使用Luks2對(duì)Ceph Rbd進(jìn)行加密，你會(huì)了嗎？
背景
多個(gè)行業(yè)（例如金融行業(yè)）越來(lái)越需要在主機(jī)上使用租戶/用戶提供的加密密鑰以卷粒度加密數(shù)據(jù)。這是由國(guó)家法規(guī)和對(duì)安全性的日益重視所推動(dòng)的。迄今為止，Ceph RBD 不提供任何此類(lèi)解決方案，現(xiàn)有的替代方案是在 libRBD 之前添加一個(gè)加密層。此類(lèi)解決方案的示例是使用 QEMU LUKS 加密或依賴 DM-Crypt。但是，在與 RBD 層中實(shí)現(xiàn)的存儲(chǔ)功能接口時(shí)，使用 RBD 之上的加密層有局限性。當(dāng)我們進(jìn)行鏡像克隆時(shí)，只有在父子節(jié)點(diǎn)使用相同的加密密鑰加密時(shí)才會(huì)起作用。通過(guò)將加密向下移動(dòng)到 libRBD，就可以靈活地使用 Ceph RBD 克隆了。
關(guān)于luks加密
還是再介紹下luks吧，雖然上篇文章已經(jīng)介紹過(guò)，但還是沒(méi)有刨根問(wèn)底。LUKS 有兩個(gè)版本，LUKS2 具有對(duì)標(biāo)頭損壞的彈性等功能，并且默認(rèn)使用Argon2加密算法，而 LUKS1 使用PBKDF2。LUKS2支持4KB 加密塊大小，而QEMU 中的luks1加密以加密單元扇區(qū)為 512 字節(jié)的加密塊粒度工作，效率較低。目前l(fā)ibvirt只支持luks1和luks2格式的磁盤(pán)加密，從qemu4.5版本開(kāi)始已經(jīng)不支持qcow的磁盤(pán)加密。
加密標(biāo)簽支持可選的引擎標(biāo)簽，當(dāng)前定義的引擎值是qemu和librbd。qemu和librbd都 需要使用 qemu 驅(qū)動(dòng)程序。librbd引擎要求qemu版本>=6.1.0， ceph集群和librbd1>=16.1.0，僅適用于RBD network disk。如果未指定引擎標(biāo)簽，則默認(rèn)使用qemu引擎。luks2格式目前只有l(wèi)ibrbd引擎支持，只能應(yīng)用于RBD network disk（RBD鏡像）。
我們現(xiàn)在使用的是Ubuntu20.04系統(tǒng)，對(duì)應(yīng)的qemu版本為4.2，libvirt版本為6.0版本，這個(gè)版本只能使用luks格式加密，如果想要使用luks2格式進(jìn)行加密，那就必須把qemu版本升級(jí)至6.1以上，libvirt版本升級(jí)至7.9以上，升級(jí)目前只能通過(guò)編譯升級(jí)，但是很可惜，沒(méi)升級(jí)成功，不過(guò)Ubuntu22.04的libvirt版本是8.0，qemu版本是6.2，這里我安裝了一個(gè)Ubuntu22.04的系統(tǒng)對(duì)rbd鏡像加密進(jìn)行驗(yàn)證。
# virsh version
Compiled against library: libvirt 8.0.0
Using library: libvirt 8.0.0
Using API: QEMU 8.0.0
Running hypervisor: QEMU 6.2.0
查閱libvirt版本列表，發(fā)現(xiàn)從2021.11.1發(fā)布的7.9版本開(kāi)始支持librbd加密引擎。
加密格式
默認(rèn)情況下，RBD 圖像不會(huì)加密。要加密 RBD 鏡像，需要將其格式化為受支持的加密格式之一（luks1或者luks2）。格式化操作會(huì)將加密的元數(shù)據(jù)寫(xiě)到rbd鏡像中。加密元數(shù)據(jù)通常包括加密格式和版本、密碼算法和模式規(guī)范等信息，以及用于保護(hù)加密密鑰的信息。
目前只能格式化圖像。加密圖像的克隆本質(zhì)上使用相同的格式和密碼進(jìn)行加密。在格式化之前寫(xiě)入圖像的任何數(shù)據(jù)都可能變得不可讀，盡管它仍可能占用存儲(chǔ)資源。目前，僅支持 AES-128 和 AES-256 加密算法。此外，xts-plain64 是目前唯一支持的加密模式。
不過(guò)可以導(dǎo)入在 RBD 之外的現(xiàn)有 LUKS 鏡像。
使用luks2格式對(duì)rbd鏡像加密
使用luks對(duì)ceph rbd加密我就不介紹了，上篇文章已經(jīng)介紹過(guò)了，這里介紹使用luks2對(duì)rbd進(jìn)行加密
格式化鏡像
rbd encryption format {pool-name}/{image-name} {luks1|luks2} {passphrase-file} [–cipher-alg {aes-128 | aes-256}]
例如
root@node1:/yyds# rbd encryption format libvirt-pool/288 luks2 passphrase-file
