openstack的使用——9. 密钥管理服务Barbican

OpenStack Barbican 密钥管理服务实战：安全存储与自动生成密钥全指南

在云环境中，敏感数据的安全管理 （如加密密钥、证书、密码）是保障系统安全的基石。OpenStack 提供了 Barbican ------ 一个企业级的密钥管理服务（Key Manager Service），通过 REST API 安全地存储、生成和分发机密信息。

本文将带你全面了解 Barbican 的核心功能，并通过完整命令行操作演示：

手动存储用户自定义密钥
自动生成高强度对称密钥
查询密钥元数据与实际内容
理解 Secret / Order 模型

实验环境说明

控制节点：controller (192.168.200.150)

计算节点：compute (192.168.200.151)

OpenStack 版本：Train 或以上

Barbican 已完成安装并集成 Keystone

一、Barbican 核心概念

1. 什么是 Barbican？

Barbican 是 OpenStack 的机密即服务（Secrets as a Service）组件，主要功能包括：

✅ 安全存储：对称/非对称密钥、证书、原始二进制数据
✅ 密钥生成：按需生成高强度加密密钥（AES、RSA 等）
✅ 访问控制：基于 Keystone 的 RBAC 权限模型
✅ 审计追踪：记录所有密钥操作日志
✅ 集成能力：为 Nova（磁盘加密）、Cinder（卷加密）、Heat 等提供密钥支持

💡 典型应用场景：

虚拟机磁盘加密（LUKS + Barbican）

TLS 证书集中管理

应用程序密码/Token 安全存储

自动化 CI/CD 流程中的密钥注入

2. 核心对象模型

对象	作用
Secret	实际存储的机密数据（如密钥、证书）
Order	密钥生成请求（提交后由 Barbican 异步创建 Secret）
Container	逻辑分组（如将私钥+公钥+证书打包）

📌 两种使用模式：

手动存储 ：用户直接上传密钥内容（openstack secret store）

自动生成 ：提交 Order 请求，Barbican 生成并返回密钥（openstack secret order create）

二、手动存储密钥：用户自定义内容

1. 存储密钥

将字符串 secretkey 作为密钥内容存入 Barbican，命名为 secret01：

bash 复制代码

openstack secret store --name secret01 --payload secretkey

输出：

复制代码

+---------------+------------------------------------------------------------------------+
| Field         | Value                                                                  |
+---------------+------------------------------------------------------------------------+
| Secret href   | http://controller:9311/v1/secrets/03c1d6db-7114-4769-a6aa-064d010568f6 |
| Name          | secret01                                                               |
| Algorithm     | aes                                                                    |
| Bit length    | 256                                                                    |
| Secret type   | opaque                                                                 |
| Mode          | cbc                                                                    |
+---------------+------------------------------------------------------------------------+

🔑 关键参数：

--payload：指定密钥明文内容（生产环境建议通过文件或管道传入）

默认加密算法：AES-256-CBC（即使内容为文本）

2. 列出所有密钥

bash 复制代码

openstack secret list

输出示例：

复制代码

+------------------------------------------------------------------------+----------+---------------------------+--------+-----------------------------+-----------+------------+-------------+------+------------+
| Secret href                                                            | Name     | Created                   | Status | Content types               | Algorithm | Bit length | Secret type | Mode | Expiration |
+------------------------------------------------------------------------+----------+---------------------------+--------+-----------------------------+-----------+------------+-------------+------+------------+
| http://controller:9311/v1/secrets/03c1d6db-...                          | secret01 | 2023-04-11T07:56:59+00:00 | ACTIVE | {u'default': u'text/plain'} | aes       |        256 | opaque      | cbc  | None       |
+------------------------------------------------------------------------+----------+---------------------------+--------+-----------------------------+-----------+------------+-------------+------+------------+

💡 opaque 类型表示原始二进制数据，text/plain 表示文本内容。

3. 获取密钥元数据

bash 复制代码

openstack secret get http://controller:9311/v1/secrets/03c1d6db-7114-4769-a6aa-064d010568f6

4. 获取密钥实际内容

bash 复制代码

openstack secret get http://controller:9311/v1/secrets/03c1d6db-7114-4769-a6aa-064d010568f6 --payload

