Mount Helper für sichere Verbindungen zur Dateifreigabe
Mount Helper automatisiert die Verschlüsselung während der Übertragung für File Storage for VPC. Das Dienstprogramm konfiguriert IPsec-Tunnel für Zonenfreigaben und „ TLS “-Verbindungen für regionale Freigaben.
Was ist der Mount Helper?
Mount Helper ist ein Open-Source-Automatisierungstool, das eine sichere Kommunikation zwischen Ihren Rechenressourcen (virtuelle Serverinstanzen oder Bare-Metal-Server) und File Storage for VPC konfiguriert und herstellt. Das Dienstprogramm übernimmt die komplexen Aufgaben wie die Einrichtung der Verschlüsselung während der Übertragung, die Verwaltung von Zertifikaten und den Aufbau sicherer Tunnel, sodass Sie sich ganz auf die Nutzung Ihrer Dateifreigaben konzentrieren können, anstatt sich mit der Konfiguration der Sicherheitsinfrastruktur zu beschäftigen.
Das von Mount Helper verwendete Verschlüsselungsverfahren hängt von der Art Ihrer Dateifreigabe ab:
- IPsec-Kapselung für zonale Dateifreigaben
- Sichere Stunnel-Verbindung für regionale Dateifreigaben
Arten der Verschlüsselung während der Übertragung
IPsec-gekapselte Verbindung für Zonenfreigaben
Das Dienstprogramm verwendet „ strongSwan “ und swanctl, um IPsec auf dem Rechenhost zu konfigurieren, auf dem ein Linux-Betriebssystem
läuft.
File Storage for VPC Eine IPsec-Verbindung erfordert eine gegenseitige Authentifizierung. Der Mount Helper ruft das Identitäts-Token der Instanz oder des Bare-Metal-Servers vom Metadaten-Dienst ab. Anschließend wird die Erstellung des Identitätszertifikats für die Instanz oder den Bare-Metal-Server unter Verwendung des Identitäts-Tokens angefordert.
Der Mount Helper stellt alle 45 Minuten neue Zertifikatsanfragen, da die Gültigkeitsdauer des Zertifikats 1 Stunde beträgt. Das neue Zertifikat wird bereits vor Ablauf des alten Zertifikats generiert, um eine nahtlose Verbindung zu gewährleisten. Die Zertifikate werden aus Sicherheitsgründen mit einer kürzeren Gültigkeitsdauer ausgestellt.
Sie können das Dienstprogramm sowohl für verschlüsselte als auch für unverschlüsselte Verbindungen verwenden. Bei verschlüsselten Verbindungen verwendet der Mount Helper die Option „Metadata Service Protocol“, die entweder auf „ http “ oder „ https “ eingestellt ist. Weitere Informationen finden Sie in der API-Referenz zur Option „ metadata_service “ für die Instanzbereitstellung und die Bereitstellung von Bare-Metal-Servern.
Sichere Stunnel-Verbindung für regionale Freigaben
Das Dienstprogramm „Mount Helper“ installiert stunnel auf dem Rechenhost, auf dem ein Betriebssystem vom Typ „ Linux “ läuft. Stunnel ist eine Anwendung, die verschlüsselte „ TLS “-Tunnel zwischen Clients und Servern für eine sichere Kommunikation
erstellt. Im Client-Modus baut Stunnel eine Verbindung von Ihrer virtuellen Serverinstanz oder Ihrem Bare-Metal-Server zur Dateifreigabe auf und leitet die Daten über eine sichere Verbindung weiter. Stunnel benötigt eine Datei namens „ PEM
“, die in der Regel einen privaten Schlüssel und ein Zertifikat enthält. Wenn stunnel im Client-Modus läuft, greift es auf die systemweiten Konfigurationen unter SSL / TLS sowie auf die dort hinterlegten Zertifikate zurück. Es kann die Standarddatei
„ PEM “ verwenden, die in der Distribution „ Linux “ enthalten ist, anstatt ein benutzerdefiniertes Zertifikat zu erstellen. Die Datei „ PEM “ befindet sich häufig im Ordner „ /etc/ssl/private “ oder „ /etc/pki/tls/private “.
Anforderungen
Bevor Sie Mount Helper verwenden, vergewissern Sie sich, dass Ihre Umgebung die folgenden Anforderungen erfüllt:
- Um eine sichere Verbindung mit der Zonal- Dateifreigabe herzustellen, muss der Metadaten-Dienst auf der virtuellen Serverinstanz aktiviert sein. Falls diese Funktion noch nicht aktiviert ist, befolgen Sie die Anweisungen zum Aktivieren von Metadaten in derKonsole, zum Aktivieren von Metadaten über dieCLI, zum Aktivieren von Metadaten über die API für virtuelle Serverinstanzen oder zum Aktivieren von Metadaten in derKonsole, zum Aktivieren von Metadaten über dieCLI und zum Aktivieren von Metadaten über die API für Bare-Metal-Server.
- Die zonale oder regionale Dateifreigabe muss über den Zugriffsmodus „Sicherheitsgruppe“ verfügen, damit mithilfe der Sicherheitszugriffsgruppen der VPC festgelegt werden kann, welcher Rechenhost die Freigabe einbinden darf.
- Die Datenverschlüsselung während der Übertragung muss für das Einhängeziel aktiviert sein.
- Der Rechenhost und das Einhängeziel müssen Mitglieder derselben Sicherheitsgruppe sein.
- Das Einbindungsziel muss mit einer virtuellen Netzwerkschnittstelle erstellt werden, damit es über eine IP-Adresse innerhalb der VPC verfügt, die den virtuellen „ NFS “-Server repräsentiert.
Fügen Sie das Mount-Helper-Installationsskript nicht in Ihre „ cloud-init “-Konfiguration ein. Das Dienstprogramm benötigt zum Betrieb ein laufendes und stabiles VSI, da das Skript Metadata-API-Anfragen zur Überprüfung der Host-Identität
stellt.
Einschränkungen und Begrenzungen
Beachten Sie die folgenden Einschränkungen:
- Bei der IPsec-Kapselung können dieselben Zertifikate nicht regionenübergreifend verwendet werden.
- Der Mount Helper wird ausschließlich auf „ Linux “-Hosts unterstützt. Die unterstützten Distributionen entnehmen Sie bitte der folgenden Tabelle:
| Unterstütztes OS | Unterstütztes OS | Unterstütztes OS |
|---|---|---|
| RHEL_8 [8.4, 8.6, 8.8, 8.10] | RHEL_9 [9.0, 9.2, 9.4] | RHCOS „ 4.1 “ und neuere Versionen |
| UBUNTU_2204 | UBUNTU_2404 | SAP_SLES_15_SP3_HANA |
| CENTOS_STREAM_9 | CENTOS_STREAM_10 | SAP_SLES_15_SP4_HANA |
| DEBIAN_11 | DEBIAN_12 | SAP_SLES_15_SP3_APPLICATIONS |
| ROCKYLINUX_8 [8.9, 8.10] | ROCKYLINUX_9 [9.4, 9.5] | SAP_SLES_15_SP4_APPLICATIONS |