ວິທີການສ້າງເພື່ອນ Ovirt ແລະໃຫ້ເຂົ້າລະຫັດ

ຍ່າງໄປຕາມເສັ້ນທາງຂອງການປັບປຸງໂຄງສ້າງພື້ນຖານ, ຂ້າພະເຈົ້າໄດ້ຕັດສິນໃຈຈົບຄໍາຖາມທີ່ເກົ່າແກ່ແລະເຈັບປວດ - ໂດຍບໍ່ມີທ່າທາງທີ່ບໍ່ຈໍາເປັນ, ໃຫ້ໂອກາດສໍາລັບເພື່ອນຮ່ວມງານ (ຜູ້ພັດທະນາ, ຜູ້ທົດສອບ, ຜູ້ບໍລິຫານ, ແລະອື່ນໆ) ເພື່ອຄຸ້ມຄອງເຄື່ອງຈັກ virtual ຂອງເຂົາເຈົ້າຢ່າງເປັນອິດສະຫຼະໃນ ovirt. Ovirt ມີອົງປະກອບຈໍານວນຫນຶ່ງທີ່ຕ້ອງໄດ້ຮັບການຕັ້ງຄ່າເພື່ອແກ້ໄຂບັນຫາຂອງຂ້ອຍ: ການໂຕ້ຕອບຂອງເວັບຂອງມັນເອງ, noVNC console ແລະການອັບໂຫລດຮູບພາບໃນແຜ່ນ.

ຂ້ອຍບໍ່ພົບປຸ່ມ "ເຮັດໃຫ້ມັນບໍ່ດີ", ສະນັ້ນຂ້ອຍສະແດງໃຫ້ເຈົ້າເຫັນປຸ່ມໃດທີ່ຂ້ອຍຫັນມາແກ້ໄຂບັນຫານີ້. ຄໍາແນະນໍາຢ່າງເຕັມທີ່ຂ້າງລຸ່ມນີ້ການຕັດ:

ຫມາຍເຫດ:

ກ່ອນທີ່ຈະເລີ່ມຕົ້ນ, ຂ້າພະເຈົ້າຢາກຈະດຶງດູດຄວາມສົນໃຈຂອງເຈົ້າກັບຄວາມຈິງທີ່ວ່າສໍາລັບບາງເຫດຜົນທີ່ຂ້ອຍບໍ່ຮູ້, ໂດເມນພື້ນຖານໂຄງລ່າງໄດ້ຖືກສ້າງຂື້ນໃນເຂດເອກະຊົນ lan, ທ້ອງຖິ່ນ, ແລະອື່ນໆ.

ຂ້ອຍບໍ່ຮູ້ວ່າສິ່ງທີ່ປ້ອງກັນບໍ່ໃຫ້ຂ້ອຍໃຊ້ໂດເມນຂອງອົງການຢູ່ໃນເຂດສາທາລະນະ. ຕົວຢ່າງ, ແທນທີ່ຈະເປັນໂດເມນ Alex-GLuck-Awesome-Company.local, ທ່ານສາມາດນໍາໃຊ້ໂດເມນໄດ້ຢ່າງປອດໄພສໍາລັບເວັບໄຊທ໌ຂອງບໍລິສັດ Alex-GLuck-Awesome-Company.com.

ຖ້າທ່ານຢ້ານວ່າທ່ານບໍ່ສາມາດຕິດຕາມໂດເມນໃນອົງການຂອງເຈົ້າ, ແລະນີ້ຈະທໍາລາຍບາງສິ່ງບາງຢ່າງ, ຫຼັງຈາກນັ້ນສໍາລັບ 100 ຮູເບີນເລັກນ້ອຍຕໍ່ປີທ່ານສາມາດຊື້ໂດເມນແຍກຕ່າງຫາກສໍາລັບໂຄງສ້າງພື້ນຖານຂອງ aglac.com.

