Barbican 简介

Posted Eric_Xiett

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了Barbican 简介相关的知识,希望对你有一定的参考价值。

Barbican 简介

@(openstack)[OpenStack, Barbican, key-management, openstack]


什么是Barbican

Barbican 是 OpenStack 的key管理组件,定位在提供 REST API 来安全存储、提供和管理“秘密”。

秘密包括:
* 密钥:对称密钥、非对称密钥
* 证书
* 密码
* 原始二进制数据

服务对象:所有云环境,包括大型的临时云。

支持的厂商:Rackspace Hosting, EMC, Ericsson, Johns Hopkins University, HP, Red Hat, Cisco Systems等。

为什么用Barbican

目前密钥管理的现实是不容乐观,windows环境下可调用数据保护API(DPAPI)和活动目录,但Linux却非常缺乏类似的机制。Barbican致力于解决此问题,由Rackspace内部需求触发。

目标:
1. 提供集中管理,为所有类型的部署甚至是临时云提供秘密的分发;
2. 通过报告和审计提供合规;
3. 成本低;
4. 通过开源和可扩展构建社区和生态环境;
5. 通过集中管控提高安全性;
6. 带外通讯机制以保护敏感资产。

如何使用Barbican

安装方式:
* quick start
* DevStack
* Vagrant

使用
参考上述安装链接。

Barbican 能做些什么

概念解释

  • 秘密:泛指一切需要保密的everything,包括密钥、密码、证书、SSH-keys等,甚至一些文本或者二进制文件都可以。从用途来讲,可分为Barbican秘密和用户秘密,用户秘密是用户自己拥有的秘密,Barbican加密密钥对用户秘密进行加密后构成Barbican的秘密,存储到Barbican的存储后端(比如数据库等)。
  • 容器:秘密容器,组织管理角度,对拥有多个秘密管理有用,支持3种类型:generic(对秘密的类型和数量无限制)/certificate/RSA
  • ACL:Access Controller List,访问控制列表,Barbican的资源访问控制可以project的粒度。
  • 证书:支持类型包括CMC 证书(Certificate Management over CMS,https://tools.ietf.org/html/rfc5272)、基于已有密钥(stored keys,RSA)的证书、定制证书(和CA相关,属性不变,透传给CA)
  • 消费者:container的感兴趣的第三方,便于管理,比如在container删除时,会将删除事件通知到所有消费者
  • 配额:计费,project粒度,每个project下多少秘密、多少容器、多少消费者等,默认不设限,调用API设置过后默认的不再起作用,当删除后恢复到默认配置

逻辑架构

  • API层处理来自外部的REST请求,和数据库直连,同步请求(如GET)直接访问数据库返回给用户,异步请求(如POST)通过消息队列发送给Worker层处理。
  • Worker层处理来自消息队列的异步请求。Worker具有南向接口,挂接第三方的软件如CA。
  • API和Worker的节点可以是多份,支持扩展。

组件协作

组件包括:

  • Clients:多个
  • API使用paste配置中间件,pecan做REST的路由
  • 通过Repositories/Models组件访问数据库
  • 通过Crypto支持加解密,支持插件HSM/KMIP等作为Crypto的后端
  • 通过Oslo-Messaging发送消息给Worker节点上的Tasks,Tasks通过Certificate插件和CA交互,消息后端包括RabbitMQ

主要功能

  • secrets 管理:此处的秘密是Barbican秘密
    • 创建
    • 获取
    • 更新
    • 删除
  • orders 管理:生成秘密为用户所用。
    • 创建:创建用户秘密后,再加密后形成Barbican秘密
    • 获取
    • 删除
  • containers 管理:
    • 创建
    • 获取
    • 删除
  • ACL 管理
    • secret ACL
      • 更新:也是创建
      • 获取
      • 删除
    • container ACL
      • 更新:也是创建
      • 获取
      • 删除
  • 证书管理
    • simple CMC 证书创建步骤
      • openssl genrsa -out private.pem 2048
      • openssl req -new -key private.pem -out csr.pem -subj ‘/CN=server1,o=example.com’
      • base64 ./csr.pem |tr -d ‘\\r\\n’
      • curl -X POST -H “content-type:application/json” -H “X-Auth-Token: $TOKEN” -d ‘
        “type”: “certificate”,
        “meta”:
        “request_data”: “LS0tLS1CRUdJT….. oK2Fkh6dXBTVC0tLS0tCg==”, #上一步输出的内容
        “request_type”: “simple-cmc”,
        “ca_id”: “422e6ad3-24ae-45e3-b165-4e9487cd0ded”, #通过 cas list 获取到ca id
        “profile”: “caServerCert”
        http://localhost:9311/v1/orders
    • Stored Key 证书创建步骤
    • 定制证书
    • 删除
    • 获取
  • 消费者管理
    • 创建
    • 获取
    • 删除
  • 配额管理(便于计费)
    • 获取
    • 更新
    • 删除

以上是关于Barbican 简介的主要内容,如果未能解决你的问题,请参考以下文章

华为云Stack南向开放框架,帮助生态伙伴高效入云

鸿蒙-南向轻内核开发实战系列基于小熊派鸿蒙季开发板环境搭建

Barbican 访问控制

FFHLinux下配置小熊派-鸿蒙·叔设备开发(南向)的开发环境

SUSE Euler Linux 2.0 发布 大幅提升南向生态和关键业务支持能力

barbican的核心——密钥插件系统