Sichern von Diensten mit SSL-Zertifikaten¶

Das OpenStack Security Guide empfiehlt die sichere Kommunikation zwischen verschiedenen Diensten in einer OpenStack-Bereitstellung. Das OpenStack-Ansible-Projekt bietet derzeit die Möglichkeit, SSL-Zertifikate für die sichere Kommunikation zwischen Diensten zu konfigurieren:

Alle öffentlichen Endpoints befinden sich hinter haproxy, was zur Folge hat, dass die einzige Umgebung, die die meisten Umgebungen benötigen, die Zertifikate für haproxy sind.

Bei der Bereitstellung mit OpenStack-Ansible können Sie entweder selbst signierte Zertifikate verwenden, die während des Bereitstellungsprozesses generiert werden, oder SSL-Zertifikate, Schlüssel und CA-Zertifikate von Ihrer eigenen vertrauenswürdigen Zertifizierungsstelle bereitstellen. In stark gesicherten Umgebungen werden vertrauenswürdige, vom Benutzer bereitgestellte Zertifikate für so viele Dienste wie möglich verwendet.

Bemerkung

Führen Sie die Konfiguration des SSL-Zertifikats in der Datei `` / etc / openstack_deploy / user_variables.yml`` durch. Bearbeiten Sie die Playbooks oder Rollen nicht selbst.

Selbstsignierte Zertifikate¶

Mit selbstsignierten Zertifikaten können Sie Daten schnell starten und verschlüsseln. Sie bieten jedoch kein hohes Maß an Vertrauen für hochsichere Umgebungen. Standardmäßig werden selbstsignierte Zertifikate in OpenStack-Ansible verwendet. Wenn selbstsignierte Zertifikate verwendet werden, wird die Zertifikatsprüfung automatisch deaktiviert.

Subjektdaten für selbstsignierte Zertifikate einstellen¶

Ändern Sie die Betreffdaten jedes selbstsignierten Zertifikats mithilfe von Konfigurationsvariablen. Die Konfigurationsvariable für jeden Dienst ist als `` formatiert <servicename> _ssl_self_signed_subject``. Um beispielsweise die Betreffdaten des SSL-Zertifikats für HAProxy zu ändern, passen Sie die Datei "/ etc / openstack_deploy / user_variables.yml" wie folgt an:

haproxy_ssl_self_signed_subject: "/C=US/ST=Texas/L=San Antonio/O=IT/CN=haproxy.example.com"

Weitere Informationen zu den verfügbaren Feldern im Zertifikatsbetreff finden Sie in der OpenSSL-Dokumentation für den Unterbefehl req.

Generieren und Regenerieren von selbstsignierten Zertifikaten¶

Während der ersten Ausführung des Playbooks werden für jeden Dienst selbstsignierte Zertifikate generiert.

Um ein neues selbstsigniertes Zertifikat für einen Service zu generieren, müssen Sie das `` 'festlegen <servicename> _ssl_self_signed_regen`` Variable auf eine der folgenden Weisen auf true:

Um zu erzwingen, dass ein selbstsigniertes Zertifikat neu generiert wird, können Sie die Variable in der Befehlszeile an "openstack-ansible" übergeben:
```
# openstack-ansible -e "horizon_ssl_self_signed_regen=true" os-horizon-install.yml
```
Um zu erzwingen, dass sich ein selbstsigniertes Zertifikat bei jedem Playbook-Lauf neu generiert, setzen Sie die entsprechende Regenerierungsoption auf True. Wenn Sie beispielsweise das Playbook "haproxy" bereits ausgeführt haben, aber das selbstsignierte Zertifikat neu generieren möchten, setzen Sie die Variable `` haproxy_ssl_self_signed_regen`` auf `` true`` im `` /etc/openstack_deploy/user_variables.yml`` Datei:
```
haproxy_ssl_self_signed_regen: true
```

Bemerkung

Das erneute Generieren selbstsignierter Zertifikate ersetzt die vorhandenen Zertifikate unabhängig davon, ob sie selbstsigniert oder vom Benutzer bereitgestellt werden.

Vom Benutzer bereitgestellte Zertifikate¶

Für zusätzliches Vertrauen in hochsichere Umgebungen können Sie Ihre eigenen SSL-Zertifikate, Schlüssel und CA-Zertifikate bereitstellen. Das Abrufen von Zertifikaten von einer vertrauenswürdigen Zertifizierungsstelle liegt außerhalb des Geltungsbereichs dieses Dokuments. Im Abschnitt Certificate Management des Linux-Dokumentationsprojekts wird jedoch erläutert, wie Sie Ihre eigene Zertifizierungsstelle erstellen und Zertifikate signieren.

Verwenden Sie den folgenden Prozess, um von Benutzern bereitgestellte SSL-Zertifikate in OpenStack-Ansible bereitzustellen:

Kopieren Sie Ihre SSL-Zertifikat-, Schlüssel- und CA-Zertifikatdateien auf den Bereitstellungshost.
Geben Sie den Pfad zu Ihrem SSL-Zertifikat, Schlüssel und CA-Zertifikat in der Datei `` / etc / openstack_deploy / user_variables.yml`` an.
Führen Sie das Playbook für diesen Dienst aus.

Beispiel für HAProxy¶

Die zu setzenden Variablen, die den Zertifikaten für die HAProxy-Konfiguration den Pfad auf dem Implementierungsknoten bereitstellen, sind:

haproxy_user_ssl_cert: /etc/openstack_deploy/ssl/example.com.crt
haproxy_user_ssl_key: /etc/openstack_deploy/ssl/example.com.key
haproxy_user_ssl_ca_cert: /etc/openstack_deploy/ssl/ExampleCA.crt

RabbitMQ Beispiel¶

Um von Benutzern bereitgestellte Zertifikate für RabbitMQ bereitzustellen, kopieren Sie die Zertifikate auf den Implementierungshost, bearbeiten Sie die Datei `` / etc / openstack_deploy / user_variables.yml`` und legen Sie die folgenden drei Variablen fest:

rabbitmq_user_ssl_cert:    /etc/openstack_deploy/ssl/example.com.crt
rabbitmq_user_ssl_key:     /etc/openstack_deploy/ssl/example.com.key
rabbitmq_user_ssl_ca_cert: /etc/openstack_deploy/ssl/ExampleCA.crt

Führen Sie dann das Playbook aus, um die Zertifikate anzuwenden:

# openstack-ansible rabbitmq-install.yml

Das Playbook stellt das von Ihnen bereitgestellte SSL-Zertifikat, den Schlüssel und das CA-Zertifikat für jeden RabbitMQ-Container bereit.

Der Prozess ist für die anderen Dienste identisch. Ersetzen Sie rabbitmq in den vorhergehenden Konfigurationsvariablen durch` horizon`, haproxy oder` keystone`. Führen Sie dann das Playbook für diesen Dienst aus, um von Benutzern bereitgestellte Zertifikate für diese Dienste bereitzustellen.