ເປັນຫຍັງມັນຈຶ່ງມີກໍາໄລຫຼາຍກວ່າທີ່ຈະໃຊ້ໂດເມນໃນເຂດສາທາລະນະ:

1. ອົງກອນຂອງທ່ານມີການບໍລິການທີ່ສາມາດເຂົ້າເຖິງໄດ້ໂດຍສາທາລະນະ: vpn, ການແບ່ງປັນໄຟລ໌ (seafile, nextcloud), ແລະອື່ນໆ. ການຕັ້ງຄ່າການເຂົ້າລະຫັດການຈະລາຈອນໃນການບໍລິການດັ່ງກ່າວມັກຈະເປັນເລື່ອງທີ່ຫຍຸ້ງຍາກ, ແລະພວກເຮົາຈະບໍ່ປ້ອງກັນການໂຈມຕີຂອງ MitM ເພາະມັນຍາກ (ບໍ່ແມ່ນແທ້ໆ).

ຫຼືທ່ານມີທີ່ຢູ່ບໍລິການຫນຶ່ງພາຍໃນຫ້ອງການ, ແລະອື່ນຈາກອິນເຕີເນັດ, ແລະການເຊື່ອມຕໍ່ເຫຼົ່ານີ້ຕ້ອງໄດ້ຮັບການຮັກສາໄວ້, ເຊິ່ງເຮັດໃຫ້ເສຍຊັບພະຍາກອນຜູ້ຊ່ຽວຊານທີ່ຈໍາກັດຂອງພວກເຮົາ. ດີ, ພະນັກງານຕ້ອງຈື່ຈໍາທີ່ຢູ່ທີ່ແຕກຕ່າງກັນ, ເຊິ່ງບໍ່ສະດວກ.

2. ທ່ານສາມາດນໍາໃຊ້ອໍານາດການປົກໃບຢັ້ງຢືນຟຣີເພື່ອເຂົ້າລະຫັດການບໍລິການພາຍໃນຂອງທ່ານ.

PKI ຂອງທ່ານເອງແມ່ນການບໍລິການທີ່ຕ້ອງໄດ້ຮັບການສະຫນັບສະຫນູນ; 100 ຮູເບີນຕໍ່ປີສໍາລັບໂອກາດທີ່ຈະນໍາໃຊ້ PKI ຈາກເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນຟຣີຫຼາຍກວ່າການຈ່າຍຄ່າເວລາຂອງພະນັກງານທີ່ສາມາດໃຊ້ເວລາໃນວຽກງານອື່ນໆ.

3. ເມື່ອນໍາໃຊ້ສິດອໍານາດໃບຢັ້ງຢືນຂອງຕົນເອງ, ທ່ານຈະເອົາຄໍາເວົ້າເຂົ້າໄປໃນລໍ້ຂອງພະນັກງານຫ່າງໄກສອກຫຼີກແລະເພື່ອນຮ່ວມງານທີ່ຕ້ອງການເຮັດວຽກກັບ BYOD (ເອົາຄອມພິວເຕີໂນດບຸກ, ໂທລະສັບ, ແທັບເລັດ) ແລະທ່ານບໍ່ສາມາດຈັດການອຸປະກອນຂອງເຂົາເຈົ້າໄດ້. ພວກເຂົາເອົາ Macs, Linux, Androids, iOS, Windows - ມັນບໍ່ມີຈຸດໃດທີ່ຈະສະຫນັບສະຫນູນສວນສັດດັ່ງກ່າວ.

ໃນທຸກສິ່ງທຸກຢ່າງ, ແນ່ນອນ, ມີຂໍ້ຍົກເວັ້ນ, ແລະທະນາຄານກັບວິສາຫະກິດທີ່ໂຫດຮ້າຍອື່ນໆທີ່ໄດ້ສ້າງຕັ້ງນະໂຍບາຍຄວາມປອດໄພຈະບໍ່ສາມາດປັບປຸງການບໍລິການສໍາລັບພະນັກງານຂອງເຂົາເຈົ້າ.

ສໍາລັບພວກເຂົາ, ມີເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນທີ່ໄດ້ຮັບຄ່າຈ້າງທີ່ສາມາດເຊັນໃບຢັ້ງຢືນ CA ຂອງພວກເຂົາສໍາລັບຈໍານວນທີ່ແນ່ນອນ (Google "ບໍລິການເຊັນຊື່ຮາກ").