输出：

复制代码

+---------+-----------+
| Field   | Value     |
+---------+-----------+
| Payload | secretkey |
+---------+-----------+

⚠️ 安全警告 ：

此操作会明文输出密钥！确保终端环境安全，避免日志记录。

三、自动生成密钥：Barbican 按需创建

对于高安全性场景，建议让 Barbican 自动生成高强度密钥。

1. 创建密钥生成订单

bash 复制代码

openstack secret order create \
  --name secret02 \
  --algorithm aes \
  --bit-length 256 \
  --mode cbc \
  --payload-content-type application/octet-stream \
  key

输出：

复制代码

+----------------+-----------------------------------------------------------------------+
| Field          | Value                                                                 |
+----------------+-----------------------------------------------------------------------+
| Order href     | http://controller:9311/v1/orders/b02f8000-9de7-4a62-b406-80e710ebaa10 |
| Type           | Key                                                                   |
| Secret href    | None                                                                  |
+----------------+-----------------------------------------------------------------------+

🔧 参数详解：

key：表示生成对称密钥（也可选 asymmetric 生成 RSA 密钥对）

--payload-content-type：指定密钥格式（二进制流）

Barbican 后台将调用加密库（如 OpenSSL）生成随机密钥

2. 查看订单状态

bash 复制代码

openstack secret order list

输出：

复制代码

+-----------------------------------------------------------------------+------+----------------+------------------------------------------------------------------------+--------+
| Order href                                                            | Type | Secret href                                                            | Status |
+-----------------------------------------------------------------------+------+----------------+------------------------------------------------------------------------+--------+
| http://controller:9311/v1/orders/b02f8000-...                          | Key  | http://controller:9311/v1/secrets/96898654-335d-40d0-90c6-d6c8bc66641a | ACTIVE |
+-----------------------------------------------------------------------+------+----------------+------------------------------------------------------------------------+--------+

✅ 当 Status=ACTIVE 且 Secret href 非空时，表示密钥已生成成功。

3. 获取生成的密钥

查看订单详情：

bash 复制代码

openstack secret order get http://controller:9311/v1/orders/b02f8000-9de7-4a62-b406-80e710ebaa10

获取密钥元数据：

bash 复制代码

openstack secret get http://controller:9311/v1/secrets/96898654-335d-40d0-90c6-d6c8bc66641a

输出关键信息：

复制代码

| Secret type   | symmetric                                                              |
| Algorithm     | aes                                                                    |
| Bit length    | 256                                                                    |

💡 symmetric 类型表示对称密钥，可用于 AES 加密。

获取密钥明文（谨慎操作！）：

bash 复制代码

openstack secret get  --payload

四、高级功能与最佳实践

1. 密钥生命周期管理

设置过期时间：

bash 复制代码

openstack secret store --name temp-key --payload "temp" --expiration "2025-12-31T23:59:59"

删除密钥：
bash 复制代码
```
openstack secret delete 
```

2. 安全建议

场景	建议
生产环境	避免使用 `--payload` 明文传参，改用 `--payload-file`
权限控制	通过 Keystone 限制 Project 对密钥的访问
审计	启用 Barbican 日志记录所有 GET/PAYLOAD 操作
集成	与 Nova 配合实现虚拟机磁盘加密（需配置 `nova.conf`）

3. 典型集成场景

yaml 复制代码

# Nova 使用 Barbican 加密磁盘
[workarounds]
enable_barbican_volumes = true

[cinder]
catalog_info = volumev3:cinderv3:publicURL

五、总结

操作类型	命令	适用场景
手动存储	`openstack secret store`	用户已有密钥/证书
自动生成	`openstack secret order create`	需要高强度随机密钥
查询列表	`openstack secret list`	审计/管理
获取内容	`openstack secret get --payload`	应用程序消费密钥

Barbican 将密钥管理从"运维负担"转变为"安全服务"，使 OpenStack 云平台真正具备企业级安全能力。无论是满足合规要求（如 GDPR、等保），还是构建零信任架构，Barbican 都是不可或缺的一环。

🔒 记住：密钥的安全性取决于最弱环节。即使使用 Barbican，也要确保：

控制节点物理安全

数据库加密存储

API 访问严格授权

欢迎在评论区分享你的 Barbican 实践经验！