/templates/custom-domain.yaml \
-e ~/templates/inject-trust-anchor-hiera.yaml \
-e /usr/share/openstack-tripleo-heat-templates/environments/ssl/tls-endpoints-public-dns.yaml
ssh tripleo-admin@<controller> sudo podman \
restart $(podman ps --format="{{.Names}}" | grep -w -E 'haproxy(-bundle-.*-[0-9]+)?')
ssh tripleo-admin@<controller> sudo podman \
restart $(podman ps --format="{{.Names}}" | grep -w -E 'haproxy(-bundle-.*-[0-9]+)?')
source ~/stackrc
openstack server list
[stack@director ~]$ source ~/stackrc
[stack@director ~]$ openstack server list
--------------------------------------------------------------------------------------------+
| ID                                   | Name                    | Status | Networks            |
--------------------------------------------------------------------------------------------+
| 756fbd73-e47b-46e6-959c-e24d7fb71328 | overcloud-controller-0  | ACTIVE | ctlplane=192.0.2.16 |
| 62b869df-1203-4d58-8e45-fac6cd4cfbee | overcloud-novacompute-0 | ACTIVE | ctlplane=192.0.2.8  |
--------------------------------------------------------------------------------------------+
ssh tripleo-admin@192.0.2.16
[tripleo-admin@overcloud-controller-0 ~]$ ssh tripleo-admin@192.0.2.16
sudo crudini --get /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf token driver
sudo crudini --get /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf token provider
[tripleo-admin@overcloud-controller-0 ~]$ sudo crudini --get /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf token driver
sql
[tripleo-admin@overcloud-controller-0 ~]$ sudo crudini --get /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf token provider
fernet
exit
source ~/overcloudrc
openstack token issue
[tripleo-admin@overcloud-controller-0 ~]$ exit
[stack@director ~]$ source ~/overcloudrc
[stack@director ~]$ openstack token issue
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| Field | Value |
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| expires | 2016-09-20 05:26:17+00:00 |
| id | gAAAAABX4LppE8vaiFZ992eah2i3edpO1aDFxlKZq6a_RJzxUx56QVKORrmW0-oZK3-Xuu2wcnpYq_eek2SGLz250eLpZOzxKBR0GsoMfxJU8mEFF8NzfLNcbuS-iz7SV-N1re3XEywSDG90JcgwjQfXW-8jtCm-n3LL5IaZexAYIw059T_-cd8 |
| project_id | 26156621d0d54fc39bf3adb98e63b63d |
| user_id | 397daf32cadd490a8f3ac23a626ac06c |
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
sudo crudini --get /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf fernet_tokens key_repository
[stack@<undercloud_host> ~]$ ssh tripleo-admin@overcloud-controller-o
[tripleo-admin@overcloud-controller-0 ~]$ sudo crudini --get /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf fernet_tokens key_repository
/etc/keystone/fernet-keys
sudo ls /var/lib/config-data/puppet-generated/keystone/etc/keystone/fernet-keys
[tripleo-admin@overcloud-controller-0 ~]$ sudo ls /var/lib/config-data/puppet-generated/keystone/etc/keystone/fernet-keys
0  1  2
source ~/stackrc
openstack workflow execution create tripleo.fernet_keys.v1.rotate_fernet_keys {"container": "overcloud"}
[stack@director ~]$ source ~/stackrc
[stack@director ~]$ openstack workflow execution create tripleo.fernet_keys.v1.rotate_fernet_keys {"container": "overcloud"}
--------------------------------------------------------------+
| Field             | Value                                     |
--------------------------------------------------------------+
| ID                | 58c9c664-b966-4f82-b368-af5ed8de5b47      |
| Workflow ID       | 78f0990a-3d34-4bf2-a127-10c149bb275c      |
| Workflow name     | tripleo.fernet_keys.v1.rotate_fernet_keys |
| Description       |                                           |
| Task Execution ID | <none>                                    |
| State             | RUNNING                                   |
| State info        | None                                      |
| Created at        | 2017-12-20 11:13:50                       |
| Updated at        | 2017-12-20 11:13:50                       |
--------------------------------------------------------------+
openstack workflow execution show 58c9c664-b966-4f82-b368-af5ed8de5b47
[stack@director ~]$ openstack workflow execution show 58c9c664-b966-4f82-b368-af5ed8de5b47
--------------------------------------------------------------+
| Field             | Value                                     |
--------------------------------------------------------------+
| ID                | 58c9c664-b966-4f82-b368-af5ed8de5b47      |
| Workflow ID       | 78f0990a-3d34-4bf2-a127-10c149bb275c      |
| Workflow name     | tripleo.fernet_keys.v1.rotate_fernet_keys |
| Description       |                                           |
| Task Execution ID | <none>                                    |
| State             | SUCCESS                                   |
| State info        | None                                      |
| Created at        | 2017-12-20 11:13:50                       |
| Updated at        | 2017-12-20 11:15:00                       |
--------------------------------------------------------------+
sudo ls /var/lib/config-data/puppet-generated/keystone/etc/keystone/fernet-keys
[tripleo-admin@overcloud-controller-0 ~]$ sudo ls /var/lib/config-data/puppet-generated/keystone/etc/keystone/fernet-keys
0  1  2  3
fips-mode-setup --enable
fips-mode-setup --enable
fips-mode-setup --check
fips-mode-setup --check
sudo dnf -y install rhosp-director-images-uefi-fips-x86_64
sudo dnf -y install rhosp-director-images-uefi-fips-x86_64
mkdir /home/stack/images
cd /home/stack/images
$ mkdir /home/stack/images
$ cd /home/stack/images
for i in /usr/share/rhosp-director-images/*fips*.tar; do tar -xvf $i; done
for i in /usr/share/rhosp-director-images/*fips*.tar; do tar -xvf $i; done
ln -s ironic-python-agent-fips.initramfs       ironic-python-agent.initramfs
ln -s ironic-python-agent-fips.kernel          ironic-python-agent.kernel
ln -s overcloud-hardened-uefi-full-fips.qcow2  overcloud-hardened-uefi-full.qcow2
ln -s ironic-python-agent-fips.initramfs       ironic-python-agent.initramfs
ln -s ironic-python-agent-fips.kernel          ironic-python-agent.kernel
ln -s overcloud-hardened-uefi-full-fips.qcow2  overcloud-hardened-uefi-full.qcow2
 openstack overcloud image upload --update-existing --whole-disk
 openstack overcloud image upload --update-existing --whole-disk
openstack overcloud deploy
...
-e /usr/share/openstack-tripleo-heat-templates/environents/fips.yaml
openstack overcloud deploy
...
-e /usr/share/openstack-tripleo-heat-templates/environents/fips.yaml
openstack overcloud deploy --templates
…
-e /usr/share/openstack-tripleo-heat-templates/environments/enable-secure-rbac.yaml
openstack overcloud deploy --templates
…
-e /usr/share/openstack-tripleo-heat-templates/environments/enable-secure-rbac.yaml
openstack role add --user <user> --user-domain <domain> --project <project> --project-domain <project-domain> admin
$ openstack role add --user <user> --user-domain <domain> --project <project> --project-domain <project-domain> admin
openstack role add --user <user> --user-domain <domain> --project <project>  --project-domain <project-domain> member
$ openstack role add --user <user> --user-domain <domain> --project <project>  --project-domain <project-domain> member
openstack role add --user <user> --user-domain <domain> --project <project> --project-domain <project-domain> reader
$ openstack role add --user <user> --user-domain <domain> --project <project> --project-domain <project-domain> reader
podman exec -it keystone oslopolicy-policy-generator --namespace keystone
podman exec -it keystone oslopolicy-policy-generator --namespace keystone
"identity:create_user": "rule:admin_required"
"identity:create_user": "rule:admin_required"
"identity:create_user": "!"
"identity:create_user": "!"
openstack role create PowerUsers
$ openstack role create PowerUsers
+-----------+----------------------------------+
| Field     | Value                            |
+-----------+----------------------------------+
| domain_id | None                             |
| id        | 7061a395af43455e9057ab631ad49449 |
| name      | PowerUsers                      |
+-----------+----------------------------------+
openstack role add --project [PROJECT_NAME] --user [USER_ID] [PowerUsers-ROLE_ID]
$ openstack role add --project [PROJECT_NAME] --user [USER_ID] [PowerUsers-ROLE_ID]
oslopolicy-policy-generator --namespace nova
$ oslopolicy-policy-generator --namespace nova
{
"os_compute_api:servers:start": "role:PowerUsers",
"os_compute_api:servers:stop": "role:PowerUsers",
"os_compute_api:servers:create:attach_volume": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:index": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:create": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:show": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:update": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:delete": "role:PowerUsers"
}
{
"os_compute_api:servers:start": "role:PowerUsers",
"os_compute_api:servers:stop": "role:PowerUsers",
"os_compute_api:servers:create:attach_volume": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:index": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:create": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:show": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:update": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:delete": "role:PowerUsers"
}
"os_compute_api:os-keypairs:delete": "rule:admin_api or user_id:%(user_id)s"
"os_compute_api:os-keypairs:delete": "rule:admin_api or user_id:%(user_id)s"
"admin_or_owner": "is_admin:True or project_id:%(project_id)s"
"admin_or_owner": "is_admin:True or project_id:%(project_id)s"
"admin_or_user": "is_admin:True or user_id:%(user_id)s"
"os_compute_api:os-instance-actions": "rule:admin_or_user"
"admin_or_user": "is_admin:True or user_id:%(user_id)s"
"os_compute_api:os-instance-actions": "rule:admin_or_user"
parameter_defaults:
  KeystonePolicies: { keystone-context_is_admin: { key: context_is_admin, value: 'role:admin' } }
parameter_defaults:
  KeystonePolicies: { keystone-context_is_admin: { key: context_is_admin, value: 'role:admin' } }
parameter_defaults:
  NovaApiPolicies: { nova-context_is_admin: { key: 'compute:get_all', value: '@' } }
parameter_defaults:
  NovaApiPolicies: { nova-context_is_admin: { key: 'compute:get_all', value: '@' } }
openstack role list -c Name -f value