ມີເຫດຜົນອື່ນໆວ່າເປັນຫຍັງມັນຈຶ່ງມີກໍາໄລຫຼາຍກວ່າທີ່ຈະໃຊ້ໂດເມນສາທາລະນະ (ສິ່ງທີ່ສໍາຄັນທີ່ສຸດແມ່ນວ່າມັນເປັນຂອງເຈົ້າ), ແຕ່ບົດຄວາມນີ້ບໍ່ກ່ຽວກັບເລື່ອງນັ້ນ.

ຈຸດ​ແມ່ນ...

ລະວັງ! ຖ້າເຈົ້າເພີ່ມໃບຮັບຮອງ Let's Encrypt CA ໃສ່ລາຍຊື່ທີ່ເຊື່ອຖືໄດ້ຂອງ ovirt, ມັນອາດຈະສົ່ງຜົນກະທົບຕໍ່ຄວາມປອດໄພຂອງລະບົບຂອງເຈົ້າ!

ສິ່ງທໍາອິດທີ່ທ່ານຈໍາເປັນຕ້ອງເອົາໃຈໃສ່ແມ່ນວ່າການເປີດເຜີຍການໂຕ້ຕອບ Ovirt ກັບອິນເຕີເນັດແມ່ນການປະຕິບັດທີ່ບໍ່ດີ, ເພາະວ່າ ນີ້ເຮັດໃຫ້ບໍ່ມີຄວາມຮູ້ສຶກປະຕິບັດ, ແລະສ້າງໄພຂົ່ມຂູ່ດ້ານຄວາມປອດໄພເພີ່ມເຕີມ.

ດັ່ງນັ້ນ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ຮັບໃບຢັ້ງຢືນຫນຶ່ງຂອງເຈົ້າພາບ bastion ຂອງພວກເຮົາ, ແລະຫຼັງຈາກນັ້ນໂອນໃບຢັ້ງຢືນແລະກຸນແຈໃຫ້ກັບເຈົ້າພາບຂອງພວກເຮົາດ້ວຍເຄື່ອງຈັກ ovirt.

ພວກເຮົາເພີ່ມທີ່ຢູ່ພາຍນອກຂອງ bastion host ຂອງພວກເຮົາໃສ່ dns ດ້ວຍຊື່ ovirt ຂອງພວກເຮົາ ovirtengine.example.com, ຂ້ອຍຈະອອກຈາກການຕິດຕັ້ງ certbot ແລະ nginx ຢູ່ເບື້ອງຫຼັງ (ວິທີການເຮັດນີ້ແມ່ນໄດ້ອະທິບາຍແລ້ວໃນHabré).

ຕັ້ງຄ່າ njinx ລຸ້ນ >=1.15.7

/etc/nginx/conf.d/default.conf

server {
    server_name _;
    listen 80 default_server;
    location /robots.txt { alias /usr/share/nginx/html/robots.txt; }
    location /.well-known {
        root /usr/share/nginx/html;
    }
    location / {
        return 444;
    }
}

server {
    server_name _;
    listen 443 ssl http2 default_server;
    location /robots.txt { alias /usr/share/nginx/html/robots.txt; }
    location /.well-known {
        root /usr/share/nginx/html;
    }

    ssl_certificate /etc/nginx/ssl/$ssl_server_name/fullchain.pem; 
    ssl_certificate_key /etc/nginx/ssl/$ssl_server_name/privkey.pem;

    ssl_protocols TLSv1.2;
    ssl_prefer_server_ciphers on;

    ssl_dhparam /etc/nginx/ssl/dhparam.pem;
    ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA';
    ssl_session_timeout 1d;
    ssl_session_cache shared:SSL:50m;

    # позволяем серверу прикреплять OCSP-ответы, тем самым уменьшая время загрузки страниц у пользователей
    ssl_stapling on;
    ssl_stapling_verify on;
    add_header Strict-Transport-Security max-age=15768000;

    location / {
        return 444;
    }
}

ຫຼັງຈາກນັ້ນ, ພວກເຮົາໄດ້ຮັບໃບຢັ້ງຢືນແລະລະຫັດຂອງພວກເຮົາ:

certbot certonly --nginx -d ovirtengine.example.com

ເກັບໃບຢັ້ງຢືນ ແລະກະແຈຂອງພວກເຮົາໄວ້:

tar Phczf /tmp/ovirtengine.example.com.tgz /etc/letsencrypt/live/ovirtengine.example.com

