8.5. 将 Keylime 注册器配置为容器

流程

1. 可选：安装 keylime-registrar 软件包，以访问配置文件。您可以配置没有此软件包的容器，但这可能更容易修改软件包提供的配置文件。

   # dnf install keylime-registrar

2. 通过在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件，来将注册器绑定到所有可用的 IP 地址，例如 /etc/keylime/registrar.conf.d/00-registrar-ip.conf，其内容如下：

   [registrar]
   ip = *

   • 可选，使用 port 选项更改 Keylime 代理连接的端口。默认值为 8890。
   • 可选，使用 tls_port 选项更改 Keylime 租户连接的 TLS 端口。默认值为 8891。

3. 可选：为代理列表配置注册数据库。默认配置使用 registrar 的 /var/lib/keylime/reg_data.sqlite 目录中的 SQLite 数据库。您可以在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/registrar.conf.d/00-db-url.conf，其内容如下：

   [registrar]
   database_url = <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties>

   将 <protocol>://<name>:<password>@<ip_address_or_hostname>/<properties> 替换为数据库的 URL，如 postgresql://registrar:EKYX-bqY2?#raXm@198.51.100.1/registrardb。

   确保您使用的凭证对 Keylime 有权限，以创建数据库结构。

4. 在注册器中添加证书和密钥：

   • 您可以使用默认配置，并将密钥和证书加载到 /var/lib/keylime/reg_ca/ 目录中。

   • 或者，您可以在配置中定义密钥和证书的位置。在 /etc/keylime/registrar.conf.d/ 目录中创建一个新的 .conf 文件，例如： /etc/keylime/registrar.conf.d/00-keys-and-certs.conf，其内容如下：

     [registrar]
     tls_dir = /var/lib/keylime/reg_ca
     server_key = </path/to/server_key>
     server_cert = </path/to/server_cert>
     trusted_client_ca = ['</path/to/ca/cert1>', '</path/to/ca/cert2>']

     注意

     使用绝对路径定义密钥和证书位置。或者，您可以在 tls_dir 选项中定义目录，并使用相对于该目录的路径。

5. 在防火墙中打开端口：

   # firewall-cmd --add-port 8890/tcp --add-port 8891/tcp
   # firewall-cmd --runtime-to-permanent

   如果您使用其他端口，请将 8890 或 8891 替换为 .conf 文件中定义的端口号。

6. 运行容器：

   $ podman run --name keylime-registrar \
     -p 8890:8890 \
     -p 8891:8891 \
     -v /etc/keylime/registrar.conf.d:/etc/keylime/registrar.conf.d:Z \
     -v /var/lib/keylime/reg_ca:/var/lib/keylime/reg_ca:Z \
     -d \
     -e KEYLIME_REGISTRAR_SERVER_KEY_PASSWORD=<passphrase1> \
     registry.access.redhat.com/rhel9/keylime-registrar

   • -p 选项打开主机和容器上的默认端口 8890 和 8881。

   • -v 选项为目录创建到容器的绑定挂载。

     • 使用 Z 选项，Podman 使用私有未共享标签标记内容。这意味着只有当前容器可以使用私有卷。
   • -d 选项在后台运行分离的容器。
   • 选项 -e KEYLIME_VERIFIER_SERVER_KEY_PASSWORD=<passphrase1> 定义服务器密钥密码短语。
   • 您可以使用选项 -e KEYLIME_REGISTRAR_<ENVIRONMENT_VARIABLE>=<value> ，使用环境变量覆盖配置选项。要修改附加选项，请为每个环境变量单独插入 -e 选项。有关环境变量及其默认值的完整列表，请参阅 第 8.12 节 “Keylime 环境变量”。