swiftoperator
ResellerAdmin
admin
_member_
heat_stack_user
openstack role list -c Name -f value

swiftoperator
ResellerAdmin
admin
_member_
heat_stack_user
openstack role assignment list --names --role admin
$ openstack role assignment list --names --role admin
+-------+------------------------------------+-------+-----------------+------------+--------+-----------+
| Role  | User                               | Group | Project         | Domain     | System | Inherited |
+-------+------------------------------------+-------+-----------------+------------+--------+-----------+
| admin | heat-cfn@Default                   |       | service@Default |            |        | False     |
| admin | placement@Default                  |       | service@Default |            |        | False     |
| admin | neutron@Default                    |       | service@Default |            |        | False     |
| admin | zaqar@Default                      |       | service@Default |            |        | False     |
| admin | swift@Default                      |       | service@Default |            |        | False     |
| admin | admin@Default                      |       | admin@Default   |            |        | False     |
| admin | zaqar-websocket@Default            |       | service@Default |            |        | False     |
| admin | heat@Default                       |       | service@Default |            |        | False     |
| admin | ironic-inspector@Default           |       | service@Default |            |        | False     |
| admin | nova@Default                       |       | service@Default |            |        | False     |
| admin | ironic@Default                     |       | service@Default |            |        | False     |
| admin | glance@Default                     |       | service@Default |            |        | False     |
| admin | mistral@Default                    |       | service@Default |            |        | False     |
| admin | heat_stack_domain_admin@heat_stack |       |                 | heat_stack |        | False     |
| admin | admin@Default                      |       |                 |            | all    | False     |
+-------+------------------------------------+-------+-----------------+------------+--------+-----------+
openstack token issue --debug 2>&1 | egrep ^'{\"token\":' > access.file.json
openstack token issue --debug 2>&1 | egrep ^'{\"token\":' > access.file.json
ssh tripleo-admin@CONTROLLER-1 sudo podman exec cinder_api \
oslopolicy-policy-generator \
--config-file /etc/cinder/cinder.conf \
--namespace cinder > cinderpolicy.json
ssh tripleo-admin@CONTROLLER-1 sudo podman exec cinder_api \
oslopolicy-policy-generator \
--config-file /etc/cinder/cinder.conf \
--namespace cinder > cinderpolicy.json
oslopolicy-checker --policy cinderpolicy.json --access access.file.json
oslopolicy-checker --policy cinderpolicy.json --access access.file.json
cat /proc/cpuinfo | egrep "vmx|svm"
cat /proc/cpuinfo | egrep "vmx|svm"
sudo podman inspect <container_name> | less
$ sudo podman inspect <container_name> | less
sudo less /var/log/containers/nova/nova-compute.log
sudo less /var/log/containers/nova/nova-compute.log
podman exec -it nova_compute /bin/bash
podman exec -it nova_compute /bin/bash
sudo sed -i 's/^debug=.*/debug=True' \
/var/lib/config-data/puppet-generated/nova/etc/nova/nova.conf
$ sudo sed -i 's/^debug=.*/debug=True' \
/var/lib/config-data/puppet-generated/nova/etc/nova/nova.conf
sudo podman restart nova_compute
sudo podman restart nova_compute
cat > /home/stack/templates/libvirt-keysize.yaml
parameter_defaults:
        LibvirtCertificateKeySize: 4096
EOF
cat > /home/stack/templates/libvirt-keysize.yaml
parameter_defaults:
        LibvirtCertificateKeySize: 4096
EOF
openstack overcloud deploy --templates \
...
-e /home/stack/templates/libvirt-keysize.yaml
...
openstack overcloud deploy --templates \
...
-e /home/stack/templates/libvirt-keysize.yaml
...
./deploy.sh
./deploy.sh
resource_registry:
  OS::TripleO::Services::Sshd:
    /usr/share/openstack-tripleo-heat-templates/deployment/sshd/sshd-baremetal-puppet.yaml

parameter_defaults:
  BannerText: |
   ******************************************************************
   * This system is for the use of authorized users only. Usage of  *
   * this system may be monitored and recorded by system personnel. *
   * Anyone using this system expressly consents to such monitoring *
   * and is advised that if such monitoring reveals possible        *
   * evidence of criminal activity, system personnel may provide    *
   * the evidence from such monitoring to law enforcement officials.*
   ******************************************************************
resource_registry:
  OS::TripleO::Services::Sshd:
    /usr/share/openstack-tripleo-heat-templates/deployment/sshd/sshd-baremetal-puppet.yaml

parameter_defaults:
  BannerText: |
   ******************************************************************
   * This system is for the use of authorized users only. Usage of  *
   * this system may be monitored and recorded by system personnel. *
   * Anyone using this system expressly consents to such monitoring *
   * and is advised that if such monitoring reveals possible        *
   * evidence of criminal activity, system personnel may provide    *
   * the evidence from such monitoring to law enforcement officials.*
   ******************************************************************
    openstack overcloud deploy --templates \
      -e <full environment> -e  ssh_banner.yaml
    openstack overcloud deploy --templates \
      -e <full environment> -e  ssh_banner.yaml
    resource_registry:
      OS::TripleO::Services::AuditD: /usr/share/openstack-tripleo-heat-templates/deployment/auditd/auditd-baremetal-puppet.yaml
    parameter_defaults:
      AuditdRules:
        'Record Events that Modify User/Group Information':
          content: '-w /etc/group -p wa -k audit_rules_usergroup_modification'
          order  : 1
        'Collects System Administrator Actions':
          content: '-w /etc/sudoers -p wa -k actions'
          order  : 2
        'Record Events that Modify the Systems Mandatory Access Controls':
          content: '-w /etc/selinux/ -p wa -k MAC-policy'
          order  : 3
    resource_registry:
      OS::TripleO::Services::AuditD: /usr/share/openstack-tripleo-heat-templates/deployment/auditd/auditd-baremetal-puppet.yaml
    parameter_defaults:
      AuditdRules:
        'Record Events that Modify User/Group Information':
          content: '-w /etc/group -p wa -k audit_rules_usergroup_modification'
          order  : 1
        'Collects System Administrator Actions':
          content: '-w /etc/sudoers -p wa -k actions'
          order  : 2
        'Record Events that Modify the Systems Mandatory Access Controls':
          content: '-w /etc/selinux/ -p wa -k MAC-policy'
          order  : 3
parameter_defaults:
  ControllerExtraConfig:
    ExtraFirewallRules:
      '301 allow zabbix':
      dport: 10050
      proto: tcp
      source: 10.0.0.8
parameter_defaults:
  ControllerExtraConfig:
    ExtraFirewallRules:
      '301 allow zabbix':
      dport: 10050
      proto: tcp
      source: 10.0.0.8
parameter_defaults:
  ControllerParameters
    ExtraFirewallRules:
      '098 allow rabbit from internalapi network':
        dport: [4369,5672,25672]
        proto: tcp
        source: 10.0.0.0/24
      '099 drop other rabbit access:
        dport: [4369,5672,25672]
        proto: tcp
        action: drop
parameter_defaults:
  ControllerParameters
    ExtraFirewallRules:
      '098 allow rabbit from internalapi network':
        dport: [4369,5672,25672]
        proto: tcp
        source: 10.0.0.0/24
      '099 drop other rabbit access:
        dport: [4369,5672,25672]
        proto: tcp
        action: drop
iptables-save
[...]
-A INPUT -p tcp -m multiport --dports 4369,5672,25672 -m comment --comment "109 rabbitmq" -m state --state NEW -j ACCEPT
iptables-save
[...]
-A INPUT -p tcp -m multiport --dports 4369,5672,25672 -m comment --comment "109 rabbitmq" -m state --state NEW -j ACCEPT
    ExtraFirewallRules:
      '109 rabbitmq':
        dport:
          - 4369
          - 5672
          - 25672
    ExtraFirewallRules:
      '109 rabbitmq':
        dport:
          - 4369
          - 5672
          - 25672
  resource_registry:
    OS::TripleO::Services::Aide:
      /usr/share/openstack-tripleo-heat-templates/deployment/aide/aide-baremetal-ansible.yaml

