2.2. 영구 볼륨 암호화를 위한 스토리지 클래스

1. OpenShift Container Platform 웹 콘솔에서 워크로드 → 시크릿 으로 이동합니다.
2. 생성 → 키/값 시크릿을 클릭합니다.
3. ceph-csi-kms-token 으로 시크릿 이름을 입력합니다.
4. 토큰으로 Key 를 입력합니다.

5. 값을 입력합니다.

   Vault의 토큰입니다. 찾아보기 를 클릭하여 토큰이 포함된 파일을 선택하고 업로드하거나 텍스트 상자에 토큰을 직접 입력할 수 있습니다.

6. 생성을 클릭합니다.

사전 요구 사항

1. 존재하지 않는 경우 KMIP 클라이언트를 생성합니다. 사용자 인터페이스에서 KMIP → 클라이언트 프로필 → 프로필 추가를 선택합니다.

   1. 프로필 생성 중에 CipherTrust 사용자 이름을 공통 이름 필드에 추가합니다.
2. KMIP → 등록 토큰 → 새 등록 토큰으로 이동하는 토큰 을 생성합니다. 다음 단계에 사용할 토큰을 복사합니다.
3. 클라이언트를 등록하려면 KMIP → Registered Clients → Add Client 로 이동합니다. 이름을 지정합니다. 이전 단계에서 등록 토큰 을 붙여넣은 다음 저장을 클릭합니다.
4. 개인 키 저장을 클릭하고 인증서 저장을 클릭하여 개인 키 및 클라이언트 인증서 를 다운로드합니다.

5. 새 KMIP 인터페이스를 생성하려면 관리자 설정 → 인터페이스 → 인터페이스 추가로 이동합니다.

   1. KMIP 키 관리 상호 운용성 프로토콜 을 선택하고 다음을 클릭합니다.
   2. 무료 포트 를 선택합니다.
   3. 네트워크 인터페이스를 모두 선택합니다.
   4. TLS로 인터페이스 모드를 선택하고 클라이언트 인증서에서 가져온 사용자 이름을 확인합니다. 인증 요청은 선택 사항입니다.
   5. (선택 사항) 키가 삭제될 때 메타 데이터 및 자료를 모두 삭제하도록 하드 삭제를 활성화할 수 있습니다. 기본적으로 비활성화되어 있습니다.
   6. 사용할 CA를 선택하고 저장을 클릭합니다.
6. 서버 CA 인증서를 가져오려면 새로 생성된 인터페이스 오른쪽에 있는 Action 메뉴 ( Cryostat) 를 클릭하고 인증서 다운로드를 클릭합니다.

프로세스

1. 스토리지 클래스 암호화를 위한 KEK(Key Encryption Key) 역할을 할 키를 생성하려면 다음 단계를 따르십시오.

   1. 키 → 키 추가로 이동합니다.
   2. 키 이름을 입력합니다.
   3. 알고리즘 및 크기를 각각 AES 및 256 으로 설정합니다.
   4. Pre-Active 상태에서 키 만들기 를 활성화하고 활성화 날짜 및 시간을 설정합니다.
   5. 키 사용량 에서 Encrypt 및 Decrypt 가 활성화되어 있는지 확인합니다.
   6. 배포 중에 고유 식별자로 사용할 새로 생성된 키의 ID를 복사합니다.

1. Openshift 클러스터에 다음 YAML을 적용합니다.

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: rbd-csi-vault-token-review
   ---
   kind: ClusterRole
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: rbd-csi-vault-token-review
   rules:
     - apiGroups: ["authentication.k8s.io"]
       resources: ["tokenreviews"]
       verbs: ["create", "get", "list"]
   
   ---
   kind: ClusterRoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: rbd-csi-vault-token-review
   subjects:
     - kind: ServiceAccount
       name: rbd-csi-vault-token-review
       namespace: openshift-storage
   roleRef:
     kind: ClusterRole
     name: rbd-csi-vault-token-review
     apiGroup: rbac.authorization.k8s.io

2. serviceaccount 토큰 및 CA 인증서에 대한 시크릿을 생성합니다.

   $ cat <<EOF | oc create -f -
   apiVersion: v1
   kind: Secret
   metadata:
     name: rbd-csi-vault-token-review-token
     namespace: openshift-storage
     annotations:
       kubernetes.io/service-account.name: "rbd-csi-vault-token-review"
   type: kubernetes.io/service-account-token
   data: {}
   EOF

3. 시크릿에서 토큰 및 CA 인증서를 가져옵니다.

   $ SA_JWT_TOKEN=$(oc -n openshift-storage get secret rbd-csi-vault-token-review-token -o jsonpath="{.data['token']}" | base64 --decode; echo)
   $ SA_CA_CRT=$(oc -n openshift-storage get secret rbd-csi-vault-token-review-token -o jsonpath="{.data['ca\.crt']}" | base64 --decode; echo)

4. OpenShift 클러스터 끝점을 검색합니다.

   $ OCP_HOST=$(oc config view --minify --flatten -o jsonpath="{.clusters[0].cluster.server}")

5. 이전 단계에서 수집한 정보를 사용하여 다음과 같이 Vault에서 kubernetes 인증 방법을 설정합니다.

   $ vault auth enable kubernetes
   $ vault write auth/kubernetes/config \
             token_reviewer_jwt="$SA_JWT_TOKEN" \
             kubernetes_host="$OCP_HOST" \
             kubernetes_ca_cert="$SA_CA_CRT"

6. 테넌트 네임스페이스에 대한 Vault에서 역할을 생성합니다.

   $ vault write "auth/kubernetes/role/csi-kubernetes" bound_service_account_names="ceph-csi-vault-sa" bound_service_account_namespaces=<tenant_namespace> policies=<policy_name_in_vault>

   CSI-kubernetes 는 OpenShift Data Foundation이 Vault에서 찾는 기본 역할 이름입니다. OpenShift Data Foundation 클러스터의 테넌트 네임스페이스의 기본 서비스 계정 이름은 ceph-csi-vault-sa 입니다. 이러한 기본값은 테넌트 네임스페이스에 ConfigMap을 생성하여 덮어쓸 수 있습니다.

   기본 이름을 재정의하는 방법에 대한 자세한 내용은 테넌트 ConfigMap을 사용하여 Vault 연결 세부 정보 덮어쓰기 를 참조하십시오.

프로세스

1. 테넌트 네임스페이스에 있는지 확인합니다.
2. 워크로드 → ConfigMap 을 클릭합니다.
3. Create ConfigMap 을 클릭합니다.

4. 다음은 샘플 yaml입니다. 다음과 같이 지정된 테넌트 네임스페이스에 대해 초과할 값을 data 섹션에서 지정할 수 있습니다.

   ---
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: ceph-csi-kms-config
   data:
     vaultAddress: "<vault_address:port>"
     vaultBackendPath: "<backend_path>"
     vaultTLSServerName: "<vault_tls_server_name>"
     vaultNamespace: "<vault_namespace>"

5. yaml을 편집한 후 생성 을 클릭합니다.