8.2. 워크플로우 서비스를 사용하여 keys(키) 교체

절차

1. 기존 Cryostat 키를 검토합니다.

   1. Cryostat 키 위치를 식별합니다. Controller 노드에 tripleo-admin 사용자로 로그인하고 crudini 명령을 사용하여 Cryostat 키를 쿼리합니다.

      [stack@<undercloud_host> ~]$ ssh tripleo-admin@overcloud-controller-o
      [tripleo-admin@overcloud-controller-0 ~]$ sudo crudini --get /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf fernet_tokens key_repository
      /etc/keystone/fernet-keys

      참고

      /etc/keystone/ 디렉터리는 컨테이너 파일 시스템 경로를 나타냅니다.

   2. 현재 key 디렉토리를 검사합니다.

      [tripleo-admin@overcloud-controller-0 ~]$ sudo ls /var/lib/config-data/puppet-generated/keystone/etc/keystone/fernet-keys
      0  1  2

      • 0 - 다음 기본 키가 되고 항상 0 이 되는 스테이징된 키를 포함합니다.
      • 1 - 보조 키를 포함합니다.

      • 2 - 기본 키를 포함합니다. 이 수는 키가 회전할 때마다 증가합니다. 가장 높은 숫자는 항상 기본 키 역할을 합니다.

        참고
        • 최대 키 수는 max_active_keys 속성으로 설정됩니다. 기본값은 5 키입니다.
        • 키는 모든 컨트롤러 노드에 전파됩니다.

2. workflow 명령을 사용하여 Cryostat 키를 순환합니다.

   [stack@director ~]$ source ~/stackrc
   [stack@director ~]$ openstack workflow execution create tripleo.fernet_keys.v1.rotate_fernet_keys {"container": "overcloud"}
   --------------------------------------------------------------+
   | Field             | Value                                     |
   --------------------------------------------------------------+
   | ID                | 58c9c664-b966-4f82-b368-af5ed8de5b47      |
   | Workflow ID       | 78f0990a-3d34-4bf2-a127-10c149bb275c      |
   | Workflow name     | tripleo.fernet_keys.v1.rotate_fernet_keys |
   | Description       |                                           |
   | Task Execution ID | <none>                                    |
   | State             | RUNNING                                   |
   | State info        | None                                      |
   | Created at        | 2017-12-20 11:13:50                       |
   | Updated at        | 2017-12-20 11:13:50                       |
   --------------------------------------------------------------+

검증

1. ID를 검색하고 워크플로우가 성공했는지 확인합니다.

   [stack@director ~]$ openstack workflow execution show 58c9c664-b966-4f82-b368-af5ed8de5b47
   --------------------------------------------------------------+
   | Field             | Value                                     |
   --------------------------------------------------------------+
   | ID                | 58c9c664-b966-4f82-b368-af5ed8de5b47      |
   | Workflow ID       | 78f0990a-3d34-4bf2-a127-10c149bb275c      |
   | Workflow name     | tripleo.fernet_keys.v1.rotate_fernet_keys |
   | Description       |                                           |
   | Task Execution ID | <none>                                    |
   | State             | SUCCESS                                   |
   | State info        | None                                      |
   | Created at        | 2017-12-20 11:13:50                       |
   | Updated at        | 2017-12-20 11:15:00                       |
   --------------------------------------------------------------+

2. 컨트롤러 노드에서 Cryostat 키 수를 검토하고 이전 결과와 비교합니다.

   [tripleo-admin@overcloud-controller-0 ~]$ sudo ls /var/lib/config-data/puppet-generated/keystone/etc/keystone/fernet-keys
   0  1  2  3

   • 0 - 스테이징된 키를 포함하며 항상 0 으로 번호가 매겨집니다. 이 키는 다음 교체 중에 기본 키가 됩니다.
   • 1 & 2 - 보조 키를 포함합니다.

   • 기본 키를 포함합니다.Contains the primary key. 이 수는 키가 회전할 때마다 증가합니다. 가장 높은 숫자는 항상 기본 키 역할을 합니다.

     참고
     • 최대 키 수는 max_active_keys 속성으로 설정됩니다. 기본값은 5 키입니다.
     • 키는 모든 컨트롤러 노드에 전파됩니다.