使用luks2对ceph rbd进行加密

2023-10-14 21:10
文章标签 进行 使用 加密 ceph rbd luks2

本文主要是介绍使用luks2对ceph rbd进行加密,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

微信公众号:运维开发故事,作者:wanger

书接上回,上篇文章我们介绍了luks对libvirt本地磁盘的加密以及ceph rbd作为libvirt后端存储的使用,本篇介绍luks对ceph rbd的加密

背景

多个行业(例如金融行业)越来越需要在主机上使用租户/用户提供的加密密钥以卷粒度加密数据。这是由国家法规和对安全性的日益重视所推动的。迄今为止,Ceph RBD 不提供任何此类解决方案,现有的替代方案是在 libRBD 之前添加一个加密层。此类解决方案的示例是使用 QEMU LUKS 加密或依赖 DM-Crypt。但是,在与 RBD 层中实现的存储功能接口时,使用 RBD 之上的加密层有局限性。当我们进行镜像克隆时,只有在父子节点使用相同的加密密钥加密时才会起作用。通过将加密向下移动到 libRBD,就可以灵活地使用 Ceph RBD 克隆了。图片

关于luks加密

还是再介绍下luks吧,虽然上篇文章已经介绍过,但还是没有刨根问底。LUKS 有两个版本,LUKS2 具有对标头损坏的弹性等功能,并且默认使用Argon2加密算法,而 LUKS1 使用PBKDF2。LUKS2支持4KB 加密块大小,而QEMU 中的luks1加密以加密单元扇区为 512 字节的加密块粒度工作,效率较低。目前libvirt只支持luks1和luks2格式的磁盘加密,从qemu4.5版本开始已经不支持qcow的磁盘加密。

加密标签支持可选的引擎标签,当前定义的引擎值是qemu和librbd。qemu和librbd都 需要使用 qemu 驱动程序。librbd引擎要求qemu版本>=6.1.0, ceph集群和librbd1>=16.1.0,仅适用于RBD network disk。如果未指定引擎标签,则默认使用qemu引擎。luks2格式目前只有librbd引擎支持,只能应用于RBD network disk(RBD镜像)。

我们现在使用的是Ubuntu20.04系统,对应的qemu版本为4.2,libvirt版本为6.0版本,这个版本只能使用luks格式加密,如果想要使用luks2格式进行加密,那就必须把qemu版本升级至6.1以上,libvirt版本升级至7.9以上,升级目前只能通过编译升级,但是很可惜,没升级成功,不过Ubuntu22.04的libvirt版本是8.0,qemu版本是6.2,这里我安装了一个Ubuntu22.04的系统对rbd镜像加密进行验证。

# virsh version
Compiled against library: libvirt 8.0.0
Using library: libvirt 8.0.0
Using API: QEMU 8.0.0
Running hypervisor: QEMU 6.2.0

查阅libvirt版本列表,发现从2021.11.1发布的7.9版本开始支持librbd加密引擎。图片

加密格式

默认情况下,RBD 镜像不会加密。要加密 RBD 镜像,需要将其格式化为受支持的加密格式之一(luks1或者luks2)。格式化操作会将加密的元数据写到rbd镜像中。加密元数据通常包括加密格式和版本、密码算法和模式规范等信息,以及用于保护加密密钥的信息。

目前只能格式化镜像。加密镜像的克隆本质上使用相同的格式和密码进行加密。在格式化之前写入图像的任何数据都可能变得不可读,尽管它仍可能占用存储资源。目前,仅支持 AES-128 和 AES-256 加密算法。此外,xts-plain64 是目前唯一支持的加密模式。

不过可以导入在 RBD 之外的现有 LUKS 镜像。

使用luks2格式对rbd镜像加密

使用luks对ceph rbd加密我就不介绍了,上篇文章已经介绍过了,这里介绍使用luks2对rbd进行加密

格式化镜像

rbd encryption format {pool-name}/{image-name} {luks1|luks2} {passphrase-file} [–cipher-alg {aes-128 | aes-256}]
例如
root@node1:/yyds# rbd encryption format libvirt-pool/288 luks2 passphrase-file
root@node1:/yyds# cat passphrase-file 
123456

