Szyfrowanie wolumenu Block Storage za pomocą LUKS

Wprowadzenie

Wolumeny Block Storage OVHcloud mogą być szyfrowane w spoczynku za pomocą LUKS. Klucz szyfrowania — nazywany kluczem serwisowym — jest generowany i przechowywany w OVHcloud Key Management Service (OKMS).

Domyślnie ten klucz serwisowy jest w całości generowany i zarządzany przez OVHcloud: wystarczy zamówić zaszyfrowany typ wolumenu (-luks), a OVHcloud zajmie się resztą. Opcjonalnie możesz zamiast tego użyć klucza zarządzanego przez klienta (CMK, Customer-Managed Key): klucza serwisowego, który tworzysz i kontrolujesz samodzielnie we własnej domenie OKMS, łącznie z jego zawieszeniem i usunięciem.

Ten przewodnik najpierw przypomina, jak działa domyślne szyfrowanie LUKS (zarządzane przez OVHcloud), a następnie wyjaśnia, jak przejść na klucz zarządzany przez klienta (CMK).

Szyfrowanie domyślne (klucz zarządzany przez OVHcloud)

Aby zaszyfrować wolumen Block Storage domyślnym kluczem zarządzanym przez OVHcloud, zamów zaszyfrowany wariant dowolnego typu wolumenu (classic-luks, high-speed-luks, high-speed-gen2-luks) — z poziomu Panelu klienta lub za pomocą narzędzi opisanych w przewodniku Zarządzanie wolumenem instancji Public Cloud. OVHcloud automatycznie generuje klucz serwisowy w OKMS i nim zarządza: nie trzeba tworzyć domeny OKMS, zarządzać kluczem serwisowym ani konfigurować polityki IAM.

Dalsza część tego przewodnika dotyczy alternatywy w postaci klucza zarządzanego przez klienta (CMK).

Korzystanie z klucza zarządzanego przez klienta (CMK)

Większość poniższych etapów została udokumentowana na 2 sposoby:

• z poziomu Panelu klienta OVHcloud, dostępnego już dziś dla operacji OKMS i IAM;
• za pomocą API OVHcloud lub CLI OpenStack, jedynych obecnie dostępnych sposobów utworzenia samego zaszyfrowanego wolumenu Block Storage. Obsługa tworzenia wolumenu z kluczem CMK w Panelu klienta będzie wkrótce dostępna.

Wymagania początkowe

Te wymagania dotyczą wyłącznie opisanego poniżej mechanizmu klucza zarządzanego przez klienta (CMK).

• Posiadanie aktywnego konta klienta OVHcloud z uprawnieniami wystarczającymi do zarządzania IAM, OKMS i Block Storage.
• Posiadanie dostępu do API z prawidłowymi danymi uwierzytelniającymi — tokenem Bearer (OAuth2 przez konto serwisowe IAM) lub klasycznym uwierzytelnianiem za pomocą klucza aplikacji / podpisu. Zapoznaj się z przewodnikiem Pierwsze kroki z API OVHcloud.
• Opcjonalnie zainstalowanie i skonfigurowanie CLI OpenStack dla docelowego regionu, jako alternatywy dla API OVHcloud przy tworzeniu wolumenu. Zapoznaj się z przewodnikiem Przygotowanie środowiska do korzystania z API OpenStack.
• Posiadanie odpowiednich uprawnień IAM do tworzenia polityk i przypisywania ich do identyfikatorów NIC OVHcloud — w szczególności akcji account:apiovh:iam/policy/create.

Dostęp do Panelu klienta OVHcloud

Polityki:

• Link bezpośredni: Polityki
• Ścieżka nawigacji: Tożsamość, bezpieczeństwo i operacje > Polityki

Key Management Service:

• Link bezpośredni: Key Management Service
• Ścieżka nawigacji: Tożsamość, bezpieczeństwo i operacje > Key Management Service > Wybierz domenę OKMS

W praktyce

Każdy z poniższych etapów przedstawia dostępne interfejsy w formie zakładek: Panel klienta OVHcloud, API OVHcloud lub CLI OpenStack.