  parameter_defaults:
    AideRules:
      'TripleORules':
        content: 'TripleORules = p+sha256'
        order: 1
      'etc':
        content: '/etc/ TripleORules'
        order: 2
      'boot':
        content: '/boot/ TripleORules'
        order: 3
      'sbin':
        content: '/sbin/ TripleORules'
        order: 4
      'var':
        content: '/var/ TripleORules'
        order: 5
      'not var/log':
        content: '!/var/log.*'
        order: 6
      'not var/spool':
        content: '!/var/spool.*'
        order: 7
      'not nova instances':
        content: '!/var/lib/nova/instances.*'
        order: 8
  resource_registry:
    OS::TripleO::Services::Aide:
      /usr/share/openstack-tripleo-heat-templates/deployment/aide/aide-baremetal-ansible.yaml

  parameter_defaults:
    AideRules:
      'TripleORules':
        content: 'TripleORules = p+sha256'
        order: 1
      'etc':
        content: '/etc/ TripleORules'
        order: 2
      'boot':
        content: '/boot/ TripleORules'
        order: 3
      'sbin':
        content: '/sbin/ TripleORules'
        order: 4
      'var':
        content: '/var/ TripleORules'
        order: 5
      'not var/log':
        content: '!/var/log.*'
        order: 6
      'not var/spool':
        content: '!/var/spool.*'
        order: 7
      'not nova instances':
        content: '!/var/lib/nova/instances.*'
        order: 8
openstack overcloud deploy --templates
...
-e /home/stack/templates/aide.yaml
openstack overcloud deploy --templates
...
-e /home/stack/templates/aide.yaml
    MyAlias = p+i+n+u+g+s+b+m+c+sha512
    MyAlias = p+i+n+u+g+s+b+m+c+sha512
  resource_registry:
    OS::TripleO::Services::Securetty: ../puppet/services/securetty.yaml

  parameter_defaults:
    TtyValues:
      - console
      - tty1
      - tty2
      - tty3
      - tty4
      - tty5
      - tty6
  resource_registry:
    OS::TripleO::Services::Securetty: ../puppet/services/securetty.yaml

  parameter_defaults:
    TtyValues:
      - console
      - tty1
      - tty2
      - tty3
      - tty4
      - tty5
      - tty6
  parameter_defaults:
    KeystoneNotificationFormat: cadf
  parameter_defaults:
    KeystoneNotificationFormat: cadf
  resource_registry:
    OS::TripleO::Services::LoginDefs: ../puppet/services/login-defs.yaml

  parameter_defaults:
    PasswordMaxDays: 60
    PasswordMinDays: 1
    PasswordMinLen: 5
    PasswordWarnAge: 7
    FailDelay: 4
  resource_registry:
    OS::TripleO::Services::LoginDefs: ../puppet/services/login-defs.yaml

  parameter_defaults:
    PasswordMaxDays: 60
    PasswordMinDays: 1
    PasswordMinLen: 5
    PasswordWarnAge: 7
    FailDelay: 4
parameter_defaults:
    HorizonAllowedHosts: <value>
parameter_defaults:
    HorizonAllowedHosts: <value>
    parameter_defaults:
      ControllerExtraConfig:
        horizon::disallow_iframe_embed: false
    parameter_defaults:
      ControllerExtraConfig:
        horizon::disallow_iframe_embed: false
horizon::enable_secure_proxy_ssl_header: true
horizon::enable_secure_proxy_ssl_header: true
ssh tripleo-admin@controller-0
$ ssh tripleo-admin@controller-0
sudo egrep ^SECURE_PROXY_SSL_HEADER /var/lib/config-data/puppet-generated/horizon/etc/openstack-dashboard/local_settings
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')
sudo egrep ^SECURE_PROXY_SSL_HEADER /var/lib/config-data/puppet-generated/horizon/etc/openstack-dashboard/local_settings
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')
          horizon::cache_backend: django.core.cache.backends.memcached.MemcachedCache
          horizon::django_session_engine: 'django.contrib.sessions.backends.cache'
          horizon::cache_backend: django.core.cache.backends.memcached.MemcachedCache
          horizon::django_session_engine: 'django.contrib.sessions.backends.cache'
    parameter_defaults:
      HorizonPasswordValidator: '^.{8,18}$'
      HorizonPasswordValidatorHelp: 'Password must be between 8 and 18 characters.'
    parameter_defaults:
      HorizonPasswordValidator: '^.{8,18}$'
      HorizonPasswordValidatorHelp: 'Password must be between 8 and 18 characters.'
    openstack overcloud deploy --templates \
      -e <full environment> -e  horizon_password.yaml
    openstack overcloud deploy --templates \
      -e <full environment> -e  horizon_password.yaml
    parameter_defaults:
      ControllerExtraConfig:
        horizon::enforce_password_check: false
    parameter_defaults:
      ControllerExtraConfig:
        horizon::enforce_password_check: false
parameter_defaults:
  ControllerExtraConfig:
    horizon::disable_password_reveal: false
parameter_defaults:
  ControllerExtraConfig:
    horizon::disable_password_reveal: false
<snip>
<div class="container">
  <div class="row-fluid">
    <div class="span12">
      <div id="brand">
        <img src="../../static/themes/rcue/images/RHOSP-Login-Logo.svg">
      </div><!--/#brand-->
    </div><!--/.span*-->

    <!-- Start of Logon Banner -->
    <p>Authentication to this information system reflects acceptance of user monitoring agreement.</p>
    <!-- End of Logon Banner -->

    {% include 'auth/_login.html' %}
  </div><!--/.row-fluid→
</div><!--/.container-->

{% block js %}
  {% include "horizon/_scripts.html" %}
{% endblock %}

  </body>
</html>
<snip>
<div class="container">
  <div class="row-fluid">
    <div class="span12">
      <div id="brand">
        <img src="../../static/themes/rcue/images/RHOSP-Login-Logo.svg">
      </div><!--/#brand-->
    </div><!--/.span*-->

    <!-- Start of Logon Banner -->
    <p>Authentication to this information system reflects acceptance of user monitoring agreement.</p>
    <!-- End of Logon Banner -->

    {% include 'auth/_login.html' %}
  </div><!--/.row-fluid→
</div><!--/.container-->

{% block js %}
  {% include "horizon/_scripts.html" %}
{% endblock %}

  </body>
</html>
<Directory />
  LimitRequestBody 10737418240
</Directory>
<Directory />
  LimitRequestBody 10737418240
</Directory>
<Directory "/var/www">
  LimitRequestBody 10737418240
</Directory>
<Directory "/var/www">
  LimitRequestBody 10737418240
</Directory>
<Directory "/var/www">
  LimitRequestBody 10737418240
</Directory>
<Directory "/var/www">
  LimitRequestBody 10737418240
</Directory>
Address to bind the API server
Port the bind the API server to
# Address to bind the API server
bind_host = IP ADDRESS OF SERVER

# Port the bind the API server to
bind_port = 9696
manila endpoints
 $ manila endpoints
 +-------------+-----------------------------------------+
 | manila      | Value                                   |
 +-------------+-----------------------------------------+
 | adminURL    | http://172.18.198.55:8786/v1/20787a7b...|
 | region      | RegionOne                               |
 | publicURL   | http://172.18.198.55:8786/v1/20787a7b...|
 | internalURL | http://172.18.198.55:8786/v1/20787a7b...|
 | id          | 82cc5535aa444632b64585f138cb9b61        |
 +-------------+-----------------------------------------+

