11.1 OpenStack安全概述
近年來，雲計算得到了很大的發展，但同時暴露出的安全問題也阻礙著用戶對雲計算的信任。雲計算作為技術發展進步，為整個社會帶來了新的生產力，但同時也帶來了一些新的安全挑戰。
1.虛擬化安全
雲計算離不開虛擬化，虛擬化是雲計算的一個關鍵技術。虛擬化技術在計算能力、網絡、內存等方面應用擴展了多租戶下的雲服務。虛擬化技術使雲計算完全區別於傳統計算模式，同時也帶來新的安全挑戰。它打破了物理結構的壁壘，把物理資源轉變為邏輯可管理資源，但同時也使傳統的網絡邊界變得模糊，不同虛擬機對應不同用戶，用戶對這些鄰居未知。虛擬化使部分以主機為基礎的傳統安全策略失效，而且虛擬機間（甚至同一物理機上的虛擬機）可能發生攻擊，而且這些虛擬機間的通信有可能不再經過網絡交換機，使傳統的入侵檢測設備失效。這些都是需要面對的問題。如何有效地安全隔離各個虛擬機，如何保護虛擬機的安全成為雲計算中必須考慮的問題。
2.數據安全
由於雲計算面向眾多用戶的固有特點，注定了數據安全威脅在雲計算中面臨嚴峻挑戰，是雲安全的重要方面。前面提到的一些公共安全事件就體現了數據安全對雲計算安全的挑戰。雲服務提供商需要保護雲用戶的數據不被竊取或丟失。強加密及密鑰管理是雲計算系統用以保護數據的一種核心機制，加密雖然不能保證數據不會丟失，但是對於無法獲取明文的數據來說，數據被竊取的危害則降低了。Keystone中引入令牌機制來管理用戶對資源的訪問，同時引入了PKI（公鑰基礎設施）對令牌加以保護。
3.身份和訪問管理安全
由於雲計算是提供給眾多用戶訪問的服務平台，那麼有效的身份和訪問控制是雲安全需要考慮的必不可少的一個環節。雲計算中的用戶和服務認證，除了基於風險的認證方法外，還需要注意簡單性和易用性。雲計算中需要注意合理定義系統管理人員的控制邊界，以防來自內部的衝擊所造成的危害。Keystone中通過Policy（訪問規則）來實現基於用戶角色的訪問控制。
4.基礎設施安全
基礎設施安全包括服務器、存儲、網絡等核心IT基礎設施的安全。在雲計算的環境下，如何保證這些基礎設施的安仝性具有更大的意義。可信計算池（Trusted Compute Pools）通過對計算節點的硬件以及系統內核進行度量來確定一個可信任計算節點的集合，可信計算池的引入提高了基礎設施的安全性。
Keystone作為OpenStack中的一個獨立的提供安全認證的模塊，主要負責OpenStack用戶的身份認證、令牌管理、提供訪問資源的服務目錄，以及基於用戶角色的訪問控制。用戶訪問系統的用戶名及密碼是否正確、令牌的頒發、服務端點的註冊，以及該用戶是否具有訪問特定資源的權限等，這些都離不開Keystone服務的參與。
可信計算池是Intel公司提出的一個特性，管理員可以通過可信計算池來將一組主機定義為可信任計算節點。可信計算池得益於Intel可信任執行技術（TXT）提供的硬件層面上的安全特性，通過建立信任鏈來保證計算環境上的軟硬件經過正確的度量，經過度量且可信任的計算節點將可以被加入可信計算池中去，從而滿足雲用戶對可信任計算環境的要求。也就是說，通過可信計算池，雲用戶可以將數據或者業務只部署在可信任服務器上。