<div dir="ltr">Question on the image transfer from the "Image" node like Glance to the Host being provisioned.<div><br></div><div style>Why not add support for distributed bit-torrent servers that can serve out the images? They use this approach in the Rocks HPC cluster OS based off of CentOS / RedHat.</div>
<div style><br></div><div style>Endre</div></div><div class="gmail_extra"><br><br><div class="gmail_quote">2013/5/8 Day, Phil <span dir="ltr"><<a href="mailto:philip.day@hp.com" target="_blank">philip.day@hp.com</a>></span><br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Personally I'd like to see it made optional for Nova as well - it doesn't work universally with Guest Operating systems and with metadata server and config drive support providing two reasonable alternatives I don't see any reason for Nova to need to inject files into the Users filesystem<br>

<span class="HOEnZb"><font color="#888888"><br>
Phil<br>
</font></span><div class="HOEnZb"><div class="h5"><br>
-----Original Message-----<br>
From: Robert Collins [mailto:<a href="mailto:robertc@robertcollins.net">robertc@robertcollins.net</a>]<br>
Sent: 07 May 2013 19:10<br>
To: OpenStack Development Mailing List<br>
Subject: [openstack-dev] [nova][ironic] making file injection optional / removing it<br>
<br>
For baremetal, file injection is a scalability, security and performance headache.<br>
<br>
With virtual nodes, the overheads of injection are spread around many hypervisors; for baremetal each nova-compute can potentially run 1000's of instances, so you have far fewer compute processes, and the relative overhead is much higher.<br>

<br>
The image cache for nova compute doesn't help baremetal at all, as we have to copy the content to the node every time : we're planning on mitigating that with something to avoid bottlenecking on either glance or nova-compute - sharing the load between machines that are deploying the same image - e.g. bittorrent. File injection means we have a unique image or we have to transfer the content to be injected to the node being deployed on...<br>

<br>
And from a security perspective, copying secrets - in particular the replacement root password - over the network in an insecure fashion is troubling. TFTP isn't encrypted, and that's the boot process for baremetal. A salted password is substantially safer, but that would mean a significant layering violation if we pass that separate to the image, and if we pass it by injecting on the nova-compute node, we now have a different image.<br>

<br>
We could in principle generate a binary patch file to the image to apply after the identical base image, but we'd still need substantial complexity to ensure that scaled well and avoid issues when partition sizes are different etc.<br>

<br>
So - we'd like to make file injection either optional, or ideally just make it not exist for bare metal.<br>
<br>
Are there reasons we shouldn't/can't do that (e.g. is file injection a mandatory feature for a nova hypervisor driver?).<br>
<br>
-Rob<br>
<br>
--<br>
Robert Collins <<a href="mailto:rbtcollins@hp.com">rbtcollins@hp.com</a>><br>
Distinguished Technologist<br>
HP Cloud Services<br>
<br>
_______________________________________________<br>
OpenStack-dev mailing list<br>
<a href="mailto:OpenStack-dev@lists.openstack.org">OpenStack-dev@lists.openstack.org</a><br>
<a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
<br>
_______________________________________________<br>
OpenStack-dev mailing list<br>
<a href="mailto:OpenStack-dev@lists.openstack.org">OpenStack-dev@lists.openstack.org</a><br>
<a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
</div></div></blockquote></div><br></div>