Понимание безопасности Openstack noVNC
Я пытаюсь глубже понять архитектуру и дизайн безопасности Openstack noVNC. Я нашел этот документ. Это имеет смысл, но недостающие детали. Может кто-нибудь подтвердить, что мое понимание верно, или исправить меня, если я ошибаюсь.
0) noVNC позволяет клиентам VNC в веб-браузерах, хорошо для клиентов без установленного клиента Java или VNC.
1) Сервер VNC предоставляется гипервизором. Каждая виртуальная машина имеет свой собственный сервер VNC, порт 59xx, который недоступен извне.
2) Прокси-сервер Websocket соединяется с сервером VNC и предоставляет сервис для клиента noVNC (javascript в браузере), например, через порт 6080.
3) Простая защита: альтернативно безопасность может быть гарантирована паролем VNC, но вводить его каждый раз не удобно и его нелегко изменить. Каждая виртуальная машина на одном и том же гипервизоре должна иметь один и тот же пароль. Разные вычислительные узлы могут использовать разные пароли VNC.
4) Для обеспечения лучшего контроля доступа, consoleauth вводится. Теперь мы можем использовать Openstack аутентификацию для VNC. Когда приходит новый запрос на удаленную консоль, динамический URL-адрес доступа (с токеном) генерируется, кэшируется / регистрируется и отправляется обратно клиенту. Позже принимаются только ранее зарегистрированные подключения.
Я хотел бы узнать больше о том, создаются ли / как динамические правила брандмауэра и / или когда токены становятся недействительными. Я знаю, что лучше всего читать исходный код, но описание высокого уровня также ценно. Благодарю.