8.2. 使用工作流服务轮转 Fernet 密钥

流程

1. 查看现有的 Fernet 密钥：

   1. 确定 Fernet 密钥位置。以 tripleo-admin 用户身份登录 Controller 节点，并使用 crudini 命令查询 Fernet 密钥：

      [stack@<undercloud_host> ~]$ ssh tripleo-admin@overcloud-controller-o
      [tripleo-admin@overcloud-controller-0 ~]$ sudo crudini --get /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf fernet_tokens key_repository
      /etc/keystone/fernet-keys

      注意

      /etc/keystone/ 目录引用容器文件系统路径。

   2. 检查当前的 Fernet 密钥目录：

      [tripleo-admin@overcloud-controller-0 ~]$ sudo ls /var/lib/config-data/puppet-generated/keystone/etc/keystone/fernet-keys
      0  1  2

      • 0 - 包括 staged 密钥，它会变为下一个主密钥，并始终为 0。
      • 1 - 包含辅助密钥。

      • 2 - 包含主密钥。每次密钥轮转时，这个数字都会递增。最高数字始终用作主密钥。

        注意
        • 使用 max_active_keys 属性设置最大键数。默认值为 5 密钥。
        • 密钥在所有 Controller 节点上传播。

2. 使用 workflow 命令轮转 Fernet 密钥：

   [stack@director ~]$ source ~/stackrc
   [stack@director ~]$ openstack workflow execution create tripleo.fernet_keys.v1.rotate_fernet_keys {"container": "overcloud"}
   --------------------------------------------------------------+
   | Field             | Value                                     |
   --------------------------------------------------------------+
   | ID                | 58c9c664-b966-4f82-b368-af5ed8de5b47      |
   | Workflow ID       | 78f0990a-3d34-4bf2-a127-10c149bb275c      |
   | Workflow name     | tripleo.fernet_keys.v1.rotate_fernet_keys |
   | Description       |                                           |
   | Task Execution ID | <none>                                    |
   | State             | RUNNING                                   |
   | State info        | None                                      |
   | Created at        | 2017-12-20 11:13:50                       |
   | Updated at        | 2017-12-20 11:13:50                       |
   --------------------------------------------------------------+

验证

1. 检索 ID，并确保工作流成功。

   [stack@director ~]$ openstack workflow execution show 58c9c664-b966-4f82-b368-af5ed8de5b47
   --------------------------------------------------------------+
   | Field             | Value                                     |
   --------------------------------------------------------------+
   | ID                | 58c9c664-b966-4f82-b368-af5ed8de5b47      |
   | Workflow ID       | 78f0990a-3d34-4bf2-a127-10c149bb275c      |
   | Workflow name     | tripleo.fernet_keys.v1.rotate_fernet_keys |
   | Description       |                                           |
   | Task Execution ID | <none>                                    |
   | State             | SUCCESS                                   |
   | State info        | None                                      |
   | Created at        | 2017-12-20 11:13:50                       |
   | Updated at        | 2017-12-20 11:15:00                       |
   --------------------------------------------------------------+

2. 在 Controller 节点上，检查 Fernet 密钥的数量，并与前面的结果进行比较。

   [tripleo-admin@overcloud-controller-0 ~]$ sudo ls /var/lib/config-data/puppet-generated/keystone/etc/keystone/fernet-keys
   0  1  2  3

   • 0 - 包括 staged 密钥，始终为 0。这个密钥在下次轮转过程中成为主密钥。
   • 1 和 2 - 包含辅助密钥。

   • 3 - 包含主密钥。每次密钥轮转时，这个数字会递增。最高数字始终用作主密钥。

     注意
     • 使用 max_active_keys 属性设置最大键数。默认值为 5 密钥。
     • 密钥在所有 Controller 节点上传播。