 +-------------+-----------------------------------------+
 | manilav2    | Value                                   |
 +-------------+-----------------------------------------+
 | adminURL    | http://172.18.198.55:8786/v2/20787a7b...|
 | region      | RegionOne                               |
 | publicURL   | http://172.18.198.55:8786/v2/20787a7b...|
 | internalURL | http://172.18.198.55:8786/v2/20787a7b...|
 | id          | 2e8591bfcac4405fa7e5dc3fd61a2b85        |
 +-------------+-----------------------------------------+
 api-paste.ini
 manila.conf
 policy.json
 rootwrap.conf
 rootwrap.d

 ./rootwrap.d:
 share.filters
 api-paste.ini
 manila.conf
 policy.json
 rootwrap.conf
 rootwrap.d

 ./rootwrap.d:
 share.filters
env | grep OS_
 $ env | grep OS_
 ...
 OS_USERNAME=admin
 OS_TENANT_NAME=admin
 ...
 $ manila type-list --all
 +----+--------+-----------+-----------+-----------------------------------+-----------------------+
 | ID | Name   | Visibility| is_default| required_extra_specs              | optional_extra_specs  |
 +----+--------+-----------+-----------+-----------------------------------+-----------------------+
 | 4..| my_type| private   | -         | driver_handles_share_servers:False| snapshot_support:True |
 | 5..| default| public    | YES       | driver_handles_share_servers:True | snapshot_support:True |
 +----+--------+-----------+-----------+-----------------------------------+-----------------------+
env | grep OS_
 $ env | grep OS_
 ...
 OS_USERNAME=demo
 OS_TENANT_NAME=demo
 ...
 $ manila type-list --all
 +----+--------+-----------+-----------+----------------------------------+----------------------+
 | ID | Name   | Visibility| is_default| required_extra_specs             | optional_extra_specs |
 +----+--------+-----------+-----------+----------------------------------+----------------------+
 | 5..| default| public    | YES       | driver_handles_share_servers:True| snapshot_support:True|
 +----+--------+-----------+-----------+----------------------------------+----------------------+
env | grep OS_
 $ env | grep OS_
 ...
 OS_USERNAME=admin
 OS_TENANT_NAME=admin
 ...
 $ openstack project list
 +----------------------------------+--------------------+
 | ID                               | Name               |
 +----------------------------------+--------------------+
 | ...                              | ...                |
 | df29a37db5ae48d19b349fe947fada46 | demo               |
 +----------------------------------+--------------------+
 $ manila type-access-add my_type df29a37db5ae48d19b349fe947fada46
env | grep OS_
 $ env | grep OS_
 ...
 OS_USERNAME=demo
 OS_TENANT_NAME=demo
 ...
 $ manila type-list --all
 +----+--------+-----------+-----------+-----------------------------------+-----------------------+
 | ID | Name   | Visibility| is_default| required_extra_specs              | optional_extra_specs  |
 +----+--------+-----------+-----------+-----------------------------------+-----------------------+
 | 4..| my_type| private   | -         | driver_handles_share_servers:False| snapshot_support:True |
 | 5..| default| public    | YES       | driver_handles_share_servers:True | snapshot_support:True |
 +----+--------+-----------+-----------+-----------------------------------+-----------------------+
   {
       "context_is_admin": "role:admin",
       "admin_or_owner": "is_admin:True or project_id:%(project_id)s",
       "default": "rule:admin_or_owner",
       "share_extension:quotas:show": "",
       "share_extension:quotas:update": "rule:admin_api",
       "share_extension:quotas:delete": "rule:admin_api",
       "share_extension:quota_classes": "",
   }
   {
       "context_is_admin": "role:admin",
       "admin_or_owner": "is_admin:True or project_id:%(project_id)s",
       "default": "rule:admin_or_owner",
       "share_extension:quotas:show": "",
       "share_extension:quotas:update": "rule:admin_api",
       "share_extension:quotas:delete": "rule:admin_api",
       "share_extension:quota_classes": "",
   }
chown -R root:swift /var/lib/config-data/puppet-generated/swift/etc/swift/*
find /var/lib/config-data/puppet-generated/swift/etc/swift/ -type f -exec chmod 640 {} \;
find /var/lib/config-data/puppet-generated/swift/etc/swift/ -type d -exec chmod 750 {} \;
chown -R root:swift /var/lib/config-data/puppet-generated/swift/etc/swift/*
find /var/lib/config-data/puppet-generated/swift/etc/swift/ -type f -exec chmod 640 {} \;
find /var/lib/config-data/puppet-generated/swift/etc/swift/ -type d -exec chmod 750 {} \;
The sanitization process removes information from the media such that the information cannot be retrieved or reconstructed. Sanitization techniques, including clearing, purging, cryptographic erase, and destruction, prevent the disclosure of information to unauthorized individuals when such media is reused or released for disposal.
The sanitization process removes information from the media such that the information cannot be retrieved or reconstructed. Sanitization techniques, including clearing, purging, cryptographic erase, and destruction, prevent the disclosure of information to unauthorized individuals when such media is reused or released for disposal.
parameter_defaults:
    VerifyGlanceSignatures: True
parameter_defaults:
    VerifyGlanceSignatures: True
"compute_extension:admin_actions:migrate": "!",
"compute_extension:admin_actions:migrateLive": "!",
"compute_extension:admin_actions:migrate": "!",
"compute_extension:admin_actions:migrateLive": "!",
[
  {rabbit, [
     {tcp_listeners, [] },
     {ssl_listeners, [{"<IP address or hostname of management network interface>", 5671}] },
     {ssl_options, [{cacertfile,"/etc/ssl/cacert.pem"},
                    {certfile,"/etc/ssl/rabbit-server-cert.pem"},
                    {keyfile,"/etc/ssl/rabbit-server-key.pem"},
                    {verify,verify_peer},
                    {fail_if_no_peer_cert,true}]}
   ]}
].
[
  {rabbit, [
     {tcp_listeners, [] },
     {ssl_listeners, [{"<IP address or hostname of management network interface>", 5671}] },
     {ssl_options, [{cacertfile,"/etc/ssl/cacert.pem"},
                    {certfile,"/etc/ssl/rabbit-server-cert.pem"},
                    {keyfile,"/etc/ssl/rabbit-server-key.pem"},
                    {verify,verify_peer},
                    {fail_if_no_peer_cert,true}]}
   ]}
].
[DEFAULT]
rpc_backend = nova.openstack.common.rpc.impl_kombu
rabbit_use_ssl = True
rabbit_host = RABBIT_HOST
rabbit_port = 5671
rabbit_user = compute01
rabbit_password = RABBIT_PASS
kombu_ssl_keyfile = /etc/ssl/node-key.pem
kombu_ssl_certfile = /etc/ssl/node-cert.pem
kombu_ssl_ca_certs = /etc/ssl/cacert.pem
[DEFAULT]
rpc_backend = nova.openstack.common.rpc.impl_kombu
rabbit_use_ssl = True
rabbit_host = RABBIT_HOST
rabbit_port = 5671
rabbit_user = compute01
rabbit_password = RABBIT_PASS
kombu_ssl_keyfile = /etc/ssl/node-key.pem
kombu_ssl_certfile = /etc/ssl/node-cert.pem
kombu_ssl_ca_certs = /etc/ssl/cacert.pem
[DEFAULT]
rpc_backend = nova.openstack.common.rpc.impl_qpid
qpid_protocol = ssl
qpid_hostname = <IP or hostname of management network interface of messaging server>
qpid_port = 5671
qpid_username = compute01
qpid_password = QPID_PASS
[DEFAULT]
rpc_backend = nova.openstack.common.rpc.impl_qpid
qpid_protocol = ssl
qpid_hostname = <IP or hostname of management network interface of messaging server>
qpid_port = 5671
qpid_username = compute01
qpid_password = QPID_PASS
qpid_sasl_mechanisms = <space separated list of SASL mechanisms to use for auth>
qpid_sasl_mechanisms = <space separated list of SASL mechanisms to use for auth>
...
parameter_defaults:
  GlanceApiPolicies: {
        glance-metadef_default: { key: 'metadef_default', value: '' },
        glance-metadef_admin: { key: 'metadef_admin', value: 'role:admin' },
        glance-get_metadef_namespace: { key: 'get_metadef_namespace', value: 'rule:metadef_default' },
        glance-get_metadef_namespaces: { key: 'get_metadef_namespaces', value: 'rule:metadef_default' },
        glance-modify_metadef_namespace: { key: 'modify_metadef_namespace', value: 'rule:metadef_admin' },
        glance-add_metadef_namespace: { key: 'add_metadef_namespace', value: 'rule:metadef_admin' },
        glance-delete_metadef_namespace: { key: 'delete_metadef_namespace', value: 'rule:metadef_admin' },
        glance-get_metadef_object: { key: 'get_metadef_object', value: 'rule:metadef_default' },
        glance-get_metadef_objects: { key: 'get_metadef_objects', value: 'rule:metadef_default' },
        glance-modify_metadef_object: { key: 'modify_metadef_object', value: 'rule:metadef_admin' },
        glance-add_metadef_object: { key: 'add_metadef_object', value: 'rule:metadef_admin' },
        glance-delete_metadef_object: { key: 'delete_metadef_object', value: 'rule:metadef_admin' },
        glance-list_metadef_resource_types: { key: 'list_metadef_resource_types', value: 'rule:metadef_default' },
        glance-get_metadef_resource_type: { key: 'get_metadef_resource_type', value: 'rule:metadef_default' },
        glance-add_metadef_resource_type_association: { key: 'add_metadef_resource_type_association', value: 'rule:metadef_admin' },
        glance-remove_metadef_resource_type_association: { key: 'remove_metadef_resource_type_association', value: 'rule:metadef_admin' },
        glance-get_metadef_property: { key: 'get_metadef_property', value: 'rule:metadef_default' },
        glance-get_metadef_properties: { key: 'get_metadef_properties', value: 'rule:metadef_default' },
        glance-modify_metadef_property: { key: 'modify_metadef_property', value: 'rule:metadef_admin' },
        glance-add_metadef_property: { key: 'add_metadef_property', value: 'rule:metadef_admin' },
        glance-remove_metadef_property: { key: 'remove_metadef_property', value: 'rule:metadef_admin' },
        glance-get_metadef_tag: { key: 'get_metadef_tag', value: 'rule:metadef_default' },
        glance-get_metadef_tags: { key: 'get_metadef_tags', value: 'rule:metadef_default' },
        glance-modify_metadef_tag: { key: 'modify_metadef_tag', value: 'rule:metadef_admin' },
        glance-add_metadef_tag: { key: 'add_metadef_tag', value: 'rule:metadef_admin' },
        glance-add_metadef_tags: { key: 'add_metadef_tags', value: 'rule:metadef_admin' },
        glance-delete_metadef_tag: { key: 'delete_metadef_tag', value: 'rule:metadef_admin' },
        glance-delete_metadef_tags: { key: 'delete_metadef_tags', value: 'rule:metadef_admin' }
  }

