[ English | русский | 한국어 (대한민국) | Deutsch | Indonesia | English (United Kingdom) | français ]
Sichern von Diensten mit SSL-Zertifikaten¶
Das OpenStack Security Guide empfiehlt die sichere Kommunikation zwischen verschiedenen Diensten in einer OpenStack-Bereitstellung. Das OpenStack-Ansible-Projekt bietet derzeit die Möglichkeit, SSL-Zertifikate für die sichere Kommunikation zwischen Diensten zu konfigurieren:
Alle öffentlichen Endpoints befinden sich hinter haproxy, was zur Folge hat, dass die einzige Umgebung, die die meisten Umgebungen benötigen, die Zertifikate für haproxy sind.
Bei der Bereitstellung mit OpenStack-Ansible können Sie entweder selbst signierte Zertifikate verwenden, die während des Bereitstellungsprozesses generiert werden, oder SSL-Zertifikate, Schlüssel und CA-Zertifikate von Ihrer eigenen vertrauenswürdigen Zertifizierungsstelle bereitstellen. In stark gesicherten Umgebungen werden vertrauenswürdige, vom Benutzer bereitgestellte Zertifikate für so viele Dienste wie möglich verwendet.
Bemerkung
Führen Sie die Konfiguration des SSL-Zertifikats in der Datei `` / etc / openstack_deploy / user_variables.yml`` durch. Bearbeiten Sie die Playbooks oder Rollen nicht selbst.
Selbstsignierte Zertifikate¶
Mit selbstsignierten Zertifikaten können Sie Daten schnell starten und verschlüsseln. Sie bieten jedoch kein hohes Maß an Vertrauen für hochsichere Umgebungen. Standardmäßig werden selbstsignierte Zertifikate in OpenStack-Ansible verwendet. Wenn selbstsignierte Zertifikate verwendet werden, wird die Zertifikatsprüfung automatisch deaktiviert.
Subjektdaten für selbstsignierte Zertifikate einstellen¶
Ändern Sie die Betreffdaten jedes selbstsignierten Zertifikats mithilfe von Konfigurationsvariablen. Die Konfigurationsvariable für jeden Dienst ist als `` formatiert <servicename> _ssl_self_signed_subject``. Um beispielsweise die Betreffdaten des SSL-Zertifikats für HAProxy zu ändern, passen Sie die Datei "/ etc / openstack_deploy / user_variables.yml" wie folgt an:
haproxy_ssl_self_signed_subject: "/C=US/ST=Texas/L=San Antonio/O=IT/CN=haproxy.example.com"
Weitere Informationen zu den verfügbaren Feldern im Zertifikatsbetreff finden Sie in der OpenSSL-Dokumentation für den Unterbefehl req.
Generieren und Regenerieren von selbstsignierten Zertifikaten¶
Während der ersten Ausführung des Playbooks werden für jeden Dienst selbstsignierte Zertifikate generiert.
Um ein neues selbstsigniertes Zertifikat für einen Service zu generieren, müssen Sie das `` 'festlegen <servicename> _ssl_self_signed_regen`` Variable auf eine der folgenden Weisen auf true:
Um zu erzwingen, dass ein selbstsigniertes Zertifikat neu generiert wird, können Sie die Variable in der Befehlszeile an "openstack-ansible" übergeben:
# openstack-ansible -e "horizon_ssl_self_signed_regen=true" os-horizon-install.yml
Um zu erzwingen, dass sich ein selbstsigniertes Zertifikat bei jedem Playbook-Lauf neu generiert, setzen Sie die entsprechende Regenerierungsoption auf
True. Wenn Sie beispielsweise das Playbook "haproxy" bereits ausgeführt haben, aber das selbstsignierte Zertifikat neu generieren möchten, setzen Sie die Variable `` haproxy_ssl_self_signed_regen`` auf `` true`` im `` /etc/openstack_deploy/user_variables.yml`` Datei:haproxy_ssl_self_signed_regen: true
Bemerkung
Das erneute Generieren selbstsignierter Zertifikate ersetzt die vorhandenen Zertifikate unabhängig davon, ob sie selbstsigniert oder vom Benutzer bereitgestellt werden.
Vom Benutzer bereitgestellte Zertifikate¶
Für zusätzliches Vertrauen in hochsichere Umgebungen können Sie Ihre eigenen SSL-Zertifikate, Schlüssel und CA-Zertifikate bereitstellen. Das Abrufen von Zertifikaten von einer vertrauenswürdigen Zertifizierungsstelle liegt außerhalb des Geltungsbereichs dieses Dokuments. Im Abschnitt Certificate Management des Linux-Dokumentationsprojekts wird jedoch erläutert, wie Sie Ihre eigene Zertifizierungsstelle erstellen und Zertifikate signieren.