加密格式操作生成一个 LUKS 头并将其写入图像的开头。标头附加了一个包含随机生成的加密密钥的密钥槽,并受从 passphrase-file读取的密码保护。默认情况下,将使用 xts-plain64 模式下的 AES-256,格式化操作也允许选择 AES-128。

定义secret

# vim secret.xml
<secret ephemeral='no' private='yes'><uuid>548dff81-a251-4702-90c0-0fc7d0c7754e</uuid>
</secret>
# virsh secret-define luks-secret.xml
Secret 548dff81-a251-4702-90c0-0fc7d0c7754e created

设置密码

 virsh secret-set-value 548dff81-a251-4702-90c0-0fc7d0c7754e --interactive #下面输入磁盘加密的密码,要与上面格式化镜像的密码相同 
Enter new value for secret:
Secret value set

编辑虚拟机disk字段,添加encryption

<disk type='network' device='disk'><driver name='qemu' type='raw'/><auth username='libvirt'><secret type='ceph' uuid='0b7e7ce4-15bb-48a9-8106-c9ec1d7681a0'/></auth><source protocol='rbd' name='libvirt-pool/288'><host name='node1' port='6789'/><host name='node2' port='6789'/><host name='node3' port='6789'/></source><target dev='vdc' bus='virtio'/><encryption format='luks2' engine='librbd'><secret type='passphrase' uuid='548dff81-a251-4702-90c0-0fc7d0c7754e'/></encryption><address type='pci' domain='0x0000' bus='0x00' slot='0x07' function='0x1'/></disk>

启动虚拟机

virsh start vm

图片

image.png

加密rbd镜像克隆后子镜像挂载

root@node1:~# rbd snap create libvirt-pool/288@snapshot_61
Creating snap: 100% complete...done.
root@node1:~# rbd snap protect libvirt-pool/288@snapshot_61
root@node1:~# rbd clone libvirt-pool/288@snapshot_61 libvirt-pool/388            
root@node1:~# rbd info libvirt-pool/388
rbd image '388':size 100 GiB in 25600 objectsorder 22 (4 MiB objects)snapshot_count: 0id: 2c2aea7815e969block_name_prefix: rbd_data.2c2aea7815e969format: 2features: layering, exclusive-lock, object-map, fast-diff, deep-flattenop_features: flags: create_timestamp: Wed Jun  1 08:56:37 2022access_timestamp: Wed Jun  1 08:56:37 2022modify_timestamp: Wed Jun  1 08:56:37 2022parent: libvirt-pool/288@snapshot_61overlap: 100 GiB

这里我将镜像名称换成克隆后的388,encryption字段去掉,发现不能挂载了,克隆的子镜像说明也是加密的。图片图片克隆的镜像不支持luks加密

root@node1:~#  rbd encryption format libvirt-pool/388 luks2 passphrase-file
rbd: encryption format error: 2022-06-01T06:39:32.691+0000 7fc65aba7340 -1 librbd::api::Image: encryption_format: cannot format a cloned image
(95) Operation not supported

公众号:运维开发故事

github:https://github.com/orgs/sunsharing-note/dashboard

博客**:https://www.devopstory.cn**

爱生活,爱运维

我是wanger,《运维开发故事》公众号团队中的一员,一线运维农民工,这里不仅有硬核的技术干货,还有我们对技术的思考和感悟,欢迎关注我们的公众号,期待和你一起成长!

