Belajar OpenStack - Manila (Shared Filesystem Service) & Barbican (Key Manager)

#Pendahuluan

Tiga jenis storage yang dibahas episode 8 dan 9 — block dan object — belum lengkap tanpa satu lagi: shared filesystem. Ada banyak workload yang butuh folder yang sama diakses banyak instance secara bersamaan: cluster aplikasi, server web yang berbagi asset, environment HPC. Inilah yang disediakan Manila, Shared Filesystem Service OpenStack.

Episode 10 menggabungkan dua service yang jarang dibahas tapi penting di produksi: Manila untuk share NFS/CIFS, dan Barbican sebagai key manager — rumah bagi secrets, encryption keys, dan certificates. Keduanya menjawab pertanyaan yang sering muncul setelah storage dan networking berjalan: bagaimana berbagi file, dan bagaimana mengamankan kunci enkripsi.

#Manila: Shared Filesystem as a Service

#Konsep Share

Manila menyediakan share — filesystem jaringan (NFS atau CIFS) yang bisa di-mount oleh beberapa instance secara bersamaan dengan akses baca-tulis. Bayangkan sebuah network drive bersama di dalam cloud. Berbeda dengan volume Cinder yang hanya bisa dipasang ke satu instance pada satu waktu, share Manila dirancang untuk multi-access.

        Share NFS/CIFS (backend: CephFS / NFS-Ganesha)
              ↙         ↓          ↘
Instance A     Instance B     Instance C (mount bersamaan)

Skenario khas: beberapa web server membaca halaman statis yang sama, atau cluster aplikasi berbagi direktori data. Dengan Manila, data cukup disimpan sekali dan diakses semua node.

#Membuat dan Menggunakan Share

openstack share create --share-type default nfs 100 --name share-data
openstack share access create share-data ip 192.168.100.50
openstack share show share-data -c export_locations

openstack share create nfs 100 membuat share NFS berkapasitas 100 GB. Perintah openstack share access create share-data ip 192.168.100.50 memberi izin akses ke IP instance tertentu — keamanan share diatur per-IP.

#Mount dari Instance

Dari dalam instance, mount share seperti NFS biasa menggunakan export location:

sudo mkdir -p /mnt/share
sudo mount -t nfs 192.168.100.10:/share-data /mnt/share

Setelah mount -t nfs, semua instance yang diizinkan bisa membaca dan menulis file yang sama. Tambahkan entri di /etc/fstab agar mount bertahan setelah reboot.

#Backend Manila

Manila tidak menyimpan data sendiri — dia mengorkestrasi backend:

• CephFS: backend produksi modern, terintegrasi dengan cluster Ceph.
• NFS-Ganesha: menjembatani penyimpanan seperti LVM atau Ceph ke protokol NFS.
• NetApp ONTAP: untuk organisasi yang sudah memakai storage array NetApp.

#Barbican: Key Management Service

#Rumah bagi Secrets dan Kunci

Barbican adalah Key Management Service (KMS) OpenStack — tempat aman untuk menyimpan secrets, encryption keys, dan certificates. Alih-alih menyimpan password atau key di file config yang tersebar, semua rahasia disimpan terpusat dan diakses lewat API.

openstack secret store --name db-password --payload rahasiaDB123
openstack secret list
openstack secret get db-password -f value -c payload

openstack secret store --payload rahasiaDB123 menyimpan rahasia dengan nama db-password. Aplikasi dan service lain lalu mengambilnya melalui API Barbican, bukan dari hardcoded config.

#Integrasi dengan Enkripsi Storage

Nilai Barbican terbesar muncul saat terintegrasi dengan storage:

• Cinder Volume Encryption: volume dienkripsi dengan kunci yang disimpan Barbican — data aman meskipun backend penyimpanan terakses.
• Nova Disk Encryption: disk ephemeral instance juga bisa dienkripsi dengan kunci dari Barbican.

openstack volume create --type encrypted --size 50 --name volume-encrypt

Perintah openstack volume create --type encrypted membuat volume yang terenkripsi menggunakan type penyimpanan yang mengarah ke Barbican. Kunci enkripsi dikelola sepenuhnya oleh Barbican — tidak ada yang melihatnya sebagai plaintext.

#Use Case Certificates dan PKI

Barbican juga menyimpan certificates dan CA bundles — sangat berguna untuk mengelola TLS di banyak service. Operator bisa menyimpan sertifikat internal di Barbican, lalu service OpenStack mengambilnya untuk mengamankan endpoint — selaras dengan topik TLS yang akan kita bahas di episode 17.

#Mengelola Akses Secret

Barbican melindungi rahasia dengan akses berbasis ACL. Kalian bisa membatasi siapa saja yang boleh membaca sebuah secret — service account tertentu, atau project tertentu saja:

openstack secret acl show db-password -f value -c read
openstack secret acl set --user <user-id> db-password

Perintah openstack secret acl set --user <user-id> db-password menambahkan user tertentu ke daftar pembaca secret tersebut. Hanya user yang terdaftar yang bisa mengambil payload — sisanya mendapat error 403 Forbidden. Pola ini penting di produksi: secret database tidak boleh dibaca sembarang service, hanya yang benar-benar butuh.

#Memahami Fungsionalitas dalam Satu Alur

Untuk menguji pemahaman, ikuti alur lengkap penggunaan secret dalam provisioning:

openstack secret store --name web-token --payload "token-internal-2026"
openstack secret get web-token -f value -c payload

Output openstack secret get web-token -f value -c payload mengembalikan rahasia dalam bentuk plaintext. Dalam praktik produksi, nilai ini diambil oleh service atau skrip otomasi — bukan manusia — sehingga rahasia tidak pernah terpampang di terminal. Barbican menjadi satu-satunya tempat rahasia disimpan, dan seluruh aksesnya tercatat.

#Penutup

Episode 10 melengkapi layanan storage dan keamanan: Manila menyediakan shared filesystem NFS/CIFS yang bisa di-mount banyak instance dengan backend CephFS dan NFS-Ganesha, sementara Barbican menjadi key manager terpusat untuk secrets, encryption keys, dan certificates dengan integrasi enkripsi volume Cinder dan disk Nova.

Inti yang harus dibawa pulang:

• Manila menyediakan share yang diakses banyak instance sekaligus.
• Akses share diatur per-IP lewat openstack share access create.
• CephFS dan NFS-Ganesha adalah backend Manila yang umum dipakai.
• Barbican menyimpan secrets, kunci enkripsi, dan certificates secara terpusat.
• Cinder dan Nova memakai Barbican untuk enkripsi storage.
• Kunci Barbican wajib di-backup agar tidak hilang selamanya.

Di episode 11 selanjutnya kita akan membahas Horizon Dashboard dan OpenStack CLI Mastery — menjelajahi navigasi UI Horizon untuk mengelola project, compute, network, volume, dan identity, menguasai unified CLI openstack, memakai environment file openrc, serta memformat output dengan -f json, -f table, dan -f value.