root@node1:/yyds# cat passphrase-file
123456
加密格式操作生成一個(gè) LUKS 頭并將其寫(xiě)入圖像的開(kāi)頭。標(biāo)頭附加了一個(gè)包含隨機(jī)生成的加密密鑰的密鑰槽，并受從 passphrase-file讀取的密碼保護(hù)。默認(rèn)情況下，將使用 xts-plain64 模式下的 AES-256，格式化操作也允許選擇 AES-128。
定義secret
# vim secret.xml
<secret ephemeral='no' private='yes'>
<uuid>548dff81-a251-4702-90c0-0fc7d0c7754e</uuid>
</secret>
# virsh secret-define luks-secret.xml
Secret 548dff81-a251-4702-90c0-0fc7d0c7754e created
設(shè)置密碼
virsh secret-set-value 548dff81-a251-4702-90c0-0fc7d0c7754e --interactive
#下面輸入磁盤(pán)加密的密碼，要與上面格式化鏡像的密碼相同
Enter new value for secret:
Secret value set
編輯虛擬機(jī)disk字段，添加encryption
<disk type='network' device='disk'>
<driver name='qemu' type='raw'/>
<auth username='libvirt'>
<secret type='ceph' uuid='0b7e7ce4-15bb-48a9-8106-c9ec1d7681a0'/>
</auth>
<source protocol='rbd' name='libvirt-pool/288'>
<host name='node1' port='6789'/>
<host name='node2' port='6789'/>
<host name='node3' port='6789'/>
</source>
<target dev='vdc' bus='virtio'/>
<encryption format='luks2' engine='librbd'>
<secret type='passphrase' uuid='548dff81-a251-4702-90c0-0fc7d0c7754e'/>
</encryption>
<address type='pci' domain='0x0000' bus='0x00' slot='0x07' function='0x1'/>
</disk>
啟動(dòng)虛擬機(jī)
virsh start vm
加密rbd鏡像克隆后子鏡像掛載
root@node1:~# rbd snap create libvirt-pool/288@snapshot_61
Creating snap: 100% complete...done.
root@node1:~# rbd snap protect libvirt-pool/288@snapshot_61
root@node1:~# rbd clone libvirt-pool/288@snapshot_61 libvirt-pool/388
root@node1:~# rbd info libvirt-pool/388
rbd image '388':
size 100 GiB in 25600 objects
order 22 (4 MiB objects)
snapshot_count: 0
id: 2c2aea7815e969
block_name_prefix: rbd_data.2c2aea7815e969
format: 2
features: layering, exclusive-lock, object-map, fast-diff, deep-flatten
op_features:
flags:
create_timestamp: Wed Jun 1 08:56:37 2022
access_timestamp: Wed Jun 1 08:56:37 2022
modify_timestamp: Wed Jun 1 08:56:37 2022
parent: libvirt-pool/288@snapshot_61
overlap: 100 GiB
這里我將鏡像名稱換成克隆后的388，encryption字段去掉，發(fā)現(xiàn)不能掛載了，克隆的子鏡像說(shuō)明也是加密的。
克隆的鏡像不支持luks加密
root@node1:~# rbd encryption format libvirt-pool/388 luks2 passphrase-file
rbd: encryption format error: 2022-06-01T06:39:32.691+0000 7fc65aba7340 -1 librbd::api::Image: encryption_format: cannot format a cloned image
(95) Operation not supported
