OpenStack Mitakaのセキュリティについて(4) 最終回
こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。
数回に分けて、Mitakaで変更されたセキュリティについて、各コンポーネントごとに見ています。
今回は、Mitakaで変更されたセキュリティの中で、neutronとcinderの変更部分について説明したいと思います。
neutron: OpenFlowを用いたファイアウォール
Mitakaから、セキュリティグループにOpenFlowを用いたファイアウォールが導入されました。
これにより、OpenVSwitch(OVS)統合ブリッジと各VMとの間にLinuxブリッジデバイス+iptablesルールのコンポーネントを置かずに、直接OVS上のフロートしてOVSエージェントがファイアウォールを実装できるため、スケーラビリティと性能向上につながります。
確認のために、neutronのソースを見てみましょう。
mitakaのneutronの最新版(2016/7/8時点でneutron-8.1.2)のソースをダウンロードして展開します。
user@localhost:neutron-8.1.2/neutron/agent/linux$ ls __init__.py interface.py iptables_firewall.py polling.py async_process.py ip_conntrack.py iptables_manager.py ra.py bridge_lib.py ip_lib.py keepalived.py tc_lib.py daemon.py ip_link_support.py openvswitch_firewall utils.py dhcp.py ip_monitor.py ovsdb_monitor.py dibbler.py ipset_manager.py pd.py external_process.py iptables_comments.py pd_driver.py
今までのfirewallはiptablesベース(agent/linux/iptables_firewall.py)でしたが、今後はOpenvSwitchベース(agent/linux/openvswitch_firewall)も使用可能になります。
Open vSwitchベースのファイアウォールの情報に関しては、こちらに詳しく載っています。
cinder: NetAppドライバでのiSCSI CHAP 単方向認証の追加
iSCSIデバイスでは、ターゲットが接続要求してきたホストの身元を確認するため、CHAPプロトコルを用いてイニシエータを認証します。
この認証にも、二つの方式が有ります。
「単方向認証」では、ターゲットがイニシエータの身元を認証します。
「双方向認証」では、イニシエータがターゲットの身元を認証し、更にターゲットもイニシエータの身元を認証します。
Mitakaのcinderでは、NetAppドライバで、iSCSI CHAP単方向認証が追加されました。
これにより、iSCSIデバイスが接続要求ホストの確認が出来るため、よりセキュアな環境を築くことが可能になります。
まとめ
ここまで4回に渡って、Mitakaで拡張されたセキュリティを簡単に見てきました。
既にopenstackコミュニティではnewtonに向けての各コンポーネントのリリースが始まっています。またnewtonがリリースされたタイミングで、セキュリティの変更について見ていきたいと思います。
その他のopenstack情報（主にセキュリティに関して）も、逐次公開していきたいと思います。
また、SIOSではOpenStackのPoC支援のサポートメニュー提供を開始しています。
OpenStackに関しての導入を検討されている方は、是非こちらもご活用頂ければと思います。