OpenStack 安全指南

摘要

本书提供了保护 OpenStack 云的最佳实践和概念性信息。

重要提示

本指南最后更新于 Train 版本期间，记录了 OpenStack Train、Stein 和 Rocky 版本。它可能不适用于 EOL 版本（例如 Newton）。

我们建议您在计划为您的 OpenStack 云实施安全措施时，自行斟酌阅读本指南。

本指南仅供参考。

OpenStack 安全团队基于 OpenStack 社区的自愿贡献。您可以通过 OFTC IRC 的 #openstack-security 频道，或通过将邮件发送到 openstack-discuss 邮件列表（主题头中带有 [security] 前缀）直接联系安全社区。

目录

• 约定
  • 声明
  • 命令行提示
• 简介
  • 致谢
  • 我们编写本书的原因和方式
  • OpenStack 简介
  • 安全边界和威胁
  • 选择支持软件
• 系统文档
  • 系统文档要求
• 管理
  • 持续系统管理
  • 完整性生命周期
  • 管理接口
• 安全通信
  • TLS 和 SSL 简介
  • TLS 代理和 HTTP 服务
  • 安全参考架构
• API 端点
  • API 端点配置建议
• 身份
  • 身份验证
  • 身份验证方法
  • 授权
  • 策略
  • 令牌
  • 域
  • 联合 Keystone
  • 检查清单
• 仪表盘
  • 域名、仪表板升级和基本的 Web 服务器配置
  • HTTPS、HSTS、XSS 和 SSRF
  • 前端缓存和会话后端
  • 静态媒体
  • 密码
  • 密钥
  • Cookie
  • 跨域资源共享 (CORS)
  • 调试
  • 检查清单
• 计算
  • Hypervisor 选择
  • 强化虚拟化层
  • 强化计算部署
  • 漏洞感知
  • 如何选择虚拟控制台
  • 检查清单
• 块存储
  • 卷擦除
  • 检查清单
• 镜像存储
  • 检查清单
• 共享文件系统
  • 简介
  • 网络和安全模型
  • 安全服务
  • 共享访问控制
  • 共享类型访问控制
  • 策略
  • 检查清单
• 网络
  • 网络架构
  • 网络服务
  • 网络服务安全最佳实践
  • 保护 OpenStack 网络服务
  • 检查清单
• 对象存储
  • 网络安全
  • 通用服务安全
  • 保护存储服务
  • 保护代理服务
  • 对象存储身份验证
  • 其他重要事项
• 密钥管理
  • 现有技术的总结
  • 相关 OpenStack 项目
  • 用例
  • Barbican
  • Castellan
  • 常见问题解答
  • 检查清单
• 消息队列
  • 消息安全
• 数据处理
  • 数据处理简介
  • 部署
  • 配置和强化
• 数据库
  • 数据库后端注意事项
  • 数据库访问控制
  • 数据库传输安全
• 租户数据隐私
  • 数据隐私问题
  • 数据加密
  • 密钥管理
• 实例安全管理
  • 实例安全服务
• 监控和日志记录
  • 取证和事件响应
• 合规性
  • 合规性概述
  • 了解审计过程
  • 合规性活动
  • 认证和合规性声明
  • 隐私
• 安全审查
  • 架构页面指导
• 安全检查清单
• 附录
  • 社区支持
  • 术语表