ດາວໂຫລດຮວບຮວມຈາກ host bastion ແລະອັບໂຫລດມັນໃສ່ເຄື່ອງຈັກ ovirt ຂອງພວກເຮົາ:

scp bastion-host:/tmp/ovirtengine.example.com.tgz /tmp/
scp /tmp/ovirtengine.example.com.tgz ovirtengine.example.com:/

ຂໍໃຫ້ກ້າວໄປສູ່ເປົ້າຫມາຍ

ຕໍ່ໄປ, ພວກເຮົາ unpack archive ຂອງພວກເຮົາແລະສ້າງ symlinks ເພື່ອເຮັດໃຫ້ຄວາມເຂົ້າໃຈຂອງລະບົບສະຖານທີ່ໄຟລ໌ງ່າຍດາຍ:

tar Pxzf /ovirtengine.example.com.tgz && rm -f ovirtengine.example.com.tgz
mkdir -p /etc/letsencrypt/live
ln -f -s /etc/letsencrypt/live /etc/pki/letsencrypt

ພວກເຮົາກຳນົດຄ່າ pki ທີ່ສ້າງຂຶ້ນໃນ Ovirt ເພື່ອໃຫ້ບ່ອນເກັບໃບຢັ້ງຢືນ java (openjdk) ຖືກນໍາໃຊ້ເພື່ອກວດສອບໃບຢັ້ງຢືນ:

cat << EOF > /etc/ovirt-engine/engine.conf.d/99-setup-pki.conf 
ENGINE_HTTPS_PKI_TRUST_STORE="/etc/pki/java/cacerts"
ENGINE_HTTPS_PKI_TRUST_STORE_PASSWORD=""
EOF

ພວກເຮົາປ່ຽນ CA ຈາກ let's encrypt ເຂົ້າໄປໃນຮູບແບບ der ແລະເພີ່ມມັນເຂົ້າໄປໃນ ovirt java trust store certificate store (ນີ້ແມ່ນ container ທີ່ມີບັນຊີລາຍຊື່ຂອງໃບຢັ້ງຢືນ, ລະບົບດັ່ງກ່າວຖືກນໍາໃຊ້ໃນ java):

openssl x509 -outform der -in /etc/pki/letsencrypt/ovirtengine.example.com/chain.pem -out /tmp/ovirtengine.example.com.chain.der
keytool -import -alias "Let's Encrypt Authority X3" -file /tmp/ovirtengine.example.com.chain.der -keystore /etc/pki/ovirt-engine/.truststore -storepass $(grep '^ENGINE_PKI_TRUST_STORE_PASSWORD' /etc/ovirt-engine/engine.conf.d/10-setup-pki.conf | cut -f 2 -d '"')
rm -f /tmp/ovirtengine.example.com.chain.der

ພວກເຮົາແກ້ໄຂການຕັ້ງຄ່າ SSL ສໍາລັບ apache, ເພີ່ມພາລາມິເຕີເພື່ອສະຫນັບສະຫນູນ symlinks ແລະເອົາພາລາມິເຕີສໍາລັບ CA ທີ່ຈະກວດສອບໃບຢັ້ງຢືນ (ໂດຍຄ່າເລີ່ມຕົ້ນ, ຊຸດລະບົບຂອງ CAs ທີ່ເຊື່ອຖືໄດ້ຈະຖືກນໍາໃຊ້ສໍາລັບການຢັ້ງຢືນ):

sed -r -i 's|^(SSLCACertificateFile.*)|#1|g' /etc/httpd/conf.d/ssl.conf
sed -r -i '0,/(^#?SSLCACertificateFile.*)/ s//1nOptions FollowSymlinks/' /etc/httpd/conf.d/ssl.conf

