17.3. Tang 服务器加密密钥管理

流程

1. 找到并访问存储 Tang 服务器密钥的目录。这通常是 /var/db/tang 目录。检查当前公告的密钥 thumbprint:

   # tang-show-keys 7500

   输出示例

   36AHjNH3NZDSnlONLz1-V4ie6t8

2. 输入 Tang 服务器密钥目录：

   # cd /var/db/tang/

3. 列出当前的 Tang 服务器密钥：

   # ls -A1

   输出示例

   36AHjNH3NZDSnlONLz1-V4ie6t8.jwk
   gJZiNPMLRBnyo_ZKfK4_5SrnHYo.jwk

   在正常的 Tang 服务器操作过程中，此目录中有两个 .jwk 文件：一个用于签名和验证，另一个用于密钥生成。

4. 禁用旧密钥的公告：

   # for key in *.jwk; do \
     mv -- "$key" ".$key"; \
   done

   设置 Network-Bound Disk 加密 (NBDE) 或请求密钥的新客户端将不再看到旧密钥。现有的客户端仍然可以访问和使用旧密钥，直到它们被删除为止。Tang 服务器读取但不会公告存储在 UNIX 隐藏文件中的密钥，这些文件以 . 字符开头。

5. 生成新密钥：

   # /usr/libexec/tangd-keygen /var/db/tang

6. 列出当前的 Tang 服务器密钥，以验证旧密钥不再公告，因为它们现在是隐藏的文件，并存在新密钥：

   # ls -A1

   输出示例

   .36AHjNH3NZDSnlONLz1-V4ie6t8.jwk
   .gJZiNPMLRBnyo_ZKfK4_5SrnHYo.jwk
   Bp8XjITceWSN_7XFfW7WfJDTomE.jwk
   WOjQYkyK7DxY_T5pMncMO5w0f6E.jwk

   Tang 自动公告新密钥。

   注意

   较新的 Tang 服务器安装包括帮助程序 /usr/libexec/tangd-rotate-keys 目录，负责同时禁用公告并生成新密钥。

7. 如果您在共享相同关键资料的负载均衡器后面运行多个 Tang 服务器，请确保在继续之前，在此进行的更改会正确同步整个服务器集。

验证

1. 验证 Tang 服务器是否在广播新密钥，而不是公告旧密钥：

   # tang-show-keys 7500

   输出示例

   WOjQYkyK7DxY_T5pMncMO5w0f6E

2. 验证旧密钥（尽管未公告）仍然可用于解密请求：

   # clevis decrypt </tmp/encrypted.oldkey

流程

1. 根据以下模板创建 DaemonSet 对象。此模板设置三台冗余 Tang 服务器，但可轻松适应其他情况。更改 NEW_TANG_PIN 环境中的 Tang 服务器 URL 和 thumbprints 以适合您的环境：

   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
     name: tang-rekey
     namespace: openshift-machine-config-operator
   spec:
     selector:
       matchLabels:
         name: tang-rekey
     template:
       metadata:
         labels:
           name: tang-rekey
       spec:
         containers:
         - name: tang-rekey
           image: registry.access.redhat.com/ubi9/ubi-minimal:latest
           imagePullPolicy: IfNotPresent
           command:
           - "/sbin/chroot"
           - "/host"
           - "/bin/bash"
           - "-ec"
           args:
           - |
             rm -f /tmp/rekey-complete || true
             echo "Current tang pin:"
             clevis-luks-list -d $ROOT_DEV -s 1
             echo "Applying new tang pin: $NEW_TANG_PIN"
             clevis-luks-edit -f -d $ROOT_DEV -s 1 -c "$NEW_TANG_PIN"
             echo "Pin applied successfully"
             touch /tmp/rekey-complete
             sleep infinity
           readinessProbe:
             exec:
               command:
               - cat
               - /host/tmp/rekey-complete
             initialDelaySeconds: 30
             periodSeconds: 10
           env:
           - name: ROOT_DEV
             value: /dev/disk/by-partlabel/root
           - name: NEW_TANG_PIN
             value: >-
               {"t":1,"pins":{"tang":[
                 {"url":"http://tangserver01:7500","thp":"WOjQYkyK7DxY_T5pMncMO5w0f6E"},
                 {"url":"http://tangserver02:7500","thp":"I5Ynh2JefoAO3tNH9TgI4obIaXI"},
                 {"url":"http://tangserver03:7500","thp":"38qWZVeDKzCPG9pHLqKzs6k1ons"}
               ]}}
           volumeMounts:
           - name: hostroot
             mountPath: /host
           securityContext:
             privileged: true
         volumes:
         - name: hostroot
           hostPath:
             path: /
         nodeSelector:
           kubernetes.io/os: linux
         priorityClassName: system-node-critical
         restartPolicy: Always
         serviceAccount: machine-config-daemon
         serviceAccountName: machine-config-daemon

