Bảo mật và High Availability trong Ceph Cluster

Khi triển khai Ceph ở môi trường production, bảo mật và khả năng chịu lỗi (High Availability – HA) là hai yếu tố cốt lõi. Một hệ thống lưu trữ phân tán không chỉ cần đảm bảo dữ liệu an toàn trước các mối đe dọa bên ngoài, mà còn phải duy trì hoạt động liên tục ngay cả khi một số thành phần gặp sự cố.

Bài viết này đi sâu vào 5 khía cạnh quan trọng: Cơ chế Auth CephX, phân tách mạng, quorum & election của MON, multi-site RGW replication, và chiến lược DR & Geo-Replication.

CephX Authentication – Cơ chế xác thực bảo mật

CephX là gì?
CephX là hệ thống xác thực mặc định của Ceph, đảm bảo rằng chỉ các client và daemon được cấp phép mới có thể truy cập tài nguyên. Nó hoạt động dựa trên keyring được phát sinh khi tạo user hoặc service.
Cách hoạt động
1. Client gửi yêu cầu đến MON.
2. MON xác thực bằng cách so khớp keyring với secret lưu trong cluster.
3. Sau khi xác thực, client nhận được capabilities (quyền hạn: read, write, execute).
4. Các request tiếp theo đến OSD, MDS hoặc RGW sẽ được thực thi theo quyền hạn này.
Best Practices
- Tạo user riêng cho từng ứng dụng/dịch vụ.
- Giới hạn quyền theo nguyên tắc least privilege (ví dụ: chỉ read đối với backup job).
- Bảo mật file ceph.client.admin.keyring.

Phân tách mạng: Public & Cluster Network

Public Network: nơi client giao tiếp với cluster (đọc/ghi dữ liệu).
Cluster Network: nơi trao đổi dữ liệu nội bộ giữa OSDs (replication, recovery, heartbeat).

Lợi ích của việc tách mạng:

Giảm tắc nghẽn, tránh việc traffic replication ảnh hưởng đến client.
Bảo mật tốt hơn: hạn chế truy cập từ bên ngoài vào mạng nội bộ cluster.

Cấu hình trong ceph.conf:

[global]
public_network = 10.10.1.0/24
cluster_network = 10.10.2.0/24

Quorum & Election của MON

MON (Monitor) giữ vai trò duy trì bản đồ cluster (cluster map) và thực hiện quorum.
Quorum nghĩa là đa số MON node phải online và đồng thuận.

Ví dụ:

3 MON → cần tối thiểu 2 node active.
5 MON → cần tối thiểu 3 node active.
Election: Khi 1 MON bị mất kết nối, cluster sẽ tổ chức bầu chọn leader mới để duy trì consistency.

Lưu ý:

Luôn triển khai MON với số lượng lẻ (3, 5, 7) để tránh split-brain.
MON nên đặt trên các server khác nhau, tốt nhất là tách biệt vật lý.

Multi-Site RGW Replication

Để đáp ứng yêu cầu HA và DR cho object storage, Ceph hỗ trợ replication nhiều site thông qua RADOS Gateway Multisite.

Cơ chế:
- Một site được cấu hình làm master zonegroup.
- Các site khác là secondary zonegroup.
- Dữ liệu object được replicate từ master → secondary.
Ứng dụng:
- Tạo S3-compatible storage phân tán nhiều datacenter.
- Đảm bảo dịch vụ luôn sẵn sàng ngay cả khi 1 site mất điện/toàn bộ cluster bị sự cố.
Best Practices:
- Dùng WAN tối thiểu 10Gbps giữa các site.
- Kiểm tra độ trễ (latency) trước khi thiết lập replication.
- Giám sát sync status bằng radosgw-admin sync status.

Disaster Recovery (DR) & Geo-Replication

Disaster Recovery:
Mục tiêu là đảm bảo hệ thống tiếp tục hoạt động hoặc khôi phục nhanh chóng sau thảm họa (cháy nổ, mất điện, hỏng storage hàng loạt).
Các mô hình DR trong Ceph:
1. Active-Passive: 1 cluster chính + 1 cluster dự phòng.
2. Active-Active: nhiều cluster cùng chạy, replication 2 chiều.
Geo-Replication:
- Dữ liệu replicate giữa nhiều vùng địa lý.
- Thường sử dụng cho RGW (S3/Swift API).
- Giúp khách hàng toàn cầu truy cập dữ liệu gần nhất với độ trễ thấp.

Yếu tố cần xem xét khi thiết kế DR:

RTO (Recovery Time Objective): thời gian khôi phục.
RPO (Recovery Point Objective): dữ liệu tối đa có thể mất.
Chi phí đường truyền và phần cứng.

Bảo mật và High Availability không chỉ là tính năng bổ sung, mà là yếu tố sống còn khi triển khai Ceph ở quy mô doanh nghiệp.

CephX đảm bảo chỉ các thực thể được cấp phép mới có quyền truy cập.
Tách mạng public & cluster giúp bảo mật và tối ưu hiệu năng.
Quorum & election đảm bảo tính nhất quán khi MON gặp sự cố.
Multi-site replication và Geo-Replication mở rộng Ceph thành giải pháp HA toàn cầu.

Với việc triển khai đúng chuẩn, Ceph có thể trở thành nền tảng lưu trữ tin cậy, đáp ứng các yêu cầu khắt khe về bảo mật và độ sẵn sàng cao.