ຫຼັງຈາກນັ້ນ, ໃນກໍລະນີໃດກໍ່ຕາມ, ພວກເຮົາສໍາຮອງຂໍ້ມູນໄຟລ໌ຕົ້ນສະບັບທີ່ສ້າງຂຶ້ນໂດຍຜ່ານ PKI ອັດຕະໂນມັດຂອງ ovirt ແລະທົດແທນພວກມັນດ້ວຍ symlinks ກັບໄຟລ໌ຈາກ Let's Encrypt:

ln -f -s /etc/pki/letsencrypt/ovirtengine.example.com/fullchain.pem /etc/pki/ovirt-engine/apache-chain.pem
services=( 'apache' 'imageio-proxy' 'websocket-proxy' )
for i in "${services[@]}"; do
cp /etc/pki/ovirt-engine/certs/$i.cer{,."$( date +%F )".bak}
cp /etc/pki/ovirt-engine/keys/$i.key.nopass{,."$( date +%F )".bak}
ln -f -s /etc/pki/letsencrypt/ovirtengine.example.com/privkey.pem /etc/pki/ovirt-engine/keys/$i.key.nopass
ln -f -s /etc/pki/letsencrypt/ovirtengine.example.com/cert.pem /etc/pki/ovirt-engine/certs/{apache,imageio-proxy,websocket-proxy}.cer
done

ພວກເຮົາຟື້ນຟູ SElinux contexts ໃນໄຟລ໌ແລະ restart ການບໍລິການຂອງພວກເຮົາ (httpd, ovirt-engine, ovirt-imageio-proxy, ovirt-websocket-proxy):

restorecon -Rv /etc/pki
systemctl restart httpd ovirt-engine ovirt-imageio-proxy ovirt-websocket-proxy

httpd — ເວັບເຊີບເວີ apache
ovirt-engine - ovirt web interface
ovirt-imageio-proxy - daemon ສໍາລັບການດາວໂຫຼດຮູບພາບແຜ່ນ
ovirt-websocket-proxy - ບໍລິການສໍາລັບການແລ່ນ noVNC console

ທັງຫມົດຂ້າງເທິງນີ້ໄດ້ຖືກທົດສອບໃນ Ovirt ຮຸ່ນ 4.2.

ການຕໍ່ອາຍຸອັດຕະໂນມັດຂອງໃບຢັ້ງຢືນໃນ ovirt

ອີງຕາມການປະຕິບັດຄວາມປອດໄພທີ່ດີ, ບໍ່ຄວນມີການເຊື່ອມຕໍ່ລະຫວ່າງ bastion host ແລະ ovirt, ແລະໃບຢັ້ງຢືນແມ່ນອອກພຽງແຕ່ 3 ເດືອນ. ນີ້ແມ່ນບ່ອນທີ່ບັນຫາໂຕ້ແຍ້ງເກີດຂຶ້ນກ່ຽວກັບວິທີທີ່ຂ້ອຍປະຕິບັດການຕໍ່ອາຍຸໃບຢັ້ງຢືນ.

ຂ້າ​ພະ​ເຈົ້າ​ມີ playbook ansible ທີ່​ດໍາ​ເນີນ​ການ​ໃນ foreman ທຸກໆ​ມື້​ທີ່ 5 am ຕາມ​ຕາ​ຕະ​ລາງ​ການ. ປື້ມຫຼິ້ນນີ້ໄປຫາ ovirt, ກວດເບິ່ງໄລຍະເວລາທີ່ຖືກຕ້ອງຂອງໃບຢັ້ງຢືນ, ແລະຖ້າມີຫນ້ອຍກວ່າ 5 ມື້ກ່ອນຫມົດອາຍຸ, ມັນໄປຫາເຈົ້າພາບ bastion ແລະເລີ່ມປັບປຸງໃບຢັ້ງຢືນ.

ຫຼັງຈາກການປັບປຸງໃບຢັ້ງຢືນ, ມັນຈະເກັບໂຟນເດີດ້ວຍໄຟລ໌, ດາວໂຫລດມັນໃສ່ໂຮດ Forman ແລະ unzips ມັນກັບ Ovirt host. ຫຼັງຈາກນັ້ນ, SElinux ຟື້ນຟູສະພາບການຢູ່ໃນໄຟລ໌ແລະເປີດບໍລິການຂອງພວກເຮົາຄືນໃຫມ່.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com