   在这种情况下，即使您对 tangserver01 进行 rekeying，您不仅要为 tangserver01 指定新的指纹，还必须为所有其他 Tang 服务器指定当前的指纹。如果未指定重新密钥操作的所有指纹，则可能会存在中间人攻击机的风险。

2. 要将守护进程集发布到必须重新密钥的每个集群，请运行以下命令：

   $ oc apply -f tang-rekey.yaml

   但是，为了大规模运行，请将守护进程集包装在 ACM 策略中。此 ACM 配置必须包含一个用于部署守护进程集的策略，第二个策略用于检查所有守护进程集 pod 是否都是 READY，以及一个放置规则，以将其应用到适当的集群集合。

流程

1. 使用普通的 Kubernetes pod 重启策略，重启执行重新密钥操作的 pod。
2. 如果有任何关联的 Tang 服务器不可用，请尝试重新密钥，直到所有服务器重新上线。

流程

1. 对守护进程集中定义的每个 Tang 服务器配置执行简单的加密和解密操作，以验证 Tang 服务器配置。

   这是使用错误的指纹进行加密和解密尝试的示例：

   $ echo "okay" | clevis encrypt tang \
     '{"url":"http://tangserver02:7500","thp":"badthumbprint"}' | \
     clevis decrypt

   输出示例

   Unable to fetch advertisement: 'http://tangserver02:7500/adv/badthumbprint'!

   这是使用很好的指纹加密和解密尝试的示例：

   $ echo "okay" | clevis encrypt tang \
     '{"url":"http://tangserver03:7500","thp":"goodthumbprint"}' | \
     clevis decrypt

   输出示例

   okay

2. 在确定根本原因后，纠正根本情况：

   1. 删除无法正常工作的守护进程集。

   2. 编辑守护进程集定义，以修复根本问题。这可能包括以下操作：

      • 编辑 Tang 服务器条目，以更正 URL 和 thumbprint。
      • 删除不再处于服务中的 Tang 服务器。
      • 添加新 Tang 服务器，该服务器替代已停用的服务器。
3. 再次分发更新的守护进程集。

1. 找到由守护进程集创建的容器的名称：

   $ oc get pods -A | grep tang-rekey

   输出示例

   openshift-machine-config-operator  tang-rekey-7ks6h  1/1  Running   20 (8m39s ago)  89m

2. 显示容器中的日志。以下日志来自一个成功完成的重新密钥操作：

   $ oc logs tang-rekey-7ks6h

   输出示例

   Current tang pin:
   1: sss '{"t":1,"pins":{"tang":[{"url":"http://10.46.55.192:7500"},{"url":"http://10.46.55.192:7501"},{"url":"http://10.46.55.192:7502"}]}}'
   Applying new tang pin: {"t":1,"pins":{"tang":[
     {"url":"http://tangserver01:7500","thp":"WOjQYkyK7DxY_T5pMncMO5w0f6E"},
     {"url":"http://tangserver02:7500","thp":"I5Ynh2JefoAO3tNH9TgI4obIaXI"},
     {"url":"http://tangserver03:7500","thp":"38qWZVeDKzCPG9pHLqKzs6k1ons"}
   ]}}
   Updating binding...
   Binding edited successfully
   Pin applied successfully