OpenStack-理论2.barbican 简介

1.什么是Barbican？

Barbican 是 OpenStack 的key管理组件，定位在提供 REST API 来安全存储、提供和管理“秘密”。

秘密包括： 
* 密钥：对称密钥、非对称密钥 
* 证书 
* 密码 
* 原始二进制数据

服务对象：所有云环境，包括大型的临时云。

支持的厂商：Rackspace Hosting, EMC, Ericsson, Johns Hopkins University, HP, Red Hat, Cisco Systems等。

2.为什么用Barbican？

目前密钥管理的现实是不容乐观，windows环境下可调用数据保护API(DPAPI)和活动目录，但Linux却非常缺乏类似的机制。Barbican致力于解决此问题，由Rackspace内部需求触发。

目标： 
1. 提供集中管理，为所有类型的部署甚至是临时云提供秘密的分发； 
2. 通过报告和审计提供合规； 
3. 成本低； 
4. 通过开源和可扩展构建社区和生态环境； 
5. 通过集中管控提高安全性； 
6. 带外通讯机制以保护敏感资产。

3.如何使用Barbican?

kolla安装Barbican

vim/etc/kolla/global.yml
enable_barbican:"yes"
 
barbican_crypto_plugin:"simple_crypto"
barbican_library_path:"/usr/lib/libCryptoki2_64.so"
 
kolla-ansible-imultinodeprechecks
kolla-ansible-imultinodedeploy

4.Barbican能做什么？ 

4.1 概念解释

秘密：泛指一切需要保密的everything，包括密钥、密码、证书、SSH-keys等，甚至一些文本或者二进制文件都可以。从用途来讲，可分为Barbican秘密和用户秘密，用户秘密是用户自己拥有的秘密，Barbican加密密钥对用户秘密进行加密后构成Barbican的秘密，存储到Barbican的存储后端（比如数据库等）。

容器：秘密容器，组织管理角度，对拥有多个秘密管理有用，支持3种类型：generic（对秘密的类型和数量无制）/certificate/RSA
ACL：Access Controller List,访问控制列表，Barbican的资源访问控制可以project的粒度。

证书：支持类型包括CMC 证书（Certificate Management over CMS，https://tools.ietf.org/html/rfc5272）、基于已有密钥（stored keys，RSA）的证书、定制证书（和CA相关，属性不变，透传给CA）

消费者：container的感兴趣的第三方，便于管理，比如在container删除时，会将删除事件通知到所有消费者。

配额：计费，project粒度，每个project下多少秘密、多少容器、多少消费者等，默认不设限，调用API设置过后默认的不再起作用，当删除后恢复到默认配置。

4.2 逻辑架构

• API层处理来自外部的REST请求，和数据库直连，同步请求（如GET）直接访问数据库返回给用户，异步请求（如POST）通过消息队列发送给Worker层处理。
• Worker层处理来自消息队列的异步请求。Worker具有南向接口，挂接第三方的软件如CA。
• API和Worker的节点可以是多份，支持扩展。

4.3 组件协作

组件包括：

• Clients：多个
• API使用paste配置中间件，pecan做REST的路由
• 通过Repositories/Models组件访问数据库
• 通过Crypto支持加解密，支持插件HSM/KMIP等作为Crypto的后端
• 通过Oslo-Messaging发送消息给Worker节点上的Tasks，Tasks通过Certificate插件和CA交互，消息后端包括RabbitMQ

Barbican通过stevedore实现功能的插件式扩展。按照功能划分，Barbican有三种：

• crypto。用来加密待存储的信息。后端支持simple_crypto和HSM。simple_crypto的主密钥保存在barbican的配置文件中，因此安全风险极大。
• secretstore。可以生成和保存密钥，根据支持的插件不同，可以生成不同类型的密钥，包括对称/非对称。当前支持的插件有dogtag和kmip。
• certificate。后端支持snakeoil、symantec和dogtag。

       目前，国内公司对于Barbican项目的参与度很少，大唐高鸿自Mitaka版本开始参与该项目。在OpenStack里，Barbican的关注度正在不断增加。

        当前，已经有一些项目使用到了密钥管理功能，例如：Cinder、Nova、、Glance、Neutron、Octavia、Heat。

近期社区的目标是将Barbican和更多的OpenStack项目集成，以及扩展支持更多的plugin，包括Hashicorp Vault和更加安全的

4.4 主要功能

• secrets 管理：此处的秘密是Barbican秘密 
  
  • 创建
  • 获取
  • 更新
  • 删除
• orders 管理：生成秘密为用户所用。 
  
  • 创建：创建用户秘密后，再加密后形成Barbican秘密
  • 获取
  • 删除
• containers 管理： 
  
  • 创建
  • 获取
  • 删除
• ACL 管理 
  
  • secret ACL 
    
    • 更新：也是创建
    • 获取
    • 删除
  • container ACL 
    
    • 更新：也是创建
    • 获取
    • 删除
• 证书管理 
  
  • simple CMC 证书创建步骤

    opensslgenrsa-outprivate.pem2048
    opensslreq-new-keyprivate.pem-outcsr.pem-subj‘/CN=server1,o=example.com’
    base64./csr.pem|tr-d‘
    ’
    curl-XPOST-H“content-type:application/json”-H“X-Auth-Token:$TOKEN”-d‘{“type“
        :“certificate”,“meta”:{“request_data”:“LS0tLS1CRUdJT…..oK2Fkh6dXBTVC0tLS0tCg==”“ca_id”
        :“422e6ad3-24ae-45e3-b165-4e9487cd0ded”,“profile”:“caServerCert”}}’http://localhost:9311
        /v1/orders

           Stored Key 证书创建步骤 

curl-XPOST-H“content-type:application/json”-H“X-Project-Id:12345”-d‘{“type”:“asymmetric”
    ,“meta”:{“algorithm”:“rsa”,“bit_length”:2048}}’http://localhost:9311/v1/orders
curl-H“X-Project-Id:12345”http://localhost:9311/v1/orders/188c1523-251a-4e1b-9b1f
    -f491e4b5d4af获取containerref
curl-XPOST-H“content-type:application/json”-H“X-Project-Id:12345”-d‘{“type”:“certificate”
    ,“meta”:{“container_ref”:“http://localhost:9311/v1/containers/3cd48493-1bed-4a51-8a4c
    -4abc397f9083“,“subject_dn”:“cn=server1,o=example.com”,“request_type”:“stored-key”,“ca_id”
    :“9995cb4c-6c42-4459-b0bc-aced5bf777cb”,“profile”:“caServerCert”}}’http://localhost:9311/v1
    /orders

• 定制证书
  
  • 删除
  • 获取
• 消费者管理 
  
  • 创建
  • 获取
  • 删除
• 配额管理（便于计费） 
  
  • 获取
  • 更新
  • 删除

也可以关注微信公众号：启航学城，干货满满，扫码关注:

 也欢迎加入OpenStack技术交流群，进行技术交流。