…
...
parameter_defaults:
  GlanceApiPolicies: {
        glance-metadef_default: { key: 'metadef_default', value: '' },
        glance-metadef_admin: { key: 'metadef_admin', value: 'role:admin' },
        glance-get_metadef_namespace: { key: 'get_metadef_namespace', value: 'rule:metadef_default' },
        glance-get_metadef_namespaces: { key: 'get_metadef_namespaces', value: 'rule:metadef_default' },
        glance-modify_metadef_namespace: { key: 'modify_metadef_namespace', value: 'rule:metadef_admin' },
        glance-add_metadef_namespace: { key: 'add_metadef_namespace', value: 'rule:metadef_admin' },
        glance-delete_metadef_namespace: { key: 'delete_metadef_namespace', value: 'rule:metadef_admin' },
        glance-get_metadef_object: { key: 'get_metadef_object', value: 'rule:metadef_default' },
        glance-get_metadef_objects: { key: 'get_metadef_objects', value: 'rule:metadef_default' },
        glance-modify_metadef_object: { key: 'modify_metadef_object', value: 'rule:metadef_admin' },
        glance-add_metadef_object: { key: 'add_metadef_object', value: 'rule:metadef_admin' },
        glance-delete_metadef_object: { key: 'delete_metadef_object', value: 'rule:metadef_admin' },
        glance-list_metadef_resource_types: { key: 'list_metadef_resource_types', value: 'rule:metadef_default' },
        glance-get_metadef_resource_type: { key: 'get_metadef_resource_type', value: 'rule:metadef_default' },
        glance-add_metadef_resource_type_association: { key: 'add_metadef_resource_type_association', value: 'rule:metadef_admin' },
        glance-remove_metadef_resource_type_association: { key: 'remove_metadef_resource_type_association', value: 'rule:metadef_admin' },
        glance-get_metadef_property: { key: 'get_metadef_property', value: 'rule:metadef_default' },
        glance-get_metadef_properties: { key: 'get_metadef_properties', value: 'rule:metadef_default' },
        glance-modify_metadef_property: { key: 'modify_metadef_property', value: 'rule:metadef_admin' },
        glance-add_metadef_property: { key: 'add_metadef_property', value: 'rule:metadef_admin' },
        glance-remove_metadef_property: { key: 'remove_metadef_property', value: 'rule:metadef_admin' },
        glance-get_metadef_tag: { key: 'get_metadef_tag', value: 'rule:metadef_default' },
        glance-get_metadef_tags: { key: 'get_metadef_tags', value: 'rule:metadef_default' },
        glance-modify_metadef_tag: { key: 'modify_metadef_tag', value: 'rule:metadef_admin' },
        glance-add_metadef_tag: { key: 'add_metadef_tag', value: 'rule:metadef_admin' },
        glance-add_metadef_tags: { key: 'add_metadef_tags', value: 'rule:metadef_admin' },
        glance-delete_metadef_tag: { key: 'delete_metadef_tag', value: 'rule:metadef_admin' },
        glance-delete_metadef_tags: { key: 'delete_metadef_tags', value: 'rule:metadef_admin' }
  }

