第 3 章 加密和密钥管理

有些情况下，需要确保 OpenStack 部署中网络流量的机密性或完整性。您通常会使用加密措施（如 TLS 协议）进行配置。在典型的部署中，通过公共网络传输的所有流量都应安全强化，但安全的良好做法预期内部流量也必须得到保护。不足以保护安全区分离。如果攻击者获得对 hypervisor 或主机资源的访问权限，破坏 API 端点或任何其他服务，则他们不能轻松地注入或捕获消息、命令或其他影响云的管理功能。

您应该安全强化所有带有 TLS 的区域，包括管理区服务和服务内通信。TLS 提供了相应的机制，可确保用户与 OpenStack 服务通信以及 OpenStack 服务本身之间的用户身份验证、非回复、机密性和完整性。

由于安全套接字层(SSL)协议中公布的漏洞，请考虑在首选使用 TLS 1.2 或更高版本，并且所有情况下都禁用了 SSL，除非您需要与过时的浏览器或库兼容。