为什么我们需要数字证书？

标题也正是本人一直想问的一个问题。时至今日，感觉也该对其做一个总结了。

最近查找了不少资料，发现不少资料都很不错，特列写如下：

另外，有几篇文章是写如何搭建自己的 CA 的，也很不错：

基本概念

关于基本概念，博文数字证书原理已经讲得没谁的了，太赞了，一定要看！

这里要特别提一下的是 PKI 的概念。对其解释采用博文 PKI/CA 技术的介绍中的说法：

  • PKI 就是 Public Key Infrastructure 的缩写，翻译过来就是公开密钥基础设施。它是利用公开密钥技术所构建的，解决网络安全问题的，普遍适用的一种基础设施。美国政府的一个报告中把 PKI 定义为全面解决安全问题的基础结构，从而大大扩展了 PKI 的概念。而我们认为，采用了公开密钥技术的基础设施就可以称为 PKI 。公开密钥技术也就是利用非对称算法的技术。说 PKI 是基础设施，就意味着它对信息网络的重要。将 PKI 在网络信息空间的地位与电力基础设施在工业生活中的地位进行类比非常确切。电力系统，通过伸到用户的标准插座为用户提供能源。 PKI 通过延伸到用户本地的接口，为各种应用提供安全的服务，如认证、身份识别、数字签名、加密等。从概念上讲，如果离开使用 PKI 的应用系统， PKI 本身没有任何实际的用处，正如电力系统离开电器设备也没有用一样。有了 PKI ，安全应用程序的开发者不用再关心那些复杂的数学运算和模型，而直接按照标准使用一种插座（接口）。用户也不用关心如何进行对方的身份鉴别而可以直接使用标准的插座，正如在电力基础设施上使用电吹风一样。
  • PKI 中最基本的元素就是数字证书。所有安全的操作主要通过证书来实现。 PKI 的硬设备还包括签置这些证书的证书机构 (CA) ，登记和批准证书签置的登记机构 (RA) ，以及存储和发布这些证书的电子目录。 PKI 中还包括证书策略，证书路径以及证书的使用者。所有这些都是 PKI 的基本元素。许多这样的基本元素有机地结合在一起就构成了 PKI 。
more >>

展开全文 >>

【译】理解 OpenStack 认证机制：Keystone PKI

原文：Understanding OpenStack Authentication: Keystone PKI
译注：该文对 Keystone 的验证机制写的真的是太赞了！文笔也很好。

OpenStack 最新的代码号为 Grizzly 的稳定发布版本革新了用户验证流程。你或许已经阅读了部分跟这新验证方案相关的文章。本文将尝试全面地对该新方案进行阐述，关注 Keystone 分发 token（令牌） 之后这些 token 如何被客户端用来签名他们的 API 调用而不是 Keystone 如何分发 token。客户端的这些请求稍后会由 OpenStack 的 API 端点（Endpoint）来验证。在本文中，你首先会看到为什么需要 token，接着知道 OpenStack 的 API 端点是如何利用 PKI（Public Key Infrastructure） token 来执行 token 验证而不用显式地调用 Keystone。让我们从客户端如何连接到 OpenStack 开始吧。

OpenStack、API 和 客户端

OpenStack 从哪开始从哪结束呢？用户会说，从云图形化界面或者命令行界面。然而，从架构角度来看，OpenStack 中间件（Middleware）结束于 API 端点：nova-api、glance-api 等等。这些端点均通过 http 的方式来暴露它们的 API。你可以通过各种不同的客户端连接到这些 API。客户端可由云服务供应商鉴证和部署在自己的基础设施上（如 Horizon 服务）或者安装在任何其他地方上（如 Nova 客户端 python-novaclient 可以安装在任何笔记本上，指向远程 nova-api 地址）。

这种（服务与客户端）分离隐含着一个重要的前提条件。因为客户端能够被安装在如何地方，所以它们是不能够被信任的；任何来自客户端的对任何 OpenStack 端点的请求都需要在其执行进一步的命令前被认证通过。

Token 是什么，我们为什么需要它们

在这种情况（指用户认证）下你需要做什么？是不是意味着你在每一个 API 请求中都要添加用户名和密码？没有这么简单。或者，把用户名和密码保存为系统变量？不安全。解决这个问题的方法就是使用 token。token 有一个非常显著的优点：它们是临时产生和短暂的。这意味着在客户端缓存它们要比保存用户名密码对来的安全。