…
openstack overcloud deploy -e lock-down-glance-metadef-api.yaml
$ openstack overcloud deploy -e lock-down-glance-metadef-api.yaml
cat open-up-glance-api-metadef.yaml
$ cat open-up-glance-api-metadef.yaml
GlanceApiPolicies: {
    glance-metadef_default: { key: 'metadef_default', value: '' },
    glance-get_metadef_namespace: { key: 'get_metadef_namespace', value: 'rule:metadef_default' },
    glance-get_metadef_namespaces: { key: 'get_metadef_namespaces', value: 'rule:metadef_default' },
    glance-modify_metadef_namespace: { key: 'modify_metadef_namespace', value: 'rule:metadef_default' },
    glance-add_metadef_namespace: { key: 'add_metadef_namespace', value: 'rule:metadef_default' },
    glance-delete_metadef_namespace: { key: 'delete_metadef_namespace', value: 'rule:metadef_default' },
    glance-get_metadef_object: { key: 'get_metadef_object', value: 'rule:metadef_default' },
    glance-get_metadef_objects: { key: 'get_metadef_objects', value: 'rule:metadef_default' },
    glance-modify_metadef_object: { key: 'modify_metadef_object', value: 'rule:metadef_default' },
    glance-add_metadef_object: { key: 'add_metadef_object', value: 'rule:metadef_default' },
    glance-delete_metadef_object: { key: 'delete_metadef_object', value: 'rule:metadef_default' },
    glance-list_metadef_resource_types: { key: 'list_metadef_resource_types', value: 'rule:metadef_default' },
    glance-get_metadef_resource_type: { key: 'get_metadef_resource_type', value: 'rule:metadef_default' },
    glance-add_metadef_resource_type_association: { key: 'add_metadef_resource_type_association', value: 'rule:metadef_default' },
    glance-remove_metadef_resource_type_association: { key: 'remove_metadef_resource_type_association', value: 'rule:metadef_default' },
    glance-get_metadef_property: { key: 'get_metadef_property', value: 'rule:metadef_default' },
    glance-get_metadef_properties: { key: 'get_metadef_properties', value: 'rule:metadef_default' },
    glance-modify_metadef_property: { key: 'modify_metadef_property', value: 'rule:metadef_default' },
    glance-add_metadef_property: { key: 'add_metadef_property', value: 'rule:metadef_default' },
    glance-remove_metadef_property: { key: 'remove_metadef_property', value: 'rule:metadef_default' },
    glance-get_metadef_tag: { key: 'get_metadef_tag', value: 'rule:metadef_default' },
    glance-get_metadef_tags: { key: 'get_metadef_tags', value: 'rule:metadef_default' },
    glance-modify_metadef_tag: { key: 'modify_metadef_tag', value: 'rule:metadef_default' },
    glance-add_metadef_tag: { key: 'add_metadef_tag', value: 'rule:metadef_default' },
    glance-add_metadef_tags: { key: 'add_metadef_tags', value: 'rule:metadef_default' },
    glance-delete_metadef_tag: { key: 'delete_metadef_tag', value: 'rule:metadef_default' },
    glance-delete_metadef_tags: { key: 'delete_metadef_tags', value: 'rule:metadef_default' }
  }
GlanceApiPolicies: {
    glance-metadef_default: { key: 'metadef_default', value: '' },
    glance-get_metadef_namespace: { key: 'get_metadef_namespace', value: 'rule:metadef_default' },
    glance-get_metadef_namespaces: { key: 'get_metadef_namespaces', value: 'rule:metadef_default' },
    glance-modify_metadef_namespace: { key: 'modify_metadef_namespace', value: 'rule:metadef_default' },
    glance-add_metadef_namespace: { key: 'add_metadef_namespace', value: 'rule:metadef_default' },
    glance-delete_metadef_namespace: { key: 'delete_metadef_namespace', value: 'rule:metadef_default' },
    glance-get_metadef_object: { key: 'get_metadef_object', value: 'rule:metadef_default' },
    glance-get_metadef_objects: { key: 'get_metadef_objects', value: 'rule:metadef_default' },
    glance-modify_metadef_object: { key: 'modify_metadef_object', value: 'rule:metadef_default' },
    glance-add_metadef_object: { key: 'add_metadef_object', value: 'rule:metadef_default' },
    glance-delete_metadef_object: { key: 'delete_metadef_object', value: 'rule:metadef_default' },
    glance-list_metadef_resource_types: { key: 'list_metadef_resource_types', value: 'rule:metadef_default' },
    glance-get_metadef_resource_type: { key: 'get_metadef_resource_type', value: 'rule:metadef_default' },
    glance-add_metadef_resource_type_association: { key: 'add_metadef_resource_type_association', value: 'rule:metadef_default' },
    glance-remove_metadef_resource_type_association: { key: 'remove_metadef_resource_type_association', value: 'rule:metadef_default' },
    glance-get_metadef_property: { key: 'get_metadef_property', value: 'rule:metadef_default' },
    glance-get_metadef_properties: { key: 'get_metadef_properties', value: 'rule:metadef_default' },
    glance-modify_metadef_property: { key: 'modify_metadef_property', value: 'rule:metadef_default' },
    glance-add_metadef_property: { key: 'add_metadef_property', value: 'rule:metadef_default' },
    glance-remove_metadef_property: { key: 'remove_metadef_property', value: 'rule:metadef_default' },
    glance-get_metadef_tag: { key: 'get_metadef_tag', value: 'rule:metadef_default' },
    glance-get_metadef_tags: { key: 'get_metadef_tags', value: 'rule:metadef_default' },
    glance-modify_metadef_tag: { key: 'modify_metadef_tag', value: 'rule:metadef_default' },
    glance-add_metadef_tag: { key: 'add_metadef_tag', value: 'rule:metadef_default' },
    glance-add_metadef_tags: { key: 'add_metadef_tags', value: 'rule:metadef_default' },
    glance-delete_metadef_tag: { key: 'delete_metadef_tag', value: 'rule:metadef_default' },
    glance-delete_metadef_tags: { key: 'delete_metadef_tags', value: 'rule:metadef_default' }
  }
openstack overcloud deploy -e open-up-glance-api-metadef.yaml
$ openstack overcloud deploy -e open-up-glance-api-metadef.yaml
touch ~/templates/tls-ciphers.yaml
touch ~/templates/tls-ciphers.yaml
parameter_defaults:
  ExtraConfig:
    tripleo::haproxy::ssl_cipher_suite:: `DHE-RSA-AES128-CCM:DHE-RSA-AES256-CCM:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-CCM:ECDHE-ECDSA-AES256-CCM:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-CHACHA20-POLY1305`

    tripleo::haproxy::ssl_options:: no-sslv3 no-tls-tickets
parameter_defaults:
  ExtraConfig:
    tripleo::haproxy::ssl_cipher_suite:: `DHE-RSA-AES128-CCM:DHE-RSA-AES256-CCM:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-CCM:ECDHE-ECDSA-AES256-CCM:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-CHACHA20-POLY1305`

    tripleo::haproxy::ssl_options:: no-sslv3 no-tls-tickets
openstack overcloud deploy --templates \
...
-e /home/stack/templates/tls-ciphers.yaml
...
openstack overcloud deploy --templates \
...
-e /home/stack/templates/tls-ciphers.yaml
...

영역	네트워크	세부 정보
퍼블릭	external	공용 영역은 인스턴스의 외부 연결을 위해 외부 네트워크, 공용 API 및 유동 IP 주소를 호스팅합니다. 이 영역을 사용하면 관리 제어 외부의 네트워크에서 액세스할 수 있으며 클라우드 인프라의 신뢰할 수 없는 영역입니다.
게스트	tenant	게스트 영역은 프로젝트 네트워크를 호스팅합니다. 인스턴스에 무제한 액세스를 허용하는 퍼블릭 및 프라이빗 클라우드 공급자의 경우 신뢰할 수 없습니다.
스토리지 액세스	storage, storage_mgmt	스토리지 액세스 영역은 스토리지 관리, 모니터링 및 클러스터링, 스토리지 트래픽용입니다.
제어	ctlplane, internal_api, ipmi	제어 영역에는 언더클라우드, 호스트 운영 체제, 서버 하드웨어, 물리적 네트워킹 및 Red Hat OpenStack Platform director 컨트롤 플레인도 포함됩니다.

매개변수	설명
`KeystoneChangePasswordUponFirstUse`	이 옵션을 활성화하려면 사용자가 생성될 때 또는 관리 재설정 시 암호를 변경해야 합니다.
`KeystoneDisableUserAccountDaysInactive`	사용자가 "활성"으로 간주되기 전에 인증하지 않고 자동으로 비활성화(잠금)할 수 있는 최대 일 수입니다.
`KeystoneLockoutDuration`	`KeystoneLockoutFailureAttempts`에서 지정한 대로 최대 실패한 인증 시도 수를 초과할 때 사용자 계정이 잠긴 시간(초)입니다.
`KeystoneLockoutFailureAttempts`	`KeystoneLockoutDuration` 에서 지정한 시간(초) 동안 사용자 계정이 잠기기 전에 사용자가 인증할 수 있는 최대 횟수입니다.
`KeystoneMinimumPasswordAge`	사용자가 암호를 변경하기 전에 암호를 사용해야 하는 일 수입니다. 이렇게 하면 사용자가 암호 기록을 지우고 이전 암호를 재사용하기 위해 즉시 암호를 변경할 수 없습니다.
`KeystonePasswordExpiresDays`	사용자가 암호를 변경해야 하기 전에 암호가 유효한 것으로 간주되는 일 수입니다.
`KeystonePasswordRegex`	암호 강도 요구 사항을 확인하는 데 사용되는 정규식입니다.
`KeystonePasswordRegexDescription`	암호 정규식을 여기에 사람을 위한 언어로 설명합니다.
`KeystoneUniqueLastPasswordCount`	이렇게 하면 새로 생성된 암호가 고유한 암호를 강제 적용하기 위해 기록에 보관하기 위해 이전 사용자 암호 반복 횟수가 제어됩니다.

용어	정의
최종 엔티티	디지털 인증서를 사용하여 자신을 검증하는 사용자, 프로세스 또는 시스템입니다.
인증 기관(CA)	CA는 최종 엔티티와 최종 엔티티의 유효성을 확인하는 신뢰 당사자 둘 다에서 신뢰하는 엔티티입니다.
고객 지원	신뢰 당사자는 최종 엔티티의 검증으로 디지털 인증서를 수신하며 디지털 인증서를 확인할 수 있습니다.
디지털 인증서	서명된 공개 키 인증서에는 검증 가능한 엔티티와 공개 키가 있으며 CA에서 발행합니다. CA가 인증서에 서명하면 개인 키로 암호화된 인증서에서 메시지 다이제스트를 생성합니다. CA와 연결된 공개 키를 사용하여 서명을 확인할 수 있습니다. X.509 표준은 인증서를 정의하는 데 사용됩니다.
등록 기관 (RA)	RA는 CA에서 인증서를 발급하기 전에 최종 엔터티 인증과 같은 관리 기능을 수행할 수 있는 선택적 전용 기관입니다. RA가 없는 경우 CA는 최종 엔터티를 인증합니다.
CRL(Certificate Revocation List)	CRL은 취소된 인증서 일련 번호 목록입니다. 취소된 일련 번호가 있는 인증서를 제공하는 최종 엔티티는 PKI 모델에서 신뢰할 수 없습니다.
CRL 발행자	CA가 인증서 취소 목록 게시를 위임하는 선택적 시스템입니다.
인증서 리포지토리	최종 엔티티 인증서 및 인증서 취소 목록이 저장되고 쿼리되는 위치입니다.

