2.12. HashiCorp Vault

手順

1. Ceph 設定ファイル (デフォルトでは /etc/ceph/ceph.conf) を編集するためにを開き、Vault を暗号化キーストアとして有効にします。

   rgw_crypt_s3_kms_backend = vault

2. [client.radosgw.INSTANCE_NAME] セクションで、Token または Vault エージェントのいずれかの Vault 認証メソッドを選択します。

   1. Token を使用している場合は、以下の行を追加します。

      rgw_crypt_vault_auth = token
      rgw_crypt_vault_token_file = /etc/ceph/vault.token
      rgw_crypt_vault_addr = http://VAULT_SERVER:8200

   2. Vault エージェント を使用している場合は、以下の行を追加します。

      rgw_crypt_vault_auth = agent
      rgw_crypt_vault_addr = http://VAULT_SERVER:8100

3. [client.radosgw.INSTANCE_NAME] セクションで、Key/Value または Transit のいずれかの Vault シークレットエンジンを選択します。

   1. Key/Value を使用している場合は、以下の行を追加します。

      rgw_crypt_vault_secret_engine = kv

   2. Transit を使用している場合は、以下の行を追加します。

      rgw_crypt_vault_secret_engine = transit

4. 必要に応じて、[client.radosgw.INSTANCE_NAME] セクションで、暗号化キーを取得する Vault 名前空間を設定できます。

   rgw_crypt_vault_namespace = NAME_OF_THE_NAMESPACE

5. パス接頭辞を設定し、Ceph Object Gateway が Vault から暗号化キーを取得する場所を制限します。

   例

   rgw_crypt_vault_prefix = /v1/secret/data

   1. エクスポート可能な Transit キーの場合、以下のように接頭辞パスを設定します。

      rgw_crypt_vault_prefix = /v1/transit/export/encryption-key

      Vault サーバーのドメイン名が vault-server である場合は、Ceph Object Gateway は以下の URL から暗号化されたトランジションキーを取得します。

      例

      http://vault-server:8200/v1/transit/export/encryption-key

6. 変更を Ceph 設定ファイルに保存します。

手順

1. キー/値 バージョン 2 シークレットエンジンを有効にします。

   [root@vault ~]# vault secrets enable kv-v2

2. 新しいキーを作成します。

   構文

   vault kv put secret/PROJECT_NAME/BUCKET_NAME key=$(openssl rand -base64 32)

   例

   [root@vault ~]# vault kv put secret/myproject/mybucketkey key=$(openssl rand -base64 32)
   
   ====== Metadata ======
   Key              Value
   ---              -----
   created_time     2020-02-21T17:01:09.095824999Z
   deletion_time    n/a
   destroyed        false
   version          1

手順

1. Transit シークレットエンジンを有効にします。

   [root@vault ~]# vault secrets enable transit

2. 新しいエクスポート可能なキーを作成します。

   構文

   vault write -f transit/keys/BUCKET_NAME exportable=true

   例

   [root@vault ~]# vault write -f transit/keys/mybucketkey exportable=true

   注記

   デフォルトでは、上記のコマンドは aes256-gcm96 タイプキーを作成します。

3. キーの作成を確認します。

   構文

   vault read transit/export/encryption-key/BUCKET_NAME/VERSION_NUMBER

   例

   [root@vault ~]# vault read transit/export/encryption-key/mybucketkey/1
   
   Key     Value
   ---     -----
   keys    map[1:-gbTI9lNpqv/V/2lDcmH2Nq1xKn6FPDWarCmFM2aNsQ=]
   name    mybucketkey
   type    aes256-gcm96

   注記

   キーバージョンを含む完全なキーパスを指定する必要があります。

手順

1. AWS コマンドラインクライアントを使用して、オブジェクトをアップロードします。

   例

   [user@client ~]$ aws --endpoint=http://radosgw:8000 s3 cp plaintext.txt s3://mybucket/encrypted.txt --sse=aws:kms --sse-kms-key-id myproject/mybucketkey

   注記

   例で使用するキーフェッチ URL は http://vault-server:8200/v1/secret/data/myproject/mybucketkey です。