如何安全地向OpenStack实例传递敏感元数据

以下方案均可以避免敏感凭据在OpenStack元数据中明文存储，防止平台管理员或其他越权用户窃取：

1. 非对称加密封装元数据内容 #

• 提前在VM镜像中预置你所持密钥对的私钥，或者将对应公钥通过OpenStack元数据明文传输（公钥本身无泄露风险）
• 你生成动态凭据后，使用公钥对凭据加密，将得到的密文写入元数据/userdata
• 实例启动后，内部进程调用内置的私钥解密得到明文凭据，即使其他用户拿到元数据中的密文也无法破解

注意：私钥仅保存在实例镜像内部，不得上传到OpenStack平台的任何公共存储、元数据字段

2. 采用OpenStack Barbican密钥管理服务 #

Barbican是OpenStack官方的机密存储组件，支持细粒度权限控制：

• 你首先将生成的动态凭据上传到Barbican，配置ACL规则仅允许实例对应的服务账户和你本人读取，管理员默认无访问权限
• 实例启动后，通过绑定的Keystone服务账户直接调用Barbican API拉取凭据，不需要在元数据中写入任何敏感内容
• 常用操作命令示例：

  # 上传凭据到Barbican
  openstack secret store --name "app-cred-${INSTANCE_UUID}" --payload "${DYNAMIC_CRED_CONTENT}"
  # 实例内部拉取明文凭据
  openstack secret get --payload ${GENERATED_SECRET_UUID}
  

3. SSH主动推送凭据 #

如果你的本地网络可以连通创建后的实例，可采用该零平台泄露方案：

• 实例创建时仅注入你的SSH公钥，元数据不携带任何凭据相关内容
• 实例启动完成后，你侧的自动化服务主动通过SSH加密通道连接到实例，直接将动态凭据写入实例内部的指定路径
• 整个传输过程完全脱离OpenStack平台监控，平台侧无法拿到任何凭据明文

4. 临时令牌兑换机制 #

你可以自建独立于OpenStack的凭据管理服务，走兑换逻辑规避明文存储：

• 你生成动态凭据后，在自建凭据服务中生成单次有效、仅可兑换一次的临时令牌，将令牌写入OpenStack元数据（令牌本身无敏感信息，泄露也无法直接拿到凭据）
• 实例启动后，携带实例ID、元数据中的临时令牌请求自建凭据服务，服务端校验实例身份合法性（可调用OpenStack API校验实例归属、状态）后返回明文凭据，令牌使用后立即失效

内容的提问来源于stack exchange，提问作者user3477889