第 3 章 持久性卷加密

1. 在 OpenShift Container Platform web 控制台中进入 Workloads Secrets。
2. 点 Create Key/value secret。
3. 输入 Secret Name 作为 ceph-csi-kms-token。
4. 输入 Key 作为 token。

5. 输入 Value。

   它是来自 Vault 的令牌。您可以单击 Browse 来选择并上传含有令牌的文件，或者直接在文本框中输入令牌。

6. 点 Create。

先决条件

1. 如果 KMIP 客户端不存在，请创建一个。在用户界面中，选择 KMIP Client Profile Add Profile。

   1. 在创建配置集的过程中，将 CipherTrust 用户名添加到 Common Name 字段中。
2. 通过进入到 KMIP Registration Token New Registration Token 来创建令牌。为下一步复制令牌。
3. 要注册客户端，请进入到 KMIP Registered Clients Add Client。指定名称。粘贴上一步中的注册令牌，然后点保存。
4. 点 Save Private Key 和 Save Certificate 下载私钥和客户端证书。

5. 要创建新的 KMIP 接口，请进入到 Admin Settings Interfaces Add Interface。

   1. 选择 KMIP Key Management Interoperability Protocol 并点 Next。
   2. 选择一个空闲端口。
   3. 为 Network Interface 选择 all。
   4. 为 Interface Mode 选择 TLS, verify client cert, user name taken from client cert, auth request is optional。
   5. （可选）您可以在密钥被删除时启用硬删除以删除元数据和材料。它默认是禁用的。
   6. 选择要使用的 CA，然后点 Save。
6. 要获取服务器 CA 证书，请点新创建的界面右侧的 Action 菜单(⋮)，然后点 Download Certificate。

流程

1. 要创建一个密钥以充当 storageclass 加密的 KEK（Key Encryption Key），请按照以下步骤执行：

   1. 进入到 Keys Add Key。
   2. 输入 Key Name。
   3. 分别将 Algorithm 和 Size 设置为 AES 和 256。
   4. 启用 Create a key in Pre-Active state，并设置激活的日期和时间。
   5. 确保在 Key Usage 下启用了 Encrypt 和 Decrypt。
   6. 复制新创建的密钥的 ID，以在部署过程中用作唯一标识符。

1. 将以下 YAML 应用到您的 Openshift 集群：

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: rbd-csi-vault-token-review
   ---
   kind: ClusterRole
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: rbd-csi-vault-token-review
   rules:
     - apiGroups: ["authentication.k8s.io"]
       resources: ["tokenreviews"]
       verbs: ["create", "get", "list"]
   
   ---
   kind: ClusterRoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: rbd-csi-vault-token-review
   subjects:
     - kind: ServiceAccount
       name: rbd-csi-vault-token-review
       namespace: openshift-storage
   roleRef:
     kind: ClusterRole
     name: rbd-csi-vault-token-review
     apiGroup: rbac.authorization.k8s.io

   Copy to Clipboard Toggle word wrap

2. 为 serviceaccount 令牌和 CA 证书创建 secret。

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: Secret
   metadata:
     name: rbd-csi-vault-token-review-token
     namespace: openshift-storage
     annotations:
       kubernetes.io/service-account.name: "rbd-csi-vault-token-review"
   type: kubernetes.io/service-account-token
   data: {}
   EOF

   Copy to Clipboard Toggle word wrap

3. 从 secret 获取令牌和 CA 证书。

   $ SA_JWT_TOKEN=$(oc -n openshift-storage get secret rbd-csi-vault-token-review-token -o jsonpath="{.data['token']}" | base64 --decode; echo)
   $ SA_CA_CRT=$(oc -n openshift-storage get secret rbd-csi-vault-token-review-token -o jsonpath="{.data['ca\.crt']}" | base64 --decode; echo)

   Copy to Clipboard Toggle word wrap

4. 检索 OpenShift 集群端点。

   $ OCP_HOST=$(oc config view --minify --flatten -o jsonpath="{.clusters[0].cluster.server}")

   Copy to Clipboard Toggle word wrap

5. 使用前面步骤中收集的信息在 Vault 中设置 kubernetes 身份验证方法，如下所示：

   $ vault auth enable kubernetes
   $ vault write auth/kubernetes/config \
             token_reviewer_jwt="$SA_JWT_TOKEN" \
             kubernetes_host="$OCP_HOST" \
             kubernetes_ca_cert="$SA_CA_CRT"

   Copy to Clipboard Toggle word wrap

6. 在 Vault 中为租户命名空间创建一个角色：

   $ vault write "auth/kubernetes/role/csi-kubernetes" bound_service_account_names="ceph-csi-vault-sa" bound_service_account_namespaces=<tenant_namespace> policies=<policy_name_in_vault>

   Copy to Clipboard Toggle word wrap

   csi-kubernetes 是 OpenShift Data Foundation 在 Vault 中寻找的默认角色名称。OpenShift Data Foundation 集群中租户命名空间中的默认服务帐户名称为 ceph-csi-vault-sa。这些默认值可以通过在租户命名空间中创建 ConfigMap 来覆盖。

   有关覆盖默认名称的更多信息，请参阅使用租户 ConfigMap 覆盖 Vault 连接详情。