2.2. 安全区
安全区由用户在系统中共享共同信任要求的用户、应用程序、服务器或网络组成。通常，它们共享相同的身份验证和授权要求和用户。虽然您可以进一步重新定义这些区域定义，但本指南指的是四个不同的安全区，其中 3 个形成部署安全强化的 Red Hat Ceph Storage 集群所需的最小级别。这些安全区被列为从至少被信任到最受信任：
-
公共安全区：公共安全区是云基础架构的一个完全不受信任的区域。它可以将互联网指代为整个或只是 Red Hat OpenStack 部署外部的网络。遍历此区域的任何具有保密性或完整性要求的数据都应使用成组控制（如加密）加以保护。不应将公共安全区与 Ceph Storage 集群前端或客户端网络混淆，该网络在 RHCS 中称为
public_network，通常 不属于 公共安全区或 Ceph 客户端安全区的一部分。 -
Ceph Client Security Zone： 通过 RHCS，Ceph 客户端安全区域指的是访问 Ceph 客户端的网络，如 Ceph 对象网关、Ceph 块设备、Ceph 文件系统或
librados。Ceph 客户端安全区通常位于防火墙后，将其与公共安全区分离。但是，Ceph 客户端并不总是受到公共安全区的保护。可以在公共安全区域中公开 Ceph 对象网关的 S3 和 Swift API。 -
Storage Access Security Zone： 存储访问安全区指的是为 Ceph 客户端提供 Ceph Storage 集群访问权限的内部网络。在这里，我们使用"存储访问安全区（storage access security zone）"，以便与 OpenStack 平台安全性和强化指南中使用的术语一致。存储访问安全区包括 Ceph Storage 集群的前端或客户端网络，它们被称为 RHCS 中的
public_network。 -
Ceph 集群安全性区域： Ceph 集群安全区指的是内部网络，为 Ceph 存储集群的 OSD 守护进程提供复制、心跳、回填和恢复的网络通信。Ceph 集群安全区包含 Ceph Storage 集群的后端网络，该网络在 RHCS 中称为
cluster_network。
这些安全区可以单独映射，或者合并以代表给定 RHCS 部署中的大多数可能信任的区域。安全区应根据您的特定 RHCS 部署拓扑进行映射。区域及其信任要求会因 Red Hat Ceph Storage 在独立容量中运行，或为公共、私有或混合云提供。
有关这些安全区的可视化表示，请参阅安全优化架构。
其它资源
- 如需了解更多详细信息，请参阅 Red Hat Ceph Storage Data Security and Hardenng 指南中的网络通讯部分。
