4.3. 验证 Block Storage (cinder) 卷镜像
在从镜像创建过程中,块存储服务(cinder)会在卷期间自动验证任何下载的签名。在镜像写入卷前,签名会被验证。要提高性能,您可以使用 Block Storage Image-Volume 缓存存储验证的镜像以创建新卷。
Red Hat Ceph Storage 或 RBD 卷不支持 Cinder 镜像签名验证。
流程
- 登录到 Controller 节点。
选择以下选项之一:
在
卷日志/var/log/containers/cinder/cinder-volume.log中查看 cinder 的镜像验证活动。例如,您可以在实例引导时预期以下条目:
2018-05-24 12:48:35.256 1 INFO cinder.image.image_utils [req-7c271904-4975-4771-9d26-cbea6c0ade31 b464b2fd2a2140e9a88bbdacf67bdd8c a3db2f2beaee454182c95b646fa7331f - default default] Image signature verification succeeded for image d3396fa0-2ea2-4832-8a77-d36fa3f2ab27使用
openstack volume list和cinder volume show命令:-
使用
openstack volume list命令查找卷 ID。 在计算节点上运行
cinder volume show命令:cinder volume show <VOLUME_ID>
-
使用
找到
volume_image_metadata部分,其中包含验证了 : True的行。$ cinder show d0db26bb-449d-4111-a59a-6fbb080bb483 +--------------------------------+-------------------------------------------------+ | Property | Value | +--------------------------------+-------------------------------------------------+ | attached_servers | [] | | attachment_ids | [] | | availability_zone | nova | | bootable | true | | consistencygroup_id | None | | created_at | 2018-10-12T19:04:41.000000 | | description | None | | encrypted | True | | id | d0db26bb-449d-4111-a59a-6fbb080bb483 | | metadata | | | migration_status | None | | multiattach | False | | name | None | | os-vol-host-attr:host | centstack.localdomain@nfs#nfs | | os-vol-mig-status-attr:migstat | None | | os-vol-mig-status-attr:name_id | None | | os-vol-tenant-attr:tenant_id | 1a081dd2505547f5a8bb1a230f2295f4 | | replication_status | None | | size | 1 | | snapshot_id | None | | source_volid | None | | status | available | | updated_at | 2018-10-12T19:05:13.000000 | | user_id | ad9fe430b3a6416f908c79e4de3bfa98 | | volume_image_metadata | checksum : f8ab98ff5e73ebab884d80c9dc9c7290 | | | container_format : bare | | | disk_format : qcow2 | | | image_id : 154d4d4b-12bf-41dc-b7c4-35e5a6a3482a | | | image_name : cirros-0.3.5-x86_64-disk | | | min_disk : 0 | | | min_ram : 0 | | | signature_verified : False | | | size : 13267968 | | volume_type | nfs | +--------------------------------+-------------------------------------------------+
快照保存为 Image 服务(glance)镜像。如果将 Compute 服务(nova)配置为检查已签名的镜像,则必须从 glance 中手动下载镜像,签署镜像,然后重新上传镜像。这满足了快照是否来自使用签名镜像创建的实例,还是从签名镜像创建的卷引导的实例。
卷可以上传为镜像服务(glance)镜像。如果原始卷是可引导的,可以使用该镜像在块存储服务(cinder)中创建可引导卷。如果您已将块存储服务配置为检查已签名的镜像,则必须从 glance 中手动下载镜像,计算镜像签名,并在使用镜像前更新所有适当的镜像签名属性。更多信息请参阅 第 4.5 节 “验证快照”。
4.3.1. 自动删除卷镜像加密密钥 复制链接链接已复制到粘贴板!
当块存储服务(barbican)将加密卷上传到镜像服务(glance)时,块存储服务(cinder)会在密钥管理服务(barbican)中创建一个加密密钥。这会在加密密钥和存储的镜像之间创建一个 1:1 的关系。
加密密钥删除可防止密钥管理服务无限度地消耗资源。块存储、密钥管理和镜像服务会自动管理加密密钥,包括删除密钥。
块存储服务会自动为卷镜像添加两个属性:
-
cinder_encryption_key_id- 加密密钥的标识符,用于特定镜像的密钥管理服务。 -
cinder_encryption_key_deletion_policy- 告知镜像服务指示密钥管理服务是否删除与此镜像关联的密钥。
这些属性的值会自动分配。为避免意外数据丢失,请不要调整这些值。
当您创建卷镜像时,块存储服务会将 cinder_encryption_key_deletion_policy 属性设置为 on_image_deletion。当您删除卷镜像时,如果 cinder_encryption_key_deletion_policy 等于 on_image_deletion,则镜像服务会删除对应的加密密钥。
红帽不推荐手动操作 cinder_encryption_key_id 或 cinder_encryption_key_deletion_policy 属性。如果您使用由 cinder_encryption_key_id 值标识的加密密钥用于任何其他目的,则可能会造成数据丢失。