<div dir="ltr">Thanks Egor.<br><div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Jun 16, 2015 at 1:52 AM, Egor Guz <span dir="ltr"><<a href="mailto:EGuz@walmartlabs.com" target="_blank">EGuz@walmartlabs.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">+1 for non-Barbican support first, unfortunately Barbican is not very well adopted in existing installation.<br>
<br>
Madhuri, also please keep in mind we should come with solution which should work with Swarm and Mesos as well in further.<br></blockquote><div><br></div><div>Good point. It will be the same, just the difference will be configuring the respective services with signed certs and keys. <br><br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<br>
—<br>
Egor<br>
<br>
From: Madhuri Rai <<a href="mailto:madhuri.rai07@gmail.com">madhuri.rai07@gmail.com</a><mailto:<a href="mailto:madhuri.rai07@gmail.com">madhuri.rai07@gmail.com</a>>><br>
Reply-To: "OpenStack Development Mailing List (not for usage questions)" <<a href="mailto:openstack-dev@lists.openstack.org">openstack-dev@lists.openstack.org</a><mailto:<a href="mailto:openstack-dev@lists.openstack.org">openstack-dev@lists.openstack.org</a>>><br>
Date: Monday, June 15, 2015 at 0:47<br>
To: "OpenStack Development Mailing List (not for usage questions)" <<a href="mailto:openstack-dev@lists.openstack.org">openstack-dev@lists.openstack.org</a><mailto:<a href="mailto:openstack-dev@lists.openstack.org">openstack-dev@lists.openstack.org</a>>><br>
Subject: Re: [openstack-dev] [Magnum] TLS Support in Magnum<br>
<span class=""><br>
Hi,<br>
<br>
Thanks Adrian for the quick response. Please find my response inline.<br>
<br>
</span><span class="">On Mon, Jun 15, 2015 at 3:09 PM, Adrian Otto <<a href="mailto:adrian.otto@rackspace.com">adrian.otto@rackspace.com</a><mailto:<a href="mailto:adrian.otto@rackspace.com">adrian.otto@rackspace.com</a>>> wrote:<br>
Madhuri,<br>
<br>
</span><span class="">On Jun 14, 2015, at 10:30 PM, Madhuri Rai <<a href="mailto:madhuri.rai07@gmail.com">madhuri.rai07@gmail.com</a><mailto:<a href="mailto:madhuri.rai07@gmail.com">madhuri.rai07@gmail.com</a>>> wrote:<br>
<br>
Hi All,<br>
<br>
</span>This is to bring the blueprint  secure-kubernetes<<a href="https://blueprints.launchpad.net/magnum/+spec/secure-kubernetes" rel="noreferrer" target="_blank">https://blueprints.launchpad.net/magnum/+spec/secure-kubernetes</a>> in discussion. I have been trying to figure out what could be the possible change area to support this feature in Magnum. Below is just a rough idea on how to proceed further on it.<br>
<div><div class="h5"><br>
This task can be further broken in smaller pieces.<br>
<br>
1. Add support for TLS in python-k8sclient.<br>
The current auto-generated code doesn't support TLS. So this work will be to add TLS support in kubernetes python APIs.<br>
<br>
2. Add support for Barbican in Magnum.<br>
Barbican will be used to store all the keys and certificates.<br>
<br>
Keep in mind that not all clouds will support Barbican yet, so this approach could impair adoption of Magnum until Barbican is universally supported. It might be worth considering a solution that would generate all keys on the client, and copy them to the Bay master for communication with other Bay nodes. This is less secure than using Barbican, but would allow for use of Magnum before Barbican is adopted.<br>
<br>
+1, I agree. One question here, we are trying to secure the communication between magnum-conductor and kube-apiserver. Right?<br>
<br>
<br>
If both methods were supported, the Barbican method should be the default, and we should put warning messages in the config file so that when the administrator relaxes the setting to use the non-Barbican configuration he/she is made aware that it requires a less secure mode of operation.<br>
<br>
In non-Barbican support, client will generate the keys and pass the location of the key to the magnum services. Then again heat template will copy and configure the kubernetes services on master node. Same as the below step.<br>
<br>
<br>
My suggestion is to completely implement the Barbican support first, and follow up that implementation with a non-Barbican option as a second iteration for the feature.<br>
<br>
How about implementing the non-Barbican support first as this would be easy to implement, so that we can first concentrate on Point 1 and 3. And then after it, we can work on Barbican support with more insights.<br>
<br>
Another possibility would be for Magnum to use its own private installation of Barbican in cases where it is not available in the service catalog. I dislike this option because it creates an operational burden for maintaining the private Barbican service, and additional complexities with securing it.<br>
<br>
In my opinion, installation of Barbican should be independent of Magnum. My idea here is, if user wants to store his/her keys in Barbican then he/she will install it.<br>
We will have a config paramter like "store_secure" when True means we have to store the keys in Barbican or else not.<br>
What do you think?<br>
<br>
3. Add support of TLS in Magnum.<br>
This work mainly involves supporting the use of key and certificates in magnum to support TLS.<br>
<br>
The user generates the keys, certificates and store them in Barbican. Now there is two way to access these keys while creating a bay.<br>
<br>
Rather than "the user generates the keys…", perhaps it might be better to word that as "the magnum client library code generates the keys for the user…”.<br>
<br>
It is "user" here. In my opinion, there could be users who don't want to use magnum client rather the APIs directly, in that case the user will generate the key themselves.<br>
<br>
In our first implementation, we can support the user generating the keys and then later client generating the keys.<br>
<br>
1. Heat will access Barbican directly.<br>
While creating bay, the user will provide this key and heat templates will fetch this key from Barbican.<br>
<br>
I think you mean that Heat will use the Barbican key to fetch the TLS key for accessing the native API service running on the Bay.<br>
Yes.<br>
<br>
2. Magnum-conductor access Barbican.<br>
While creating bay, the user will provide this key and then Magnum-conductor will fetch this key from Barbican and provide this key to heat.<br>
<br>
Then heat will copy this files on kubernetes master node. Then bay will use this key to start a Kubernetes services signed with these keys.<br>
<br>
Make sure that the Barbican keys used by Heat and magnum-conductor to store the various TLS certificates/keys are unique per tenant and per bay, and are not shared among multiple tenants. We don’t want it to ever be possible to trick Magnum into revealing secrets belonging to other tenants.<br>
<br>
Yes, I will take care of it.<br>
<br>
After discussion when we all come to same point, I will create separate blueprints for each task.<br>
I am currently working on configuring Kubernetes services with TLS keys.<br>
<br>
Please provide your suggestions if any.<br>
<br>
Thanks for kicking off this discussion.<br>
<br>
Regards,<br>
<br>
Adrian<br>
<br>
<br>
<br>
Regards,<br>
Madhuri<br>
__________________________________________________________________________<br>
OpenStack Development Mailing List (not for usage questions)<br>
</div></div>Unsubscribe: <a href="mailto:OpenStack-dev-request@lists.openstack.org">OpenStack-dev-request@lists.openstack.org</a><mailto:<a href="mailto:OpenStack-dev-request@lists.openstack.org">OpenStack-dev-request@lists.openstack.org</a>>?subject:unsubscribe<br>
<span class=""><a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" rel="noreferrer" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
<br>
<br>
__________________________________________________________________________<br>
OpenStack Development Mailing List (not for usage questions)<br>
</span>Unsubscribe: <a href="http://OpenStack-dev-request@lists.openstack.org?subject:unsubscribe" rel="noreferrer" target="_blank">OpenStack-dev-request@lists.openstack.org?subject:unsubscribe</a><<a href="http://OpenStack-dev-request@lists.openstack.org?subject:unsubscribe" rel="noreferrer" target="_blank">http://OpenStack-dev-request@lists.openstack.org?subject:unsubscribe</a>><br>
<a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" rel="noreferrer" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
<br>
<br>
Regards,<br>
Madhuri<br>
<div class="HOEnZb"><div class="h5"><br>
__________________________________________________________________________<br>
OpenStack Development Mailing List (not for usage questions)<br>
Unsubscribe: <a href="http://OpenStack-dev-request@lists.openstack.org?subject:unsubscribe" rel="noreferrer" target="_blank">OpenStack-dev-request@lists.openstack.org?subject:unsubscribe</a><br>
<a href="http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev" rel="noreferrer" target="_blank">http://lists.openstack.org/cgi-bin/mailman/listinfo/openstack-dev</a><br>
</div></div></blockquote></div><br></div><div class="gmail_extra">Regards,<br></div><div class="gmail_extra">Madhuri<br></div></div></div>