11.8. 签名镜像服务(glance)镜像

流程

1. 使用 openssl 命令创建密钥和证书：

   • 创建私钥：

     $ openssl genrsa -out private_key.pem 1024

     Copy to Clipboard Toggle word wrap

   • 创建公钥：

     $ openssl rsa -pubout -in private_key.pem -out public_key.pem

     Copy to Clipboard Toggle word wrap

   • 创建证书：

     $ openssl req -new -key private_key.pem -out cert_request.csr

     Copy to Clipboard Toggle word wrap

   • 提示时，请输入要包含在您的证书请求中的详情：

     $ openssl x509 -req -days 14 -in cert_request.csr -signkey private_key.pem -out new_cert.crt

     Copy to Clipboard Toggle word wrap

2. 将证书上传到 Key Manager 服务，该服务存储在 secret 存储中 ：

   $ openstack secret store --name test --algorithm RSA --secret-type certificate \
     --payload-content-type "application/octet-stream" \
     --payload-content-encoding base64 \
     --payload "$(base64 new_cert.crt)"

   Copy to Clipboard Toggle word wrap

   输出示例：

   +---------------+-----------------------------------------------------------------------+
   | Field         | Value                                                                 |
   +---------------+-----------------------------------------------------------------------+
   | Secret href   | http://127.0.0.1:9311/v1/secrets/cd7cc675-e573-419c-8fff-33a72734a243 |
   +---------------+-----------------------------------------------------------------------+

   Copy to Clipboard Toggle word wrap
   注意

   记录证书 UUID，以便在稍后的步骤中使用。在本例中，UUID 是 cd7cc675-e573-419c-8fff-33a72734a243。

3. 检索镜像并创建签名：

   • 检索镜像：

     $ echo <This is my image> > <myimage>

     Copy to Clipboard Toggle word wrap

   • 使用 private_key.pem 为镜像签名并生成 .signature 文件。例如：

     $ openssl dgst -sha512 -sign private_key.pem -sigopt rsa_padding_mode:pss -out myimage.signature myimage

     Copy to Clipboard Toggle word wrap

   • 将 .signature 文件转换为 Base64 格式：

     $ base64 -w 0 myimage.signature > myimage.signature.b64

     Copy to Clipboard Toggle word wrap

   • 将 Base64 值加载到上传镜像时使用的变量中：

     $ image_signature=$(cat myimage.signature.b64)

     Copy to Clipboard Toggle word wrap

4. 将具有有效签名属性的镜像上传到镜像服务：

   $ openstack image-create \
     --name <my_signed_image> \
     --container-format bare \
     --disk-format qcow2 \
     --property img_signature="$image_signature" \
     --property img_signature_certificate_uuid="$cert_uuid" \
     --property img_signature_hash_method='SHA-512' \
     --property img_signature_key_type='RSA-PSS' < myimage

   Copy to Clipboard Toggle word wrap