10.16. 使用 RHEL 系统角色配置 NBDE

步骤

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Deploy a Tang server
   - hosts: tang.server.example.com
   - tasks:
     - name: Install and configure periodic key rotation
       ansible.builtin.include_role:
           name: rhel-system-roles.nbde_server
       vars:
         nbde_server_rotate_keys: yes
         nbde_server_manage_firewall: true
         nbde_server_manage_selinux: true

   此 playbook 示例确保部署 Tang 服务器和密钥轮转。

   示例 playbook 中指定的设置包括以下内容：

   nbde_server_manage_firewall: true

   使用 firewall 系统角色管理 nbde_server 角色使用的端口。

   nbde_server_manage_selinux: true

   使用 selinux 系统角色管理 nbde_server 角色使用的端口。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.nbde_server/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

步骤

1. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   ---
   - name: Configure clients for unlocking of encrypted volumes by Tang servers
     hosts: managed-node-01.example.com
     tasks:
       - name: Create NBDE client bindings
         ansible.builtin.include_role:
           name: rhel-system-roles.nbde_client
         vars:
           nbde_client_bindings:
             - device: /dev/rhel/root
               encryption_key_src: /etc/luks/keyfile
               nbde_client_early_boot: true
               state: present
               servers:
                 - http://server1.example.com
                 - http://server2.example.com
             - device: /dev/rhel/swap
               encryption_key_src: /etc/luks/keyfile
               servers:
                 - http://server1.example.com
                 - http://server2.example.com

   这个示例 playbook 配置 Clevis 客户端，以便在两个 Tang 服务器中至少有一个可用时自动解锁两个 LUKS 加密卷。

   示例 playbook 中指定的设置包括以下内容：

   state: present

   state 的值表示运行 playbook 后的配置。使用 present 值来创建新绑定或更新现有绑定。与 clevis luks bind 命令不同，您可以使用 state: present 来覆盖其设备插槽中的现有绑定。absent 的值会删除指定的绑定。

   nbde_client_early_boot: true

   nbde_client 角色可确保 Tang pin 的网络默认在早期引导时可用。如果您需要禁用此功能，请在 playbook 中添加 nbde_client_early_boot: false 变量。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.nbde_client/README.md 文件。

2. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

3. 运行 playbook：

   $ ansible-playbook ~/playbook.yml

验证

1. 在 NBDE 客户端中，检查您的 Tang 服务器是否应自动解锁的加密卷，其中包含其 LUKS pin 中对应的信息：

   # ansible managed-node-01.example.com -m command -a 'clevis luks list -d /dev/rhel/root'
   1: tang '{"url":"<http://server1.example.com/>"}'
   2: tang '{"url":"<http://server2.example.com/>"}'

2. 如果不使用 nbde_client_early_boot: false 变量，请验证绑定可用于早期引导，例如：

   # ansible managed-node-01.example.com -m command -a 'lsinitrd | grep clevis-luks'
   lrwxrwxrwx   1 root     root           48 Jan  4 02:56 etc/systemd/system/cryptsetup.target.wants/clevis-luks-askpass.path -> /usr/lib/systemd/system/clevis-luks-askpass.path
   …

步骤

1. 使用主机的网络设置创建文件，如 static-ip-settings-clients.yml，并添加您要动态分配给主机的值：

   clients:
     managed-node-01.example.com:
       ip_v4: 192.0.2.1
       gateway_v4: 192.0.2.254
       netmask_v4: 255.255.255.0
       interface: enp1s0
     managed-node-02.example.com:
       ip_v4: 192.0.2.2
       gateway_v4: 192.0.2.254
       netmask_v4: 255.255.255.0
       interface: enp1s0

2. 创建一个包含以下内容的 playbook 文件，如 ~/playbook.yml ：

   - name: Configure clients for unlocking of encrypted volumes by Tang servers
     hosts: managed-node-01.example.com,managed-node-02.example.com
     vars_files:
       - ~/static-ip-settings-clients.yml
     tasks:
       - name: Create NBDE client bindings
         ansible.builtin.include_role:
           name: rhel-system-roles.network
         vars:
           nbde_client_bindings:
             - device: /dev/rhel/root
               encryption_key_src: /etc/luks/keyfile
               servers:
                 - http://server1.example.com
                 - http://server2.example.com
             - device: /dev/rhel/swap
               encryption_key_src: /etc/luks/keyfile
               servers:
                 - http://server1.example.com
                 - http://server2.example.com
   
       - name: Configure a Clevis client with static IP address during early boot
         ansible.builtin.include_role:
           name: rhel-system-roles.bootloader
         vars:
           bootloader_settings:
             - kernel: ALL
               options:
                 - name: ip
                   value: "{{ clients[inventory_hostname]['ip_v4'] }}::{{ clients[inventory_hostname]['gateway_v4'] }}:{{ clients[inventory_hostname]['netmask_v4'] }}::{{ clients[inventory_hostname]['interface'] }}:none"

   此 playbook 为 ~/static-ip-settings-clients.yml 文件中列出的每个主机动态读取某些值。

   有关 playbook 中使用的所有变量的详情，请查看控制节点上的 /usr/share/ansible/roles/rhel-system-roles.network/README.md 文件。

3. 验证 playbook 语法：

   $ ansible-playbook --syntax-check ~/playbook.yml

   请注意，这个命令只验证语法，不会防止错误但有效的配置。

4. 运行 playbook：

   $ ansible-playbook ~/playbook.yml