通常来说，一个 token 是由 Keystone 分发给拥有合法用户名密码的用户的一个数据片段。就如我们前边提到的，跟 token 紧密相关的是它的失效时间（通常表现为小时甚至分钟）。用户可以缓存该 token 并将其注入到一个 OpenStack API 请求当中。然后 OpenStack API 端点从该请求中取出该 token 并将其跟 Keystone 认证后端进行验证，以确保请求的合法性。

现在将向大家介绍两种 token 认证方案：UUID（Universally Unique IDentifier） 和 PKI（Public Key Infrastructure）token 方案，以及它们的演变。

more >>

展开全文 >>

【译】 OpenStack 中虚拟机创建的请求流程

原文：Request Flow for Provisioning Instance in Openstack
译注：这篇博文讲述的是 OpenStack 中虚拟机创建过程中所涉及到的请求流程，非常简明易懂。而且作者的文笔也比较好，逻辑清晰。本文在必要的地方会进行一定意译。

在任何云平台上，其中一个最重要的使用场景就是虚拟机（Virtual Machin, VM）创建（Provision）。在这篇文章中，我们将会过一遍基于 OpenStack 的云平台的虚拟机创建流程。文章关注的是 OpenStack 中各个子项目之间的交互和请求流程，最终结果是启动一个虚拟机。

译注：感觉我们只要看这张图就够了…

more >>

展开全文 >>

【译】 OpenStack Neutron 背后的真正魔法

原文：THERE’S REAL MAGIC BEHIND OPENSTACK NEUTRON
译注：这篇博文基于 OpenStack IceHouse 版本写成。看完原文，直感到醍醐灌顶，也因此产生了翻译此文的冲动。说实话，本文的图画的很好，但有些地方逻辑却是很乱或者过于啰嗦。所以本文在必要的时候会进行一定意译，以使逻辑更为通顺。作为个人第一次科技博文翻译，定会存在各种瑕疵，敬请多多指出。

在任何博客网站上创建博文是相当容易的事。通过在笔记本电脑、手机或者平板电脑上几下鼠标点击，或者通过转发别人的博客就能够做到，最困难的在于对博文内容的思考。类比到 OpenStack，同样通过几下鼠标点击就可以创建虚拟机、路由器、子网、防火墙、VPN、负载均衡器（Load Balancer）。不过，首先，需要规划并想好为什么需要创建它们，而不仅仅因为能够创建而创建它们。基于这些虚拟设备所要支持的应用，还需要定义虚拟 IT 架构。

在我之前有关 Neutron 的博文中，提到 Neutron 所具备的 L3 功能，且对其的创建和管理也很容易。现在，我将在本文中描述着背后的魔法。我确信你将会跟我一样喜爱它。OpenStack Neutron 充分应用了 SDN（Software Defined Network），其中最常用的第三方插件是 OpenVSwitch。

首先，我想要提下，OpenStack 赞助商和社区贡献者已经提供了很多信息：

more >>

展开全文 >>

宏 define 的高级特性：预处理运算符 “#” 及 “##”

最近在对一段代码进行重构的时候，发现宏 define 能发挥很大作用。关于其在代码重构方面的使用，本文会举一个具体的例子。首先，我们来看一下其高级特性：Stringize （字符串化）及 Token Pasting。

Stringize

ANSI C 允许在字符串中包含宏参数。# 符号用作一个预处理运算符，它可以把语言符号转化成字符串。如下例所示（在 VS 及 GCC 下最终结果均一样）：

1
2
3
4
5
6
7
8
9
10
#include <stdio.h>

#define STRINGIZE(a)	#a

int main()
{
	char *str = STRINGIZE(Hello World!);
	printf("%s\n", str);
	return 0;
}

Token Pasting

## 预运算符可以把两个语言符号组合成单个语言符号。如下例所示（在 VS 及 GCC 下最终结果均一样）：

1
2
3
4
5
6
7
8
9
10
11
#include <stdio.h>

#define CONCAT(a, b)	a##b
#define AB	1

int main()
{
	int a[] = { 0, 1, 2 };
	printf("a[%d] = %d\n", CONCAT(A, B), a[CONCAT(A, B)]);
	return 0;
}

输出：a[1] = 1

more >>

展开全文 >>

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

谢宏峰，毕业于暨南大学（2009 - 2013）、中国科学院（2013 - 2016），现就职于深信服科技，从事 OpenStack 开发。