17.3. Tang 服务器加密密钥管理

流程

1. 找到并访问存储 Tang 服务器密钥的目录。这通常是 /var/db/tang 目录。检查当前公告的密钥 thumbprint:

   # tang-show-keys 7500

   Copy to Clipboard Toggle word wrap

   输出示例

   36AHjNH3NZDSnlONLz1-V4ie6t8

   Copy to Clipboard Toggle word wrap

2. 输入 Tang 服务器密钥目录：

   # cd /var/db/tang/

   Copy to Clipboard Toggle word wrap

3. 列出当前的 Tang 服务器密钥：

   # ls -A1

   Copy to Clipboard Toggle word wrap

   输出示例

   36AHjNH3NZDSnlONLz1-V4ie6t8.jwk
   gJZiNPMLRBnyo_ZKfK4_5SrnHYo.jwk

   Copy to Clipboard Toggle word wrap

   在正常的 Tang 服务器操作过程中，此目录中有两个 .jwk 文件：一个用于签名和验证，另一个用于密钥生成。

4. 禁用旧密钥的公告：

   # for key in *.jwk; do \
     mv -- "$key" ".$key"; \
   done

   Copy to Clipboard Toggle word wrap

   设置 Network-Bound Disk 加密 (NBDE) 或请求密钥的新客户端将不再看到旧密钥。现有的客户端仍然可以访问和使用旧密钥，直到它们被删除为止。Tang 服务器读取但不会公告存储在 UNIX 隐藏文件中的密钥，这些文件以 . 字符开头。

5. 生成新密钥：

   # /usr/libexec/tangd-keygen /var/db/tang

   Copy to Clipboard Toggle word wrap

6. 列出当前的 Tang 服务器密钥，以验证旧密钥不再公告，因为它们现在是隐藏的文件，并存在新密钥：

   # ls -A1

   Copy to Clipboard Toggle word wrap

   输出示例

   .36AHjNH3NZDSnlONLz1-V4ie6t8.jwk
   .gJZiNPMLRBnyo_ZKfK4_5SrnHYo.jwk
   Bp8XjITceWSN_7XFfW7WfJDTomE.jwk
   WOjQYkyK7DxY_T5pMncMO5w0f6E.jwk

   Copy to Clipboard Toggle word wrap

   Tang 自动公告新密钥。

   注意

   较新的 Tang 服务器安装包括帮助程序 /usr/libexec/tangd-rotate-keys 目录，负责同时禁用公告并生成新密钥。

7. 如果您在共享相同关键资料的负载均衡器后面运行多个 Tang 服务器，请确保在继续之前，在此进行的更改会正确同步整个服务器集。

验证

1. 验证 Tang 服务器是否在广播新密钥，而不是公告旧密钥：

   # tang-show-keys 7500

   Copy to Clipboard Toggle word wrap

   输出示例

   WOjQYkyK7DxY_T5pMncMO5w0f6E

   Copy to Clipboard Toggle word wrap

2. 验证旧密钥（尽管未公告）仍然可用于解密请求：

   # clevis decrypt </tmp/encrypted.oldkey

   Copy to Clipboard Toggle word wrap

流程

1. 根据以下模板创建 DaemonSet 对象。此模板设置三台冗余 Tang 服务器，但可轻松适应其他情况。更改 NEW_TANG_PIN 环境中的 Tang 服务器 URL 和 thumbprints 以适合您的环境：

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
     name: tang-rekey
     namespace: openshift-machine-config-operator
   spec:
     selector:
       matchLabels:
         name: tang-rekey
     template:
       metadata:
         labels:
           name: tang-rekey
       spec:
         containers:
         - name: tang-rekey
           image: registry.access.redhat.com/ubi9/ubi-minimal:latest
           imagePullPolicy: IfNotPresent
           command:
           - "/sbin/chroot"
           - "/host"
           - "/bin/bash"
           - "-ec"
           args:
           - |
             rm -f /tmp/rekey-complete || true
             echo "Current tang pin:"
             clevis-luks-list -d $ROOT_DEV -s 1
             echo "Applying new tang pin: $NEW_TANG_PIN"
             clevis-luks-edit -f -d $ROOT_DEV -s 1 -c "$NEW_TANG_PIN"
             echo "Pin applied successfully"
             touch /tmp/rekey-complete
             sleep infinity
           readinessProbe:
             exec:
               command:
               - cat
               - /host/tmp/rekey-complete
             initialDelaySeconds: 30
             periodSeconds: 10
           env:
           - name: ROOT_DEV
             value: /dev/disk/by-partlabel/root
           - name: NEW_TANG_PIN
             value: >-
               {"t":1,"pins":{"tang":[
                 {"url":"http://tangserver01:7500","thp":"WOjQYkyK7DxY_T5pMncMO5w0f6E"},
                 {"url":"http://tangserver02:7500","thp":"I5Ynh2JefoAO3tNH9TgI4obIaXI"},
                 {"url":"http://tangserver03:7500","thp":"38qWZVeDKzCPG9pHLqKzs6k1ons"}
               ]}}
           volumeMounts:
           - name: hostroot
             mountPath: /host
           securityContext:
             privileged: true
         volumes:
         - name: hostroot
           hostPath:
             path: /
         nodeSelector:
           kubernetes.io/os: linux
         priorityClassName: system-node-critical
         restartPolicy: Always
         serviceAccount: machine-config-daemon
         serviceAccountName: machine-config-daemon

