3.3. OpenStack Key Manager(barbican)와 Entrust nShield Connect XC HSM 통합

절차

1. Barbican에 대한 configure-barbican.yaml 환경 파일을 생성하고 해당 환경과 관련된 매개변수를 추가합니다. 다음 스니펫을 예로 사용합니다.

       parameter_defaults:
           VerifyGlanceSignatures: true
           SwiftEncryptionEnabled: true
           BarbicanPkcs11CryptoLogin: 'sample string'
           BarbicanPkcs11CryptoSlotId: '492971158'
           BarbicanPkcs11CryptoGlobalDefault: true
           BarbicanPkcs11CryptoLibraryPath: '/opt/nfast/toolkits/pkcs11/libcknfast.so'
           BarbicanPkcs11CryptoEncryptionMechanism: 'CKM_AES_CBC'
           BarbicanPkcs11CryptoHMACKeyType: 'CKK_SHA256_HMAC'
           BarbicanPkcs11CryptoHMACKeygenMechanism: 'CKM_NC_SHA256_HMAC_KEY_GEN'
           BarbicanPkcs11CryptoMKEKLabel: 'barbican_mkek_10'
           BarbicanPkcs11CryptoMKEKLength: '32'
           BarbicanPkcs11CryptoHMACLabel: 'barbican_hmac_10'
           BarbicanPkcs11CryptoThalesEnabled: true
           BarbicanPkcs11CryptoEnabled: true
           ThalesVars:
               thales_client_working_dir: /tmp/thales_client_install
               thales_client_tarball_location: https://your server/CipherTools-linux64-dev-12.40.2.tgz
               thales_client_tarball_name: CipherTools-linux64-dev-12.40.2.tgz
               thales_client_path: linux/libc6_11/amd64/nfast
               thales_client_uid: 42481
               thales_client_gid: 42481
               thales_km_data_location: https://your server/kmdata_post_card_creation.tar.gz
               thales_km_data_tarball_name: kmdata_post_card_creation.tar.gz
               thales_rfs_server_ip_address: 192.168.10.12
               thales_hsm_config_location: hsm-C90E-02E0-D947
               nShield_hsms:
                 - name: hsm-name.example.com
                   ip: 192.168.10.10
               thales_rfs_user: root
               thales_rfs_key: |
                   -----BEGIN RSA PRIVATE KEY-----
   Sample private key
   -----END RSA PRIVATE KEY-----
   
   resource_registry:
       OS::TripleO::Services::BarbicanBackendPkcs11Crypto: /home/stack/tripleo-heat-templates/puppet/services/barbican-backend-pkcs11-crypto.yaml

   표 3.4. heat 매개변수

   매개변수	현재의
   BarbicanSimpleCryptoGlobalDefault	simplecrypto 가 글로벌 기본값인지 여부를 결정하는 부울입니다.
   BarbicanPkcs11GlobalDefault	PKCS#11 이 글로벌 기본값인지 여부를 결정하는 부울입니다.
   BarbicanPkcs11CryptoSlotId	Barbican에서 사용할 Virtual HSM의 슬롯 ID입니다.
   BarbicanPkcs11CryptoMKEKLabel	이 매개 변수는 HSM에서 생성된 mKEK의 이름을 정의합니다. director는 이 이름을 사용하여 HSM에 이 키를 생성합니다.
   BarbicanPkcs11CryptoHMACLabel	이 매개 변수는 HSM에 생성된 HMAC 키의 이름을 정의합니다. director는 이 이름을 사용하여 HSM에 이 키를 생성합니다.
   ThalesVars
   thales_client_working_dir	사용자 정의 임시 작업 디렉터리입니다.
   thales_client_tarball_location	Entrust 소프트웨어의 HTTPS 서버 위치를 지정하는 URL입니다.
   thales_km_data_tarball_name	Entrust 소프트웨어 tarball의 이름입니다.
   thales_rfs_key	RFS 서버에 대한 SSH 연결을 가져오는 데 사용되는 개인 키입니다. 이를 RFS 서버에 인증된 키로 추가해야 합니다.

2. 사용자 지정 configure-barbican.yaml 환경 파일과 함께 barbican.yaml 및 Thales 특정 barbican-pkcs11-thales.yaml 환경 파일과 함께 openstack overcloud deploy 명령을 실행할 때 배포에 필요한 기타 템플릿을 포함합니다.

   $ openstack overcloud deploy \
       --timeout 100 \
       --templates /usr/share/openstack-tripleo-heat-templates \
       --stack overcloud \
       --libvirt-type kvm \
       --ntp-server clock.redhat.com \
       -e /home/stack/containers-prepare-parameter.yaml \
       -e /home/stack/templates/config_lvm.yaml \
       -e /usr/share/openstack-tripleo-heat-templates/environments/network-isolation.yaml \
       -e /home/stack/templates/network/network-environment.yaml \
       -e /home/stack/templates/hostnames.yml \
       -e /home/stack/templates/nodes_data.yaml \
       -e /home/stack/templates/extra_templates.yaml \
       -e /usr/share/openstack-tripleo-heat-templates/environments/services/barbican.yaml \
       -e /usr/share/openstack-tripleo-heat-templates/environments/barbican-backend-pkcs11-thales.yaml \
       -e /home/stack/templates/configure-barbican.yaml \
       --log-file overcloud_deployment_with_atos.log

검증

1. 테스트 보안을 생성합니다.

   $ openstack secret store --name testSecret --payload 'TestPayload'
   +---------------+------------------------------------------------------------------------------------+
   | Field         | Value                                                                              |
   +---------------+------------------------------------------------------------------------------------+
   | Secret href   | https://192.168.123.163/key-manager/v1/secrets/4cc5ffe0-eea2-449d-9e64-b664d574be53 |
   | Name          | testSecret                                                                         |
   | Created       | None                                                                               |
   | Status        | None                                                                               |
   | Content types | None                                                                               |
   | Algorithm     | aes                                                                                |
   | Bit length    | 256                                                                                |
   | Secret type   | opaque                                                                             |
   | Mode          | cbc                                                                                |
   | Expiration    | None                                                                               |
   +---------------+------------------------------------------------------------------------------------+

2. 방금 생성한 시크릿의 페이로드를 검색합니다.

   openstack secret get https://192.168.123.163/key-manager/v1/secrets/4cc5ffe0-eea2-449d-9e64-b664d574be53 --payload
   +---------+-------------+
   | Field   | Value       |
   +---------+-------------+
   | Payload | TestPayload |
   +---------+-------------+