OpenStack-理论2.barbican 简介

1.什么是Barbican？

Barbican 是 OpenStack 的key管理组件，定位在提供 REST API 来安全存储、提供和管理“秘密”。

秘密包括：
* 密钥：对称密钥、非对称密钥
* 证书
* 密码
* 原始二进制数据

服务对象：所有云环境，包括大型的临时云。

支持的厂商：Rackspace Hosting, EMC, Ericsson, Johns Hopkins University, HP, Red Hat, Cisco Systems等。

2.为什么用Barbican？

目前密钥管理的现实是不容乐观，windows环境下可调用数据保护API(DPAPI)和活动目录，但Linux却非常缺乏类似的机制。Barbican致力于解决此问题，由Rackspace内部需求触发。

目标：
1. 提供集中管理，为所有类型的部署甚至是临时云提供秘密的分发；
2. 通过报告和审计提供合规；
3. 成本低；
4. 通过开源和可扩展构建社区和生态环境；
5. 通过集中管控提高安全性；
6. 带外通讯机制以保护敏感资产。

3.如何使用Barbican?

kolla安装Barbican

vim/etc/kolla/global.yml
enable_barbican:"yes"
 
barbican_crypto_plugin:"simple_crypto"
barbican_library_path:"/usr/lib/libCryptoki2_64.so"
 
kolla-ansible-imultinodeprechecks
kolla-ansible-imultinodedeploy

4.Barbican能做什么？

4.1 概念解释

秘密：泛指一切需要保密的everything，包括密钥、密码、证书、SSH-keys等，甚至一些文本或者二进制文件都可以。从用途来讲，可分为Barbican秘密和用户秘密，用户秘密是用户自己拥有的秘密，Barbican加密密钥对用户秘密进行加密后构成Barbican的秘密，存储到Barbican的存储后端（比如数据库等）。

容器：秘密容器，组织管理角度，对拥有多个秘密管理有用，支持3种类型：generic（对秘密的类型和数量无制）/certificate/RSA
ACL：Access Controller List,访问控制列表，Barbican的资源访问控制可以project的粒度。

证书：支持类型包括CMC 证书（Certificate Management over CMS，https://tools.ietf.org/html/rfc5272）、基于已有密钥（stored keys，RSA）的证书、定制证书（和CA相关，属性不变，透传给CA）

消费者：container的感兴趣的第三方，便于管理，比如在container删除时，会将删除事件通知到所有消费者。

配额：计费，project粒度，每个project下多少秘密、多少容器、多少消费者等，默认不设限，调用API设置过后默认的不再起作用，当删除后恢复到默认配置。

4.2 逻辑架构

API层处理来自外部的REST请求，和数据库直连，同步请求（如GET）直接访问数据库返回给用户，异步请求（如POST）通过消息队列发送给Worker层处理。
Worker层处理来自消息队列的异步请求。Worker具有南向接口，挂接第三方的软件如CA。
API和Worker的节点可以是多份，支持扩展。

4.3 组件协作

组件包括：

Clients：多个
API使用paste配置中间件，pecan做REST的路由
通过Repositories/Models组件访问数据库
通过Crypto支持加解密，支持插件HSM/KMIP等作为Crypto的后端
通过Oslo-Messaging发送消息给Worker节点上的Tasks，Tasks通过Certificate插件和CA交互，消息后端包括RabbitMQ

Barbican通过stevedore实现功能的插件式扩展。按照功能划分，Barbican有三种：

crypto。用来加密待存储的信息。后端支持simple_crypto和HSM。simple_crypto的主密钥保存在barbican的配置文件中，因此安全风险极大。
secretstore。可以生成和保存密钥，根据支持的插件不同，可以生成不同类型的密钥，包括对称/非对称。当前支持的插件有dogtag和kmip。
certificate。后端支持snakeoil、symantec和dogtag。

目前，国内公司对于Barbican项目的参与度很少，大唐高鸿自Mitaka版本开始参与该项目。在OpenStack里，Barbican的关注度正在不断增加。

当前，已经有一些项目使用到了密钥管理功能，例如：Cinder、Nova、、Glance、Neutron、Octavia、Heat。

近期社区的目标是将Barbican和更多的OpenStack项目集成，以及扩展支持更多的plugin，包括Hashicorp Vault和更加安全的

4.4 主要功能

secrets 管理：此处的秘密是Barbican秘密
- 创建
- 获取
- 更新
- 删除
orders 管理：生成秘密为用户所用。
- 创建：创建用户秘密后，再加密后形成Barbican秘密
- 获取
- 删除
containers 管理：
- 创建
- 获取
- 删除
ACL 管理
- secret ACL
  - 更新：也是创建
  - 获取
  - 删除
- container ACL
  - 更新：也是创建
  - 获取
  - 删除

证书管理

simple CMC 证书创建步骤

opensslgenrsa-outprivate.pem2048
opensslreq-new-keyprivate.pem-outcsr.pem-subj‘/CN=server1,o=example.com’
base64./csr.pem|tr-d‘\r\n’
curl-XPOST-H“content-type:application/json”-H“X-Auth-Token:$TOKEN”-d‘{“type“
    :“certificate”,“meta”:{“request_data”:“LS0tLS1CRUdJT…..oK2Fkh6dXBTVC0tLS0tCg==”“ca_id”
    :“422e6ad3-24ae-45e3-b165-4e9487cd0ded”,“profile”:“caServerCert”}}’http://localhost:9311
    /v1/orders

Stored Key 证书创建步骤

curl-XPOST-H“content-type:application/json”-H“X-Project-Id:12345”-d‘{“type”:“asymmetric”
    ,“meta”:{“algorithm”:“rsa”,“bit_length”:2048}}’http://localhost:9311/v1/orders
curl-H“X-Project-Id:12345”http://localhost:9311/v1/orders/188c1523-251a-4e1b-9b1f
    -f491e4b5d4af获取containerref
curl-XPOST-H“content-type:application/json”-H“X-Project-Id:12345”-d‘{“type”:“certificate”
    ,“meta”:{“container_ref”:“http://localhost:9311/v1/containers/3cd48493-1bed-4a51-8a4c
    -4abc397f9083“,“subject_dn”:“cn=server1,o=example.com”,“request_type”:“stored-key”,“ca_id”
    :“9995cb4c-6c42-4459-b0bc-aced5bf777cb”,“profile”:“caServerCert”}}’http://localhost:9311/v1
    /orders