   Copy to Clipboard Toggle word wrap

   在这种情况下，即使您对 tangserver01 进行 rekeying，您不仅要为 tangserver01 指定新的指纹，还必须为所有其他 Tang 服务器指定当前的指纹。如果未指定重新密钥操作的所有指纹，则可能会存在中间人攻击机的风险。

2. 要将守护进程集发布到必须重新密钥的每个集群，请运行以下命令：

   $ oc apply -f tang-rekey.yaml

   Copy to Clipboard Toggle word wrap

   但是，为了大规模运行，请将守护进程集包装在 ACM 策略中。此 ACM 配置必须包含一个用于部署守护进程集的策略，第二个策略用于检查所有守护进程集 pod 是否都是 READY，以及一个放置规则，以将其应用到适当的集群集合。

流程

1. 使用普通的 Kubernetes pod 重启策略，重启执行重新密钥操作的 pod。
2. 如果有任何关联的 Tang 服务器不可用，请尝试重新密钥，直到所有服务器重新上线。

流程

1. 对守护进程集中定义的每个 Tang 服务器配置执行简单的加密和解密操作，以验证 Tang 服务器配置。

   这是使用错误的指纹进行加密和解密尝试的示例：

   $ echo "okay" | clevis encrypt tang \
     '{"url":"http://tangserver02:7500","thp":"badthumbprint"}' | \
     clevis decrypt

   Copy to Clipboard Toggle word wrap

   输出示例

   Unable to fetch advertisement: 'http://tangserver02:7500/adv/badthumbprint'!

   Copy to Clipboard Toggle word wrap

   这是使用很好的指纹加密和解密尝试的示例：

   $ echo "okay" | clevis encrypt tang \
     '{"url":"http://tangserver03:7500","thp":"goodthumbprint"}' | \
     clevis decrypt

   Copy to Clipboard Toggle word wrap

   输出示例

   okay

   Copy to Clipboard Toggle word wrap

2. 在确定根本原因后，纠正根本情况：

   1. 删除无法正常工作的守护进程集。

   2. 编辑守护进程集定义，以修复根本问题。这可能包括以下操作：

      • 编辑 Tang 服务器条目，以更正 URL 和 thumbprint。
      • 删除不再处于服务中的 Tang 服务器。
      • 添加新 Tang 服务器，该服务器替代已停用的服务器。
3. 再次分发更新的守护进程集。

1. 找到由守护进程集创建的容器的名称：

   $ oc get pods -A | grep tang-rekey

   Copy to Clipboard Toggle word wrap

   输出示例

   openshift-machine-config-operator  tang-rekey-7ks6h  1/1  Running   20 (8m39s ago)  89m

   Copy to Clipboard Toggle word wrap

2. 显示容器中的日志。以下日志来自一个成功完成的重新密钥操作：

   $ oc logs tang-rekey-7ks6h

   Copy to Clipboard Toggle word wrap

   输出示例

   Current tang pin:
   1: sss '{"t":1,"pins":{"tang":[{"url":"http://10.46.55.192:7500"},{"url":"http://10.46.55.192:7501"},{"url":"http://10.46.55.192:7502"}]}}'
   Applying new tang pin: {"t":1,"pins":{"tang":[
     {"url":"http://tangserver01:7500","thp":"WOjQYkyK7DxY_T5pMncMO5w0f6E"},
     {"url":"http://tangserver02:7500","thp":"I5Ynh2JefoAO3tNH9TgI4obIaXI"},
     {"url":"http://tangserver03:7500","thp":"38qWZVeDKzCPG9pHLqKzs6k1ons"}
   ]}}
   Updating binding...
   Binding edited successfully
   Pin applied successfully

   Copy to Clipboard Toggle word wrap