OpenStack denetim kaydı: CADF, keystonemiddleware ve denetim izi oluşturmak

CADF olay modeli

CADF, denetlenebilir her eylemi küçük ve sabit bir sözlükle tanımlar:

keystonemiddleware audit filtresi

Audit middleware, bir API servisinin WSGI hattında kimlik doğrulama filtresinin yanında yer alır. Her istek için:

1. auth_token tarafından ayarlanan token bağlamını (kullanıcı, proje, roller) okur.
2. HTTP metodunu ve yolu, o servisin audit map dosyasını kullanarak bir CADF eylemine ve hedefine eşler.
3. İstek geldiğinde bir CADF olayı, yanıt döndüğünde sonucu içeren bir olay daha üretir.
4. Olayı oslo.messaging üzerinden bildirim olarak gönderir veya bir log’a yazar.

Her servisin içinde çalıştığı için kapsam, operatörün filtreyi her yerde etkinleştirmesine bağlıdır.

Keystone bildirimleri

Keystone, CADF bildirim biçimiyle yapılandırıldığında kimlik doğrulama, kullanıcı ve proje değişiklikleri ve rol atamaları gibi kimlik işlemleri için CADF biçimli bildirimler yayar. Bunlar servis bazlı API olaylarını tamamlar.

Operatörün eklemesi gerekenler

Middleware olay üretir; olayları saklamaz veya sunmaz. Bir denetim izi için şunlar gerekir:

• mesaj kuyruğundan bildirimleri tüketen bir toplayıcı;
• tanımlı saklama süresi ve yazma korumasıyla depolama;
• kullanıcı, proje, kaynak ve zamana göre indeksleme ve arama;
• her müşterinin yalnızca kendi olaylarını gördüğü tenant yalıtımı;
• müşteriye ait sistemlere aktarım.

Kamuya açık OpenStack bulutlarında sağlayıcı tarafından işletilen servisler bu boşluğu kapatır.

Örnek olarak vTrail

vTrail, PortvMind Cloud’un denetim kaydı servisidir. Sağlayıcı tarafından sağlanan olay modeli zamanı, istek kimliğini, HTTP metodunu ve yolu, durumu, istemci IP’sini, user agent’ı, kimliği doğrulanmış kullanıcıyı, projeyi ve kapsamı, servis ve rotayı ve istek süresini kaydeder. Aşağıdaki eşleme bu alanların CADF, CloudTrail ve Google Cloud denetim alanlarıyla nasıl karşılaştığını gösterir.

{
  "event_time": "",
  "request_id": "",
  "http_method": "",
  "full_path": "",
  "http_status": null,
  "client_ip": "",
  "user_agent": "",
  "auth_user_id": "",
  "auth_user_name": "",
  "auth_project_id": "",
  "auth_scope": "",
  "service_id": "",
  "route_id": "",
  "request_time": null
}

vTrail’in saklama, aktarım, arama ve bütünlük özellikleri henüz kamuya açık olarak belgelenmemiştir ve bulut denetim kaydı karşılaştırmasında doğrulanmadı olarak işaretlenmiştir.

Sınırlamalar

• OpenStack kurulumları büyük farklılık gösterir; hangi servislerin denetim olayı yaydığı yapılandırmaya bağlıdır.
• Tablodaki CADF alan eşlemeleri kavramsal karşılıklardır, birebir anlamsal eşleşme değildir.
• vTrail bilgisi sağlayıcı tarafından sağlanmıştır.

Sonuç

OpenStack, operatörlere denetim olayı üretmenin standartlara dayalı bir yolunu sunar; ancak hazır bir denetim izi sunmaz. OpenStack tabanlı bir sağlayıcıyı değerlendirirken CADF etrafında ne kurduğunu sorun: kapsam, saklama, arama, tenant yalıtımı ve aktarım.