Verwenden Sie den folgenden Prozess, um von Benutzern bereitgestellte SSL-Zertifikate in OpenStack-Ansible bereitzustellen:
Kopieren Sie Ihre SSL-Zertifikat-, Schlüssel- und CA-Zertifikatdateien auf den Bereitstellungshost.
Geben Sie den Pfad zu Ihrem SSL-Zertifikat, Schlüssel und CA-Zertifikat in der Datei `` / etc / openstack_deploy / user_variables.yml`` an.
Führen Sie das Playbook für diesen Dienst aus.
Beispiel für HAProxy¶
Die zu setzenden Variablen, die den Zertifikaten für die HAProxy-Konfiguration den Pfad auf dem Implementierungsknoten bereitstellen, sind:
haproxy_user_ssl_cert: /etc/openstack_deploy/ssl/example.com.crt
haproxy_user_ssl_key: /etc/openstack_deploy/ssl/example.com.key
haproxy_user_ssl_ca_cert: /etc/openstack_deploy/ssl/ExampleCA.crt
RabbitMQ Beispiel¶
Um von Benutzern bereitgestellte Zertifikate für RabbitMQ bereitzustellen, kopieren Sie die Zertifikate auf den Implementierungshost, bearbeiten Sie die Datei `` / etc / openstack_deploy / user_variables.yml`` und legen Sie die folgenden drei Variablen fest:
rabbitmq_user_ssl_cert: /etc/openstack_deploy/ssl/example.com.crt
rabbitmq_user_ssl_key: /etc/openstack_deploy/ssl/example.com.key
rabbitmq_user_ssl_ca_cert: /etc/openstack_deploy/ssl/ExampleCA.crt
Führen Sie dann das Playbook aus, um die Zertifikate anzuwenden:
# openstack-ansible rabbitmq-install.yml
Das Playbook stellt das von Ihnen bereitgestellte SSL-Zertifikat, den Schlüssel und das CA-Zertifikat für jeden RabbitMQ-Container bereit.
Der Prozess ist für die anderen Dienste identisch. Ersetzen Sie rabbitmq in den vorhergehenden Konfigurationsvariablen durch` horizon`, haproxy oder` keystone`. Führen Sie dann das Playbook für diesen Dienst aus, um von Benutzern bereitgestellte Zertifikate für diese Dienste bereitzustellen.
LetsEncrypt certificates¶
The HAProxy ansible role supports using LetsEncrypt to automatically deploy trusted SSL certificates for the public endpoint. Each HAProxy server will individually request a LetsEncrypt certificate.
The http-01 type challenge is used by certbot to deploy certificates so it is required that the public endpoint is accessible directly on the internet.
Deployment of certificates using LetsEncrypt has been validated for openstack-ansible using Ubuntu Bionic. Other distributions should work but are not tested.
To deploy certificates with LetsEncrypt, add the following to
/etc/openstack_deploy/user_variables.yml to enable the
letsencrypt function in the haproxy ansible role, and to
create a new backend service called letsencrypt to service
http-01 challenge requests.
haproxy_ssl: true
haproxy_ssl_letsencrypt_enable: True
haproxy_ssl_letsencrypt_install_method: "distro"
haproxy_ssl_letsencrypt_email: "email.address@example.com"
If you don’t have horizon deployed, you will need to define dummy service that will listen on 80 and 443 ports and will be used for acme-challenge, whose backend is certbot on the haproxy host:
haproxy_extra_services:
# the external facing service which serves the apache test site, with a acl for LE requests
- service:
haproxy_service_name: certbot
haproxy_redirect_http_port: 80 #redirect port 80 to port ssl
haproxy_redirect_scheme: "https if !{ ssl_fc } !{ path_beg /.well-known/acme-challenge/ }" #redirect all non-ssl traffic to ssl except acme-challenge
haproxy_port: 443
haproxy_frontend_acls: "{{ haproxy_ssl_letsencrypt_acl }}" #use a frontend ACL specify the backend to use for acme-challenge
haproxy_ssl: True
haproxy_backend_nodes: #apache is running on locally on 127.0.0.1:80 serving a dummy site
- name: local-test-service
ip_addr: 127.0.0.1
haproxy_balance_type: http
haproxy_backend_port: 80
haproxy_backend_options:
- "httpchk HEAD /" # request to use for health check for the example service
