<div dir="ltr"><p dir="ltr"><br>
On Oct 10, 2014 11:31 AM, "Gavin Panella" <<a href="mailto:gavin.panella@canonical.com" target="_blank">gavin.panella@canonical.com</a>> wrote:<br>
><br>
> On 10 October 2014 01:13, Andres Rodriguez <...> wrote:<br>
> > On Fri, Oct 10, 2014 at 1:31 AM, Gavin Panella <...> wrote:<br>
> ...<br>
> > if we remove the secret and restart maas-cluster, the connection<br>
> > between cluster / region should fail. If we remove the cluster from<br>
> > the WebUI, it is gone for sure. In order for us to re-add this cluster<br>
> > we need to reconfigure the shared secret, and will be added as a new<br>
> > cluster in the sense that it will need to re-download images and so<br>
> > on.<br>
><br>
> Yes, that's right. However, if you re-add a previously synced cluster,<br>
> you won't have to download all images again; the syncing code has the<br>
> smarts to only do what's needed.<br>
><br>
> ...<br>
> >> > I have an idea to manage this from the packaging, so we request the<br>
> >> > shared secret when we are reconfiguring the clsuter to point it to<br>
> >> > the Region Controller.<br>
> >><br>
> >> That sounds good. If you obtain it as a hex-encoded string you can<br>
> >> feed it to maas-provision:<br>
> >><br>
> >>     maas-provision install-shared-secret <<<${secret_as_hex}<br>
> >><br>
> >> and it'll do the right thing, though beware of user/group.<br>
> ><br>
> > Where does the user know what the shared secret is? Is the Cluster<br>
> > page on the WebUI showing the shared secret? I think an admin should<br>
> > be able to login to the Cluster Page and look at the shared secret.<br>
><br>
> This is bug 1378993. I'm having second thoughts about putting this<br>
> secret in the UI actually. A command-line tool would be better I think.</p>
<p dir="ltr">What was discussed this week is that the cluster page should be able to generate a token and use that token to tell the cluster to register to the region. We can have a show shared secret or token that will be used for registration. The command line should also be there but also UI.</p>
<p dir="ltr">><br>
> ><br>
> > When registering the Cluster, it should simply tell the Cluster what<br>
> > the shared secret is.<br>
><br>
> No, we must *never* do that. That would eliminate one of the biggest<br>
> benefits we get from having a shared-secret that we never transmit in<br>
> the open: the ability to use it to transition to all-TLS transports (in<br>
> a point release) with some amount of trust between parties. Anyone can<br>
> do TLS, but doing it with trust is why we have CAs and suchlike.<br>
><br>
> I'll say that again because it's really important: MAAS must *never*<br>
> transmit the secret over the network. That must always be the task of an<br>
> administrator.<br>
</p><p>What was discussed this week was essentially creating a token on the Region Cluster Page, and use that token to register the cluster with the region. The shared secret seems to be this token for the time being. Right?</p>
</div>