10.4. 信任的计算池
信任的计算池就是基于 Intel Trusted Execution Technology（Intel TXT）的安全集群。信任的集群只允许被 Intel 的 OpenAttestation 验证过的主机（使用一个 White List 数据库来验证主机硬件和软件是否可以信任）。信任的主机和虚拟机可以被用来运行那些需要高安全性的任务。如需了解更多相关信息，请参阅 https://software.intel.com/en-us/articles/intel-trusted-execution-technology-intel-txt-enabling-guide。
创建信任的计算池包括以下几个步骤：
如需了解更多与安装 OpenAttestation 服务器、在主机上安装 OpenAttestation 代理以及创建 White List 数据库的信息，请参阅 https://github.com/OpenAttestation/OpenAttestation/wiki。
- 配置 Manager 来与 OpenAttestation 服务器进行通讯。
- 创建一个只运行信任主机的信任集群。
- 把信任的主机添加到信任集群中。主机需要运行 OpenAttestation 代理，并被 OpenAttestation 服务器验证为可信任的主机。
10.4.1. 连接 OpenAttestation 服务器到 Manager
在可以创建信任的集群前，Red Hat Virtualization Manager 需要被配置为可以识别 OpenAttestation 服务器。使用
engine-config 添加 OpenAttestation 服务器的 FQDN 或 IP 地址：
# engine-config -s AttestationServer=attestationserver.example.com
如果需要，以下设置也可以被修改：
|
选项
|
默认值
|
描述
|
|---|---|---|
|
AttestationServer
|
oat-server
|
OpenAttestation 服务器的 FQDN 或 IP 地址。只有设置这个选项，Manager 才可以和 OpenAttestation 服务器进行通讯。
|
|
AttestationPort
|
8443
|
OpenAttestation 服务器和 Manager 进行通讯所使用的端口。
|
|
AttestationTruststore
|
TrustStore.jks
|
用来和 OpenAttestation 服务器进行安全通信的 trust store。
|
|
AttestationTruststorePass
|
password
|
访问 trust store 使用的密码。
|
|
AttestationFirstStageSize
|
10
|
用于快速初始化。我们不推荐在没有适当原因的情况下修改这个值。
|
|
SecureConnectionWithOATServers
|
true
|
启用或禁用和 OpenAttestation 服务器进行安全通讯。
|
|
PollUri
|
AttestationService/resources/PollHosts
|
访问 OpenAttestation 服务所使用的 URI。
|
10.4.2. 创建一个信任的集群
信任的集群会和 OpenAttestation 服务器进行通讯来评估主机的安全性。当一个主机被添加到信任的组后，OpenAttestation 服务器会根据一个 White List 数据库来评估这个主机的硬件和软件。虚拟机可以在信任的集群中的信任的主机间进行迁移来实现高可用性功能。
过程 10.9. 创建一个信任的集群
- 选集群标签页。
- 点。
- 为集群输入名称。
- 选中编辑 Virt 服务。
- 在调度策略项中选启用信任的服务选项。
- 点。
10.4.3. 添加一个信任的主机
Red Hat Enterprise Linux 主机可以被添加到信任的集群中，它由 OpenAttestation 服务器的 White List 数据库控制。主机需要满足以下条件才可以被 OpenAttestation 服务器信任：
- 在 BIOS 中启用 Intel TXT。
- 安装并运行 OpenAttestation 代理。
- 在主机上运行的软件与 OpenAttestation 服务器的 White List 数据库相匹配。
过程 10.10. 添加一个信任的主机
- 选择主机标签页。
- 点。
- 从主机集群下拉列表中选一个信任的集群。
- 为主机输入名称。
- 输入主机的地址。
- 输入主机的 root 密码。
- 点。
当主机被加入到信任的集群后，OpenAttestation 服务器就可以对它进行评估。如果主机不被 OpenAttestation 服务器信任，它会成为
Non Operational 状态，并应该从信任的集群中删除。
