3.3. 为 memcached 服务配置身份验证
您可以配置 memcached 服务维护的缓存,以要求身份验证。身份验证通过限制对云的缓存数据的访问来提高云的安全性。默认情况下,不需要身份验证。
先决条件
-
在工作站上安装了
oc命令行工具。 -
以具有
cluster-admin权限的用户身份登录到可访问 RHOSO 控制平面的工作站。
您可以在 control plane 上为 memcached 服务设置身份验证模式。支持以下验证模式:
None- 不需要身份验证。客户端不需要服务器中的证书来继续连接。这个模式对性能的影响最低,但不提供任何安全性。这是默认的身份验证模式。
Request(请求)- 已尝试身份验证。客户端从服务器请求证书,但并不严格要求它继续连接。这个模式提供灵活的连接,但更安全。
require- 强制执行身份验证。客户端要求服务器提供有效且可验证的证书。如果服务器无法提供,或者客户端无法针对其可信证书颁发机构(CA)成功验证证书,连接会失败。这个模式以 brittle 连接成本提供强大的安全性。
流程
-
在工作站上打开
OpenStackControlPlane自定义资源(CR)文件openstack_control_plane.yaml。 使用所需的身份验证模式更新 memcached 服务:
以下示例配置默认的 memcached 集群(
memcached):spec: memcached: enabled: true templates: memcached: ... tls: mtls: sslVerifyMode: <authentication_mode>-
将
<authentication_mode> 替换为所需的身份验证模式,可以是Request或Require。
-
将
-
保存
openstack_control_plane.yaml。 更新 control plane:
$ oc apply -f openstack_control_plane.yaml -n openstack等待 RHOCP 创建与
OpenStackControlPlaneCR 相关的资源。运行以下命令来检查状态:$ oc get openstackcontrolplane -n openstack当状态为 "Setup complete" 时,会创建
OpenStackControlPlane资源。提示在
get命令的末尾附加 -w 选项以跟踪部署进度。