옵션	권장 사항
`--admin-password`	사용자가 제공하는 값을 기록해 둡니다. IdM과 작동하도록 Red Hat OpenStack Platform을 구성할 때 이 암호가 필요합니다.
`--ip-address`	사용자가 제공하는 값을 기록해 둡니다. 언더클라우드 및 오버클라우드 노드에는 이 IP 주소에 대한 네트워크 액세스 권한이 필요합니다.
`--setup-dns`	IdM 서버에 통합 DNS 서비스를 설치하려면 이 옵션을 사용합니다. 언더클라우드 및 오버클라우드 노드는 도메인 이름 확인에 IdM 서버를 사용합니다.
`--auto-forwarders`	`/etc/resolv.conf` 의 주소를 DNS 전달자로 사용하려면 이 옵션을 사용합니다.
`--auto-reverse`	이 옵션을 사용하여 IdM 서버 IP 주소의 역방향 레코드 및 영역을 확인합니다. 역방향 레코드 또는 영역을 확인할 수 없는 경우 IdM은 역방향 영역을 생성합니다. 이렇게 하면 IdM 배포가 간소화됩니다.
`--ntp-server`, `--ntp-pool`	이러한 옵션 중 하나 또는 둘 다를 사용하여 NTP 소스를 구성할 수 있습니다. IdM 서버와 OpenStack 환경 모두 올바르고 동기화된 시간이 있어야 합니다.

매개변수	설명
KeystonePolicies	OpenStack Identity(keystone)에 대해 구성할 정책의 해시입니다.
IronicApiPolicies	OpenStack Bare Metal(ironic) API에 대해 구성할 정책의 해시입니다.
BarbicanPolicies	OpenStack Key Manager(barbican)에 대해 구성할 정책의 해시입니다.
NeutronApiPolicies	OpenStack Networking(neutron) API에 대해 구성할 정책의 해시입니다.
SaharaApiPolicies	OpenStack Cryostat(sahara) API에 대해 구성할 정책의 해시입니다.
NovaApiPolicies	OpenStack Compute(nova) API에 대해 구성할 정책의 해시입니다.
CinderApiPolicies	OpenStack Block Storage(cinder) API에 대해 구성할 정책의 해시입니다.
GlanceApiPolicies	OpenStack Image Storage(glance) API에 대해 구성할 정책의 해시입니다.
HeatApiPolicies	OpenStack Orchestration(heat) API에 대해 구성할 정책의 해시입니다.

보안 및 강화 가이드

모범 사례, 규정 준수 및 보안 강화

OpenStack Documentation Team

1장. 보안 소개링크 복사링크가 클립보드에 복사되었습니다!

1.1. Red Hat OpenStack Platform 보안링크 복사링크가 클립보드에 복사되었습니다!

1.2. Red Hat OpenStack Platform 관리자 역할 이해링크 복사링크가 클립보드에 복사되었습니다!

1.3. Red Hat OpenStack Platform의 보안 영역 식별링크 복사링크가 클립보드에 복사되었습니다!

1.4. Red Hat OpenStack Platform에서 보안 영역 찾기링크 복사링크가 클립보드에 복사되었습니다!

1.5. 보안 영역 연결링크 복사링크가 클립보드에 복사되었습니다!

1.6. 위협 완화링크 복사링크가 클립보드에 복사되었습니다!

2장. 보안 개선 사항링크 복사링크가 클립보드에 복사되었습니다!

2.1. 보안 root 사용자 액세스 사용링크 복사링크가 클립보드에 복사되었습니다!

2.2. 오버클라우드 방화벽에 서비스 추가링크 복사링크가 클립보드에 복사되었습니다!

2.3. 오버클라우드 방화벽에서 서비스 삭제링크 복사링크가 클립보드에 복사되었습니다!

2.4. SNMP(Simple Network Management Protocol) 문자열 변경링크 복사링크가 클립보드에 복사되었습니다!

2.5. Open vSwitch 방화벽 사용링크 복사링크가 클립보드에 복사되었습니다!

3장. RHOSP 환경 기록링크 복사링크가 클립보드에 복사되었습니다!

3.1. 시스템 역할 기록링크 복사링크가 클립보드에 복사되었습니다!

3.2. 하드웨어 인벤토리 생성링크 복사링크가 클립보드에 복사되었습니다!

3.3. 소프트웨어 인벤토리 생성링크 복사링크가 클립보드에 복사되었습니다!

4장. ID 및 액세스 관리링크 복사링크가 클립보드에 복사되었습니다!

4.1. Red Hat OpenStack Platformfernet 토큰링크 복사링크가 클립보드에 복사되었습니다!

4.2. OpenStack ID 서비스 엔티티링크 복사링크가 클립보드에 복사되었습니다!

4.3. keystone으로 인증링크 복사링크가 클립보드에 복사되었습니다!

4.3.1. ID 서비스 heat 매개변수를 사용하여 잘못된 로그인 시도를 중지링크 복사링크가 클립보드에 복사되었습니다!

4.4. 외부 ID 공급자로 인증링크 복사링크가 클립보드에 복사되었습니다!

4.4.1. LDAP 통합의 작동 방식링크 복사링크가 클립보드에 복사되었습니다!

5장. TLS 및 PKI를 사용하여 Red Hat OpenStack 배포 보안링크 복사링크가 클립보드에 복사되었습니다!

5.1. PKI(Public Key Infrastructure)의 구성 요소링크 복사링크가 클립보드에 복사되었습니다!

5.2. 인증 기관 요구 사항 및 권장 사항링크 복사링크가 클립보드에 복사되었습니다!

5.3. 사용자 환경에서 TLS 버전 확인링크 복사링크가 클립보드에 복사되었습니다!

5.4. OpenStack에 대한 IdM(Identity Management) 서버 권장 사항링크 복사링크가 클립보드에 복사되었습니다!

5.5. Ansible을 사용하여 TLS-e 구현링크 복사링크가 클립보드에 복사되었습니다!

5.6. tripleo-ipa 매개변수링크 복사링크가 클립보드에 복사되었습니다!

5.7. 모든 위치에서 TLS(TLS-e)에서 memcached 트래픽 암호화링크 복사링크가 클립보드에 복사되었습니다!

5.8. 개인 키의 크기 증가링크 복사링크가 클립보드에 복사되었습니다!

5.9. Red Hat OpenStack Platform의 IdM 서버를 복제본으로 교체링크 복사링크가 클립보드에 복사되었습니다!

6장. 사용자 지정 SSL/TLS 인증서 설정링크 복사링크가 클립보드에 복사되었습니다!

6.1. 서명 호스트 초기화링크 복사링크가 클립보드에 복사되었습니다!

6.2. 인증 기관 생성링크 복사링크가 클립보드에 복사되었습니다!

6.3. 클라이언트에 인증 기관 추가링크 복사링크가 클립보드에 복사되었습니다!

6.4. SSL/TLS 키 생성링크 복사링크가 클립보드에 복사되었습니다!

6.5. SSL/TLS 인증서 서명 요청 생성링크 복사링크가 클립보드에 복사되었습니다!

6.6. SSL/TLS 인증서 생성링크 복사링크가 클립보드에 복사되었습니다!

6.7. 언더클라우드에 인증서 추가링크 복사링크가 클립보드에 복사되었습니다!

7장. 오버클라우드 공용 끝점에서 SSL/TLS 활성화링크 복사링크가 클립보드에 복사되었습니다!

7.1. SSL/TLS 활성화링크 복사링크가 클립보드에 복사되었습니다!

7.2. 루트 인증서 삽입링크 복사링크가 클립보드에 복사되었습니다!

7.3. DNS 끝점 구성링크 복사링크가 클립보드에 복사되었습니다!

7.4. 오버클라우드 생성 중 환경 파일 추가링크 복사링크가 클립보드에 복사되었습니다!

7.5. 수동으로 SSL/TLS 인증서 업데이트링크 복사링크가 클립보드에 복사되었습니다!

8장. 오버클라우드의 암호화를 위해 Cryostat 키 사용링크 복사링크가 클립보드에 복사되었습니다!

