Encriptar um volume Block Storage com LUKS

Objetivo

Os volumes Block Storage OVHcloud podem ser encriptados em repouso através do LUKS. A chave de encriptação — designada chave de serviço, ou "Service Key" na Área de Cliente — é gerada e armazenada no OVHcloud Key Management Service (OKMS).

Por predefinição, esta chave de serviço é inteiramente gerada e gerida pela OVHcloud: basta encomendar um tipo de volume encriptado (-luks) e a OVHcloud trata do resto. Em alternativa, pode utilizar uma chave gerida pelo cliente (CMK, ou Customer-Managed Key): uma chave de serviço que o próprio cria e controla no seu domínio OKMS, incluindo a respetiva suspensão e eliminação.

Este manual explica primeiro o funcionamento da encriptação LUKS predefinida (gerida pela OVHcloud) e, em seguida, como passar para uma chave gerida pelo cliente (CMK).

Encriptação predefinida (chave gerida pela OVHcloud)

Para encriptar um volume Block Storage com a chave predefinida gerida pela OVHcloud, encomende a variante encriptada de qualquer tipo de volume (classic-luks, high-speed-luks, high-speed-gen2-luks), a partir da Área de Cliente ou com as ferramentas descritas no manual Criar e configurar um disco suplementar numa instância. A OVHcloud gera e gere automaticamente a chave de serviço no OKMS: não existe nenhum domínio OKMS a criar, nenhuma chave de serviço a gerir e nenhuma política IAM a configurar.

O restante deste manual aborda a alternativa da chave gerida pelo cliente (CMK).

Utilizar uma chave gerida pelo cliente (CMK)

A maioria das etapas abaixo está documentada de 2 formas:

• a partir da Área de Cliente OVHcloud, já disponível para as operações OKMS e IAM;
• através da API OVHcloud ou da CLI OpenStack, os únicos meios atualmente disponíveis para criar o próprio volume Block Storage encriptado. O suporte da criação de volumes com uma CMK a partir da Área de Cliente estará disponível em breve.

Requisitos

Estes requisitos dizem respeito exclusivamente ao mecanismo de chave gerida pelo cliente (CMK) descrito abaixo.

• Dispor de uma conta de cliente OVHcloud ativa com as permissões necessárias para gerir IAM, OKMS e Block Storage.
• Dispor de um acesso à API com credenciais válidas: um token Bearer (OAuth2 através de uma conta de serviço IAM) ou a autenticação clássica por chave de aplicação / assinatura. Consulte o manual Primeiros passos com as API OVHcloud.
• Opcionalmente, ter instalado e configurado a CLI OpenStack para a região de destino, como alternativa à API OVHcloud para criar o volume. Consulte o manual Preparar o ambiente para utilizar a API OpenStack.
• Dispor das permissões IAM adequadas para criar políticas e associá-las aos NIC OVHcloud, em especial a ação account:apiovh:iam/policy/create.

Acesso à Área de Cliente OVHcloud

Políticas:

• Ligação direta: Políticas
• Caminho de navegação: Identidade, Segurança e Operações > Políticas

Key Management Service:

• Ligação direta: Key Management Service
• Caminho de navegação: Identidade, Segurança e Operações > Key Management Service > Selecione o seu domínio OKMS

Instruções

Cada uma das etapas abaixo apresenta as interfaces disponíveis sob a forma de separadores: Área de Cliente OVHcloud, API OVHcloud ou CLI OpenStack.

Etapa 1: criar um domínio OKMS

Um domínio OKMS é um espaço de nomes lógico dentro do OKMS que contém as suas chaves de serviço. Cada domínio está associado a uma região específica.

Um domínio OKMS é encomendado como um serviço a partir da Área de Cliente OVHcloud; a API OVHcloud serve depois para obter o respetivo identificador.

Etapa 2: criar uma chave de serviço

Uma chave de serviço é uma chave criptográfica armazenada no seu domínio OKMS. O serviço Block Storage utiliza-a para gerar e proteger as chaves de encriptação de dados (DEK) que encriptam os seus volumes.

{
  "name": "cmk-luks-volumes",
  "type": "oct",
  "size": 256,
  "operations": ["encrypt", "decrypt", "wrapKey", "unwrapKey"]
}

Etapa 3: delegar o acesso através de uma política IAM

Para permitir que os serviços OpenStack da OVHcloud criem e utilizem volumes LUKS com a sua chave, deve conceder permissões IAM específicas ao NIC OVHcloud associado ao serviço Block Storage na sua região.

3.1 Identificar o NIC OVHcloud da sua região

Cada região OVHcloud dispõe de um NIC interno dedicado que o serviço Block Storage utiliza para interagir com o OKMS:

3.2 Criar a política IAM

{
  "name": "allow-blockstorage-cmk-luks",
  "description": "Allow the regional Block Storage NIC to use my Service Key for LUKS volumes",
  "identities": [
    "urn:v1:eu:identity:account:{blockStorageNic}"
  ],
  "resources": [
    { "urn": "{serviceKeyIamUrn}" }
  ],
  "permissions": {
    "allow": [
      { "action": "okms:apikms:serviceKey/dataKey/create" },
      { "action": "okms:apikms:serviceKey/dataKey/decrypt" }
    ]
  }
}

3.3 Ações a autorizar

Em Key Management Service (OKMS) / Service Keys, na categoria OPERATE:

Etapa 4: criar o volume LUKS

{
  "name": "my-encrypted-volume",
  "description": "CMK LUKS encrypted volume",
  "size": 50,
  "type": "high-speed-gen2-luks",
  "availabilityZone": "eu-west-par-a",
  "encryption": {
    "encrypted": true,
    "kms": {
      "domainId": "{okmsDomainId}",
      "serviceKeyId": "{serviceKeyId}"
    }
  }
}

openstack volume create \
  --size 50 \
  --availability-zone eu-west-par-a \
  --property okms_domain_id={okmsDomainId} \
  --property okms_servicekey_id={serviceKeyId} \
  --type high-speed-gen2-luks \
  my-encrypted-volume

Etapa 5: utilizar o volume

Depois de criado, um volume encriptado LUKS com CMK comporta-se como um volume Block Storage OVHcloud padrão: pode associá-lo e desassociá-lo da mesma forma. A eliminação do volume não elimina a sua chave de serviço.

Limitações

A conversão de um volume em imagem não é suportada nos volumes LUKS, quer a versão encriptada utilize uma CMK, quer utilize a chave predefinida gerida pela OVHcloud. Esta restrição aplica-se independentemente da ferramenta utilizada: Área de Cliente, API OVHcloud, CLI OpenStack ou Terraform.

Resumo

Quer saber mais?

Criar e configurar um disco suplementar numa instância

Migrating a Block Storage volume to an encrypted LUKS volume

Primeiros passos com OVHcloud Key Management Service (KMS)

Como utilizar as políticas IAM a partir do seu Espaço Cliente

Fale com a nossa comunidade de utilizadores.