跳到主要内容

配置文件加密

1. 背景​

按照部分客户的安全管理要求，配置文件（private.yaml）不允许存在明文密码。

2. 版本要求：​

ONES标品版本（6.18以上）已提供标准方案，支持使用对称加密算法对敏感配置项进行加解密。 算法支持：AES256、国密SM4。

3. 操作前提​

（1） ONES前端页面上的基本业务正常， 无报错。

（2） ONES后端各个Pod状态，如下命令输出为空

kubectl get pod -A|grep -vE  'Running|Completed'

4. 加密操作​

加解密算法保持一致即可。

4.1 准备工作​

# 进入配置文件所在默认目录，下载加密工具
cd /data/ones/ones-installer-pkg/config/
curl -O https://res.ones.pro/script/encrypt
chmod a+x encrypt
cp private.yaml private.yaml.2025bak

4.2 生成密钥​

国密SM4算法（国内客户推荐）​

# 生成16字节密钥，保留输出结果供后续加解密使用
openssl rand -hex 16

AES256算法​

# 生成32字节密钥，保留输出结果供后续加解密使用
openssl rand -hex 32

4.3 密码加密​

加密算法任选其一

使用国密SM4算法加密​

# 加密所有包含password的key
cat private.yaml |grep -iE 'password|pwd' |sed -n s/:.*//p|xargs -n 1 ./encrypt -algo sm4cbc -key {HEX形式的密钥} -file private.yaml -encrypt

使用AES256算法加密​

# 加密所有包含password的key
cat private.yaml |grep -iE 'password|pwd' |sed -n s/:.*//p|xargs -n 1 ./encrypt -algo aes256cbc -key {HEX形式的密钥} -file private.yaml -encrypt

4.4 下发配置​

ones-ai-k8s.sh

vi config/private.yaml
# 增加或修改配置项，保存HEX形式的密钥
configEncryptionKey: 'xxxxx'

make setup-ones

4.5 解密配置（如需查看）​

解密算法需要与加密算法相同

使用国密SM4算法解密​

./encrypt -algo sm4cbc -key {HEX形式的密钥} -file private.yaml -decrypt

使用AES256算法解密​

./encrypt -algo aes256cbc -key {HEX形式的密钥} -file private.yaml -decrypt

5. 验证​

（1）查看 project-api、wiki-api 是否重启

（2） ONES后端各个Pod状态，如下命令输出为空

kubectl get pod -A|grep -vE  'Running|Completed'

（3） ONES前端页面上的基本业务正常， 无报错。