8.1. Cryostat 배포 검토링크 복사링크가 클립보드에 복사되었습니다!

8.2. 워크플로우 서비스를 사용하여 keys(키) 교체링크 복사링크가 클립보드에 복사되었습니다!

9장. Red Hat OpenStack Platform의 연방 정보 처리 표준링크 복사링크가 클립보드에 복사되었습니다!

9.1. FIPS 활성화링크 복사링크가 클립보드에 복사되었습니다!

10장. 사용자 액세스 보안 개선링크 복사링크가 클립보드에 복사되었습니다!

10.1. SRBAC 가상 사용자링크 복사링크가 클립보드에 복사되었습니다!

10.1.1. Red Hat OpenStack Platform SRBAC 역할링크 복사링크가 클립보드에 복사되었습니다!

10.1.2. Red Hat OpenStack Platform SRBAC 범위링크 복사링크가 클립보드에 복사되었습니다!

10.1.3. Red Hat OpenStack Platform SRBAC 가상 사용자링크 복사링크가 클립보드에 복사되었습니다!

10.2. 보안 역할 기반 액세스 제어 활성화링크 복사링크가 클립보드에 복사되었습니다!

10.3. RBAC 환경에서 역할 할당링크 복사링크가 클립보드에 복사되었습니다!

11장. Policies링크 복사링크가 클립보드에 복사되었습니다!

11.1. 기존 정책 검토링크 복사링크가 클립보드에 복사되었습니다!

11.2. 서비스 정책 이해링크 복사링크가 클립보드에 복사되었습니다!

11.3. 정책 구문링크 복사링크가 클립보드에 복사되었습니다!

11.4. 액세스 제어에 정책 파일 사용링크 복사링크가 클립보드에 복사되었습니다!

11.5. 예: 특성을 기반으로 액세스 제한링크 복사링크가 클립보드에 복사되었습니다!

11.6. heat로 정책 수정링크 복사링크가 클립보드에 복사되었습니다!

11.7. 사용자 및 역할 감사링크 복사링크가 클립보드에 복사되었습니다!

11.8. API 액세스 감사링크 복사링크가 클립보드에 복사되었습니다!

12장. 네트워크 시간 프로토콜링크 복사링크가 클립보드에 복사되었습니다!

12.1. 일관된 시간이 중요한 이유링크 복사링크가 클립보드에 복사되었습니다!

12.2. NTP 설계링크 복사링크가 클립보드에 복사되었습니다!

13장. 인프라 및 가상화 강화링크 복사링크가 클립보드에 복사되었습니다!

13.1. Red Hat OpenStack Platform용 harware링크 복사링크가 클립보드에 복사되었습니다!

13.2. 클라우드 환경의 소프트웨어 업데이트링크 복사링크가 클립보드에 복사되었습니다!

13.3. 하드웨어 및 소프트웨어 기능 제한링크 복사링크가 클립보드에 복사되었습니다!

13.4. Red Hat OpenStack Platform의 SELinux링크 복사링크가 클립보드에 복사되었습니다!

1장. 보안 소개
링크 복사

1.1. Red Hat OpenStack Platform 보안
링크 복사

1.2. Red Hat OpenStack Platform 관리자 역할 이해
링크 복사

1.3. Red Hat OpenStack Platform의 보안 영역 식별
링크 복사

1.4. Red Hat OpenStack Platform에서 보안 영역 찾기
링크 복사

1.5. 보안 영역 연결
링크 복사

1.6. 위협 완화
링크 복사

2장. 보안 개선 사항
링크 복사

2.1. 보안 root 사용자 액세스 사용
링크 복사

2.2. 오버클라우드 방화벽에 서비스 추가
링크 복사

2.3. 오버클라우드 방화벽에서 서비스 삭제
링크 복사

2.4. SNMP(Simple Network Management Protocol) 문자열 변경
링크 복사

2.5. Open vSwitch 방화벽 사용
링크 복사

3장. RHOSP 환경 기록
링크 복사

3.1. 시스템 역할 기록
링크 복사

3.2. 하드웨어 인벤토리 생성
링크 복사

3.3. 소프트웨어 인벤토리 생성
링크 복사

4장. ID 및 액세스 관리
링크 복사

4.1. Red Hat OpenStack Platformfernet 토큰
링크 복사

4.2. OpenStack ID 서비스 엔티티
링크 복사

4.3. keystone으로 인증
링크 복사

4.3.1. ID 서비스 heat 매개변수를 사용하여 잘못된 로그인 시도를 중지
링크 복사

4.4. 외부 ID 공급자로 인증
링크 복사

4.4.1. LDAP 통합의 작동 방식
링크 복사

5장. TLS 및 PKI를 사용하여 Red Hat OpenStack 배포 보안
링크 복사

5.1. PKI(Public Key Infrastructure)의 구성 요소
링크 복사

5.2. 인증 기관 요구 사항 및 권장 사항
링크 복사

5.3. 사용자 환경에서 TLS 버전 확인
링크 복사

5.4. OpenStack에 대한 IdM(Identity Management) 서버 권장 사항
링크 복사

5.5. Ansible을 사용하여 TLS-e 구현
링크 복사

5.6. tripleo-ipa 매개변수
링크 복사

5.7. 모든 위치에서 TLS(TLS-e)에서 memcached 트래픽 암호화
링크 복사

5.8. 개인 키의 크기 증가
링크 복사

5.9. Red Hat OpenStack Platform의 IdM 서버를 복제본으로 교체
링크 복사

6장. 사용자 지정 SSL/TLS 인증서 설정
링크 복사

6.1. 서명 호스트 초기화
링크 복사

6.2. 인증 기관 생성
링크 복사

6.3. 클라이언트에 인증 기관 추가
링크 복사

6.4. SSL/TLS 키 생성
링크 복사

6.5. SSL/TLS 인증서 서명 요청 생성
링크 복사

6.6. SSL/TLS 인증서 생성
링크 복사

6.7. 언더클라우드에 인증서 추가
링크 복사

7장. 오버클라우드 공용 끝점에서 SSL/TLS 활성화
링크 복사

7.1. SSL/TLS 활성화
링크 복사

7.2. 루트 인증서 삽입
링크 복사

7.3. DNS 끝점 구성
링크 복사

7.4. 오버클라우드 생성 중 환경 파일 추가
링크 복사

7.5. 수동으로 SSL/TLS 인증서 업데이트
링크 복사

8장. 오버클라우드의 암호화를 위해 Cryostat 키 사용
링크 복사

8.1. Cryostat 배포 검토
링크 복사

8.2. 워크플로우 서비스를 사용하여 keys(키) 교체
링크 복사

9장. Red Hat OpenStack Platform의 연방 정보 처리 표준
링크 복사

9.1. FIPS 활성화
링크 복사

10장. 사용자 액세스 보안 개선
링크 복사

10.1. SRBAC 가상 사용자
링크 복사

10.1.1. Red Hat OpenStack Platform SRBAC 역할
링크 복사

10.1.2. Red Hat OpenStack Platform SRBAC 범위
링크 복사

10.1.3. Red Hat OpenStack Platform SRBAC 가상 사용자
링크 복사

10.2. 보안 역할 기반 액세스 제어 활성화
링크 복사

10.3. RBAC 환경에서 역할 할당
링크 복사

11장. Policies
링크 복사

11.1. 기존 정책 검토
링크 복사

11.2. 서비스 정책 이해
링크 복사

11.3. 정책 구문
링크 복사

11.4. 액세스 제어에 정책 파일 사용
링크 복사

11.5. 예: 특성을 기반으로 액세스 제한
링크 복사

11.6. heat로 정책 수정
링크 복사

11.7. 사용자 및 역할 감사
링크 복사

11.8. API 액세스 감사
링크 복사

12장. 네트워크 시간 프로토콜
링크 복사

12.1. 일관된 시간이 중요한 이유
링크 복사

12.2. NTP 설계
링크 복사

13장. 인프라 및 가상화 강화
링크 복사

13.1. Red Hat OpenStack Platform용 harware
링크 복사

13.2. 클라우드 환경의 소프트웨어 업데이트
링크 복사

13.3. 하드웨어 및 소프트웨어 기능 제한
링크 복사

13.4. Red Hat OpenStack Platform의 SELinux
링크 복사

13.5. 컨테이너화된 서비스 조사
링크 복사

13.6. 컨테이너화된 서비스를 임시로 변경
링크 복사

13.7. 컨테이너화된 서비스를 영구적으로 변경
링크 복사