6.4. 为 Luna HSM 配置密钥管理器服务

流程

1. 配置 OpenStackControlPlane CR：

   1. 可选：如果您保存了使用 RHOSO Key Manager simple_crypto 的 secret，请通过启用多个后端使这些 secret 保持可用：

      …
      spec:
        barbican:
          apiOverride:
            route: {}
          enabled: true
          template:
            globalDefaultSecretStore: pkcs11
            enabledSecretStores:
              - pkcs11
              - simple_crypto

   2. 配置 Key Manager 服务以用于 Luna HSM：

      spec:
        barbican:
          apiOverride:
            route: {}
          enabled: true
          template:
            globalDefaultSecretStore: pkcs11
            enabledSecretStores:
              - pkcs11
              - simple_crypto
            apiTimeout: 90
            barbicanAPI:
              apiTimeout: 0
              customServiceConfig: |
                [secretstore:pkcs11]
                secret_store_plugin = store_crypto
                crypto_plugin = p11_crypto
                [p11_crypto_plugin]
                plugin_name = PKCS11
                library_path = /usr/local/luna/lib/libCryptoki2.so
                token_serial_number = <serial_number> 

      1

      
                mkek_label = <mkek_label> 

      2

      
                hmac_label = <hmac_label> 

      3

      
                encryption_mechanism = CKM_AES_GCM
                aes_gcm_generate_iv = true
                hmac_key_type = CKK_GENERIC_SECRET
                hmac_keygen_mechanism = CKM_GENERIC_SECRET_KEY_GEN
                hmac_keywrap_mechanism = CKM_AES_KEY_WRAP_KWP
                key_wrap_mechanism = true
                key_wrap_generate_iv = true
                always_set_cka_sensitive = true
                os_locking_ok = false
              pkcs11:
                loginSecret: "login_secret"
                clientDataSecret: "luna_data_secret"
                clientDataPath: /usr/local/luna/config

      1

      将 <serial_number > 替换为 HSM 的令牌序列号。如果使用 HA，您必须将 < serial_number&gt; 替换为虚拟令牌序列号。如需更多信息 ，请参阅为密钥管理器服务创建 secret。

      2

      将 <mkek_label > 替换为用户定义的标签。如果您已经定义了此标签，则必须使用相同的标签。

      3

      将 <hmac_label > 替换为用户定义的标签。如果您已经设置了此设置，则必须使用相同的标签。

      注意

      使用以下选项之一来标识您可以使用的 HSM。这些选项是相互排斥的，其优先级顺序如下：

      Expand

      参数	value	优先级
      token_serial_number	<serial_number>	1 - 最高
      token_labels	以逗号分隔的列表	2 - 中
      slot-id	<slot_id>	3 - 最低

      Show more

2. 部署 OpenStackControlPlane CR：

   $ oc apply -f openstack_control_plane.yaml