图片

这篇关于使用luks2对ceph rbd进行加密的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/213169

相关文章

Java学习手册之Filter和Listener使用方法

《Java学习手册之Filter和Listener使用方法》:本文主要介绍Java学习手册之Filter和Listener使用方法的相关资料,Filter是一种拦截器,可以在请求到达Servl... 目录一、Filter(过滤器)1. Filter 的工作原理2. Filter 的配置与使用二、Listen

Pandas使用AdaBoost进行分类的实现

《Pandas使用AdaBoost进行分类的实现》Pandas和AdaBoost分类算法,可以高效地进行数据预处理和分类任务,本文主要介绍了Pandas使用AdaBoost进行分类的实现,具有一定的参... 目录什么是 AdaBoost?使用 AdaBoost 的步骤安装必要的库步骤一:数据准备步骤二:模型

使用Pandas进行均值填充的实现

《使用Pandas进行均值填充的实现》缺失数据(NaN值)是一个常见的问题,我们可以通过多种方法来处理缺失数据,其中一种常用的方法是均值填充,本文主要介绍了使用Pandas进行均值填充的实现,感兴趣的... 目录什么是均值填充?为什么选择均值填充?均值填充的步骤实际代码示例总结在数据分析和处理过程中,缺失数

如何使用 Python 读取 Excel 数据

《如何使用Python读取Excel数据》:本文主要介绍使用Python读取Excel数据的详细教程,通过pandas和openpyxl,你可以轻松读取Excel文件,并进行各种数据处理操... 目录使用 python 读取 Excel 数据的详细教程1. 安装必要的依赖2. 读取 Excel 文件3. 读

解决Maven项目idea找不到本地仓库jar包问题以及使用mvn install:install-file

《解决Maven项目idea找不到本地仓库jar包问题以及使用mvninstall:install-file》:本文主要介绍解决Maven项目idea找不到本地仓库jar包问题以及使用mvnin... 目录Maven项目idea找不到本地仓库jar包以及使用mvn install:install-file基

Python使用getopt处理命令行参数示例解析(最佳实践)

《Python使用getopt处理命令行参数示例解析(最佳实践)》getopt模块是Python标准库中一个简单但强大的命令行参数处理工具,它特别适合那些需要快速实现基本命令行参数解析的场景,或者需要... 目录为什么需要处理命令行参数?getopt模块基础实际应用示例与其他参数处理方式的比较常见问http

C 语言中enum枚举的定义和使用小结

《C语言中enum枚举的定义和使用小结》在C语言里,enum(枚举)是一种用户自定义的数据类型,它能够让你创建一组具名的整数常量,下面我会从定义、使用、特性等方面详细介绍enum,感兴趣的朋友一起看... 目录1、引言2、基本定义3、定义枚举变量4、自定义枚举常量的值5、枚举与switch语句结合使用6、枚

使用Python从PPT文档中提取图片和图片信息(如坐标、宽度和高度等)

《使用Python从PPT文档中提取图片和图片信息(如坐标、宽度和高度等)》PPT是一种高效的信息展示工具,广泛应用于教育、商务和设计等多个领域,PPT文档中常常包含丰富的图片内容,这些图片不仅提升了... 目录一、引言二、环境与工具三、python 提取PPT背景图片3.1 提取幻灯片背景图片3.2 提取

使用Python实现图像LBP特征提取的操作方法

《使用Python实现图像LBP特征提取的操作方法》LBP特征叫做局部二值模式,常用于纹理特征提取,并在纹理分类中具有较强的区分能力,本文给大家介绍了如何使用Python实现图像LBP特征提取的操作方... 目录一、LBP特征介绍二、LBP特征描述三、一些改进版本的LBP1.圆形LBP算子2.旋转不变的LB

Maven的使用和配置国内源的保姆级教程

《Maven的使用和配置国内源的保姆级教程》Maven是⼀个项目管理工具,基于POM(ProjectObjectModel,项目对象模型)的概念,Maven可以通过一小段描述信息来管理项目的构建,报告... 目录1. 什么是Maven?2.创建⼀个Maven项目3.Maven 核心功能4.使用Maven H