Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

5.2.3. 为 PV 加密创建存储类的步骤

在为 vaulttoken 或 vaulttenantsa 执行必要的先决条件后，请执行以下步骤来创建启用了加密的存储类。

  1. 进入 Storage StorageClasses。
  2. 点 Create Storage Class。
  3. 输入存储类 Name 和 Description。
  4. 为 Reclaim Policy 选择 Delete 或 Retain。默认情况下，选择 Delete。
  5. 选择 Immediate 或 WaitForFirstConsumer 作为卷绑定模式。WaitForConsumer 设置为默认选项。
  6. 选择 RBD Provisioner openshift-storage.rbd.csi.ceph.com，这是用于调配持久卷的插件。
  7. 选择 存储池，其中卷数据将存储到列表中或创建新池。

  8. 选中 Enable encryption 复选框。有两个选项可用来设置 KMS 连接详情：

    • Select existing KMS connection: 从下拉列表中选择现有 KMS 连接。该列表填充自 csi-kms-connection-details ConfigMap 中的连接详情。

    • 创建新的 KMS 连接 ：这仅适用于 vaulttoken。

      1. 默认情况下，Key Management Service Provider 设置为 Vault。
      2. 输入唯一的连接名称 , Vault 服务器的主机地址（'https://<hostname 或 ip>'），端口号和令牌。

      3. 展开 Advanced Settings，以根据您的 Vault 配置输入其他设置和证书详情。

        1. 在 后端路径中输入为 OpenShift Data Foundation 专用且唯一的 Key Value secret 路径。
        2. （可选）输入 TLS 服务器名称和 Vault Enterprise 命名空间。
        3. 上传对应的 PEM 编码证书文件，以提供 CA 证书、客户端证书和客户端私钥。
        4. 点击 Save。
      4. 点击 Save。
  9. 点击 Create。

  10. 如果 HashiCorp Vault 设置不允许自动检测后端路径使用的 Key/Value(KV)secret 引擎 API 版本，编辑 ConfigMap 以添加 vaultBackend 参数。

    注意

    vaultBackend 是一个可选参数，添加到 configmap 中，以指定与后端路径关联的 KV secret 引擎 API 版本。确保值与为后端路径设置的 KV secret 引擎 API 版本匹配，否则可能会导致持久性卷声明(PVC)创建过程中失败。

    1. 识别新创建的存储类使用的 encryptionKMSID。

      1. 在 OpenShift Web 控制台中，导航到 Storage Storage Classes。
      2. 点 Storage class name YAML 标签页。

      3. 捕获存储类使用的 encryptionKMSID。

        例如： 

        encryptionKMSID: 1-vault
        Copy to Clipboard Toggle word wrap
    2. 在 OpenShift Web 控制台中，导航到 Workloads ConfigMaps。
    3. 要查看 KMS 连接详情，请单击点击 csi-kms-connection-details。

    4. 编辑 ConfigMap。

      1. 点击 Action 菜单 (⋮) Edit ConfigMap。

      2. 根据之前标识的 encryptionKMSID 配置的后端，添加 vaultBackend 参数。

        您可以为 KV secret engine API 版本 1 分配 kv，为 KV secret engine API 版本 2 分配 kv-v2。

        例如： 

         kind: ConfigMap
 apiVersion: v1
 metadata:
   name: csi-kms-connection-details
 [...]
 data:
   1-vault: |-
     {
       "encryptionKMSType": "vaulttokens",
       "kmsServiceName": "1-vault",
       [...]
       "vaultBackend": "kv-v2"
     }
   2-vault: |-
     {
       "encryptionKMSType": "vaulttenantsa",
       [...]
       "vaultBackend": "kv"
     }
        Copy to Clipboard Toggle word wrap
      3. 点 Save

后续步骤

  • 存储类可用于创建加密的持久性卷。如需更多信息，请参阅管理持久性卷声明。

    重要

    红帽与技术合作伙伴合作，将本文档作为为客户提供服务。但是，红帽不为 HashiCorp 产品提供支持。有关此产品的技术协助，请联系 HashiCorp。

5.2.3.1. 使用租户 ConfigMap 覆盖 Vault 连接详情
复制链接

可以通过在 Openshift 命名空间中创建 ConfigMap 来为每个租户重新配置 Vault 连接详情，其配置选项与 openshift-storage 命名空间中的 csi-kms-connection-details ConfigMap 中设置的值不同。ConfigMap 需要位于租户命名空间中。租户命名空间中的 ConfigMap 中的值将覆盖在该命名空间中创建的加密持久性卷的 csi-kms-connection-details ConfigMap 中设置的值。

流程

  1. 确保您位于租户命名空间中。
  2. 点 Workloads ConfigMaps。
  3. 点 Create ConfigMap。

  4. 以下是 yaml 示例。给定租户命名空间要覆盖的值可以在 data 部分下指定，如下所示： 

    ---
apiVersion: v1
kind: ConfigMap
metadata:
  name: ceph-csi-kms-config
data:
  vaultAddress: "<vault_address:port>"
  vaultBackendPath: "<backend_path>"
  vaultTLSServerName: "<vault_tls_server_name>"
  vaultNamespace: "<vault_namespace>"
    Copy to Clipboard Toggle word wrap
  5. 编辑完 yaml 后，点 Create。
返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat