rgw：数据加密

rgw数据加密

rgw网关收到客户端的数据后，先对数据进行加密，然后再存到rados集群里面。同理，读取数据的时候，rgw先进行解密，然后再发送给客户端。数据加解密的过程都是在rgw里面完成，此时rgw需要加解密的密钥和对应的算法。

ceph rgw（v12.2.12）里面按保存加密密钥的方式，分为两种情况：
1、由客户端负责指定加密密钥，当前仅支持AES256加密算法；
2、由rgw网关负责指定加密密钥，所有网关实例共用此密钥；
如果客户端上传、下载时指定了密钥的同时，rgw网关也配置了加密密钥，优先使用客户端指定的密钥进行数据加解密。

加密密钥保存在客户端

也就是客户端自己负责密钥的管理，rgw不负责保存。每次上传、下载数据的时候都需要指定加密密钥和加密算法。

上传下载对象例子

[root@ceph03 ~]# cat put.py
import boto3
import os

BUCKET = 'bk01'
KEY = os.urandom(32)

s3 = boto3.client('s3', endpoint_url="[http://192.168.10.20:7480](http://192.168.10.20:7480)")
s3.put_object(Bucket=BUCKET,
Key='foobar', Body=b'foobar',
SSECustomerKey=KEY,
SSECustomerAlgorithm='AES256')
print("put done")
print("getting object")
response = s3.get_object(Bucket=BUCKET, Key='foobar', SSECustomerKey=KEY, SSECustomerAlgorithm='AES256') print(response['Body'].read())

加密密钥保存在rgw

在集群配置文件/etc/ceph/ceph.conf里面，通过rgw crypt default encryption key来指定，缺点就是暴露了加密密钥。

[client.rgw.rgw1]
...
rgw crypt default encryption key = 4YSmvJtBv0aZ7geVgAsdpRnLBEwWSWlMIGnRS8a9TSA=
rgw_crypt_require_ssl = false

然后客户端和正常的使用方式一样，上传数据时，rgw会对数据进行加密保存。

持久化客户端的密钥

rgw客户端上传数据时，可以指定密钥，但后面如果忘记了这个密钥，就会无法读取数据了。这个时候我们存储系统需要保证客户端能够在忘记密钥的时候，也能读取数据。

实现思路就是客户端在上传数据时，把指定的密钥保存在应用数据对象的head对象的xattr里面。这样就算客户端忘记密钥了，也可以通过rados getxattr来获取密钥。

当然也可以增加配置项，来让用户决定是否开启该功能。

修改代码

rgw_crypt.cc文件：

int rgw_s3_prepare_decrypt(...){

...

    std::string key_bin;

    try {

        key_bin = from_base64(s->info.env->get("HTTP_X_AMZ_SERVER_SIDE_ENCRYPTION_CUSTOMER_KEY", ""));

        // save user custom encrypt key to attr. start dyp

        string custom_key = to_base64(key_bin);

        bufferlist custom_key_bl;

        custom_key_bl.append(custom_key.c_str(), custom_key.size() + 1);

        attrs.emplace(std::move(RGW_ATTR_USER_CUSTOM_KEY), std::move(custom_key_bl));

// save user custom encrypt key to attr. end dyp

    } 

...

}

rgw_common.h 文件：

#define RGW_ATTR_X_ROBOTS_TAG   RGW_ATTR_PREFIX "x-robots-tag"

// save user custom encrypt key to attr. start dyp

\#define RGW_ATTR_USER_CUSTOM_KEY   RGW_ATTR_PREFIX "user_custom_key"

// save user custom encrypt key to attr. end dyp

测试

rgw客户端对数据加密存储的时候，其head对象增加了名为rgw_user_custom_key的xattr：

image.png

获取该rgw_user_custom_key的值，就可以拿到用户指定的加密密钥：

image.png

正常上传对象时，则不需要保存该xattr。