Etap 1: utwórz domenę OKMS

Domena OKMS to logiczna przestrzeń nazw wewnątrz OKMS, która zawiera Twoje klucze serwisowe. Każda domena jest powiązana z konkretnym regionem.

Domenę OKMS zamawia się jako usługę w Panelu klienta OVHcloud; API OVHcloud służy następnie do pobrania jej identyfikatora.

Etap 2: utwórz klucz serwisowy

Klucz serwisowy to klucz kryptograficzny przechowywany w Twojej domenie OKMS. Usługa Block Storage używa go do generowania i ochrony kluczy szyfrowania danych (DEK), które szyfrują Twoje wolumeny.

{
  "name": "cmk-luks-volumes",
  "type": "oct",
  "size": 256,
  "operations": ["encrypt", "decrypt", "wrapKey", "unwrapKey"]
}

Etap 3: deleguj dostęp za pomocą polityki IAM

Aby umożliwić usługom OpenStack OVHcloud tworzenie i używanie wolumenów LUKS z Twoim kluczem, musisz przyznać określone uprawnienia IAM identyfikatorowi NIC OVHcloud powiązanemu z usługą Block Storage w Twoim regionie.

3.1 Zidentyfikuj identyfikator NIC OVHcloud swojego regionu

Każdy region OVHcloud dysponuje dedykowanym wewnętrznym identyfikatorem NIC, którego usługa Block Storage używa do komunikacji z OKMS:

3.2 Utwórz politykę IAM

{
  "name": "allow-blockstorage-cmk-luks",
  "description": "Allow the regional Block Storage NIC to use my Service Key for LUKS volumes",
  "identities": [
    "urn:v1:eu:identity:account:{blockStorageNic}"
  ],
  "resources": [
    { "urn": "{serviceKeyIamUrn}" }
  ],
  "permissions": {
    "allow": [
      { "action": "okms:apikms:serviceKey/dataKey/create" },
      { "action": "okms:apikms:serviceKey/dataKey/decrypt" }
    ]
  }
}

3.3 Akcje do autoryzacji

W sekcji Key Management Service (OKMS) / Service Keys, w kategorii OPERATE:

Etap 4: utwórz wolumen LUKS

{
  "name": "my-encrypted-volume",
  "description": "CMK LUKS encrypted volume",
  "size": 50,
  "type": "high-speed-gen2-luks",
  "availabilityZone": "eu-west-par-a",
  "encryption": {
    "encrypted": true,
    "kms": {
      "domainId": "{okmsDomainId}",
      "serviceKeyId": "{serviceKeyId}"
    }
  }
}

openstack volume create \
  --size 50 \
  --availability-zone eu-west-par-a \
  --property okms_domain_id={okmsDomainId} \
  --property okms_servicekey_id={serviceKeyId} \
  --type high-speed-gen2-luks \
  my-encrypted-volume

Etap 5: korzystaj z wolumenu

Po utworzeniu wolumen zaszyfrowany LUKS z kluczem CMK zachowuje się jak standardowy wolumen Block Storage OVHcloud: przypisujesz go i odłączasz w ten sam sposób. Usunięcie wolumenu nie powoduje usunięcia Twojego klucza serwisowego.

Ograniczenia

Konwersja wolumenu na obraz nie jest obsługiwana w przypadku wolumenów LUKS, niezależnie od tego, czy wersja zaszyfrowana używa klucza CMK, czy domyślnego klucza zarządzanego przez OVHcloud. To ograniczenie obowiązuje niezależnie od użytego narzędzia — Panelu klienta, API OVHcloud, CLI OpenStack czy Terraform.

Podsumowanie

Sprawdź również

Zarządzanie wolumenem instancji Public Cloud

Migrating a Block Storage volume to an encrypted LUKS volume

Pierwsze kroki z OVHcloud Key Management Service (KMS)

Jak korzystać z polityki IAM w Panelu klienta

Dołącz do grona naszych użytkowników.