OpenStack Mitakaについて

KeystoneでのMitakaでのセキュリティ上の新機能

ユーザによるイベントのオプトアウト設定

まず新機能のひとつ目として、ユーザによるイベントのオプトアウト設定を見てみましょう。

Keystoneでは、現在、イベント通知機能が実装されており、サードパーティのアプリケーションはこの通知機能を用いてモニタリングやクォータなどに使用しています。

Keystoneではこの通知機能として、

• Basic Notification

• CADF(Cloud Auditing Data Federation)

の二種類をサポートしています。

例えば、Basic Notificationの場合、新たにユーザを作成すると、下記のような通知が送信されます。

{
"event_type": "identity.user.created",
"message_id": "0156ee79-b35f-4cef-ac37-d4a85f231c69",
"payload": {
"resource_info": "671da331c47d4e29bb6ea1d270154ec3"
},
"priority": "INFO",
"publisher_id": "identity.host1234",
"timestamp": "2013-08-29 19:03:45.960280"
}

また、下記の例はCADFで、ユーザが認証した際に送信される通知になります。

{
"event_type": "identity.authenticate",
"message_id": "1371a590-d5fd-448f-b3bb-a14dead6f4cb",
"payload": {
"typeURI": "http://schemas.dmtf.org/cloud/audit/1.0/event",
"initiator": {
"typeURI": "service/security/account/user",
"host": {
"agent": "curl/7.22.0(x86_64-pc-linux-gnu)",
"address": "127.0.0.1"
},
"id": "c9f76d3c31e142af9291de2935bde98a"
},
"target": {
"typeURI": "service/security/account/user",
"id": "openstack:1c2fc591-facb-4479-a327-520dade1ea15"
},
"observer": {
"typeURI": "service/security",
"id": "openstack:3d4a50a9-2b59-438b-bf19-c231f9c7625a"
},
"eventType": "activity",
"eventTime": "2014-02-14T01:20:47.932842+00:00",
"action": "authenticate",
"outcome": "success",
"id": "openstack:f5352d7b-bee6-4c22-8213-450e7b646e9f"
},
"priority": "INFO",
"publisher_id": "identity.host1234",
"timestamp": "2014-02-14T01:20:47.932842"
}

今回、Keystoneでユーザによるopt-out設定により、通知をオプトアウト（通知を送信しない）することが可能になり、不要な情報を流さないようにすることが出来るようになりました。

こちらの設定は、/etc/keystone/keystone.confで行います。例えば、

[DEFAULT]
notification_opt_out = identity.user.created

とすれば、ユーザ作成に成功した旨のメッセージを送信しなくなります。

まとめ