Barbican 简介

@(openstack)[OpenStack, Barbican, key-management, openstack]

---

什么是Barbican

Barbican 是 OpenStack 的key管理组件，定位在提供 REST API 来安全存储、提供和管理“秘密”。

秘密包括：
* 密钥：对称密钥、非对称密钥
* 证书
* 密码
* 原始二进制数据

服务对象：所有云环境，包括大型的临时云。

支持的厂商：Rackspace Hosting, EMC, Ericsson, Johns Hopkins University, HP, Red Hat, Cisco Systems等。

为什么用Barbican

目前密钥管理的现实是不容乐观，windows环境下可调用数据保护API(DPAPI)和活动目录，但Linux却非常缺乏类似的机制。Barbican致力于解决此问题，由Rackspace内部需求触发。

目标：
1. 提供集中管理，为所有类型的部署甚至是临时云提供秘密的分发；
2. 通过报告和审计提供合规；
3. 成本低；
4. 通过开源和可扩展构建社区和生态环境；
5. 通过集中管控提高安全性；
6. 带外通讯机制以保护敏感资产。

如何使用Barbican

安装方式：
* quick start
* DevStack
* Vagrant

使用
参考上述安装链接。

Barbican 能做些什么

概念解释

• 秘密：泛指一切需要保密的everything，包括密钥、密码、证书、SSH-keys等，甚至一些文本或者二进制文件都可以。从用途来讲，可分为Barbican秘密和用户秘密，用户秘密是用户自己拥有的秘密，Barbican加密密钥对用户秘密进行加密后构成Barbican的秘密，存储到Barbican的存储后端（比如数据库等）。
• 容器：秘密容器，组织管理角度，对拥有多个秘密管理有用，支持3种类型：generic（对秘密的类型和数量无限制）/certificate/RSA
• ACL：Access Controller List,访问控制列表，Barbican的资源访问控制可以project的粒度。
• 证书：支持类型包括CMC 证书（Certificate Management over CMS，https://tools.ietf.org/html/rfc5272）、基于已有密钥（stored keys，RSA）的证书、定制证书（和CA相关，属性不变，透传给CA）
• 消费者：container的感兴趣的第三方，便于管理，比如在container删除时，会将删除事件通知到所有消费者
• 配额：计费，project粒度，每个project下多少秘密、多少容器、多少消费者等，默认不设限，调用API设置过后默认的不再起作用，当删除后恢复到默认配置

逻辑架构

• API层处理来自外部的REST请求，和数据库直连，同步请求（如GET）直接访问数据库返回给用户，异步请求（如POST）通过消息队列发送给Worker层处理。
• Worker层处理来自消息队列的异步请求。Worker具有南向接口，挂接第三方的软件如CA。
• API和Worker的节点可以是多份，支持扩展。

组件协作

组件包括：

• Clients：多个
• API使用paste配置中间件，pecan做REST的路由
• 通过Repositories/Models组件访问数据库
• 通过Crypto支持加解密，支持插件HSM/KMIP等作为Crypto的后端
• 通过Oslo-Messaging发送消息给Worker节点上的Tasks，Tasks通过Certificate插件和CA交互，消息后端包括RabbitMQ

主要功能

• secrets 管理：此处的秘密是Barbican秘密
  
  • 创建
  • 获取
  • 更新
  • 删除
• orders 管理：生成秘密为用户所用。
  
  • 创建：创建用户秘密后，再加密后形成Barbican秘密
  • 获取
  • 删除
• containers 管理：
  
  • 创建
  • 获取
  • 删除
• ACL 管理
  
  • secret ACL
    
    • 更新：也是创建
    • 获取
    • 删除
  • container ACL
    
    • 更新：也是创建
    • 获取
    • 删除
• 证书管理
  
  • simple CMC 证书创建步骤
    
    • openssl genrsa -out private.pem 2048
    • openssl req -new -key private.pem -out csr.pem -subj ‘/CN=server1,o=example.com’
    • base64 ./csr.pem |tr -d ‘\r\n’
    • curl -X POST -H “content-type:application/json” -H “X-Auth-Token: $TOKEN” -d ‘{
      “type”: “certificate”,
      “meta”: {
      “request_data”: “LS0tLS1CRUdJT….. oK2Fkh6dXBTVC0tLS0tCg==”, #上一步输出的内容
      “request_type”: “simple-cmc”,
      “ca_id”: “422e6ad3-24ae-45e3-b165-4e9487cd0ded”, #通过 cas list 获取到ca id
      “profile”: “caServerCert”
      }}’ http://localhost:9311/v1/orders
  • Stored Key 证书创建步骤
    
    • curl -X POST -H “content-type: application/json” -H “X-Project-Id: 12345” -d ‘{“type”: “asymmetric”, “meta”: {“algorithm”: “rsa”, “bit_length”: 2048 }}’ http://localhost:9311/v1/orders
    • curl -H “X-Project-Id: 12345” http://localhost:9311/v1/orders/188c1523-251a-4e1b-9b1f-f491e4b5d4af 获取container ref
    • curl -X POST -H “content-type:application/json” -H “X-Project-Id: 12345” -d ‘{“type”: “certificate”, “meta”: {“container_ref”: “http://localhost:9311/v1/containers/3cd48493-1bed-4a51-8a4c-4abc397f9083“, “subject_dn”: “cn=server1, o=example.com”, “request_type”: “stored-key”, “ca_id”: “9995cb4c-6c42-4459-b0bc-aced5bf777cb”, “profile”: “caServerCert”}}’ http://localhost:9311/v1/orders
  • 定制证书
  • 删除
  • 获取
• 消费者管理
  
  • 创建
  • 获取
  • 删除
• 配额管理（便于计费）
  
  • 获取
  • 更新
  • 删除