OpenStack

In Staging und Produktion wird eine Anfrage mit unverschlüsseltem user_data rundweg abgelehnt — der Generator verlangt stattdessen eine Barbican-Secret-Referenz, sodass Secrets nie im Klartext in den Metadaten einer Instanz landen.

• Der Endpoint-Picker bewertet Keystone-Catalog-Einträge — öffentliche Interfaces erhalten eine höhere Bewertung als interne, die wiederum höher bewertet werden als Admin-Interfaces — plus einen Bonus bei Übereinstimmung mit Ihrer konfigurierten Region.
• Staging und Produktion erzwingen das Pinnen von Image-UUIDs und lehnen unverschlüsselten user_data ab, stattdessen ist eine Barbican-Secret-Referenz erforderlich.

resource "openstack_compute_instance_v2" "web" {
  name        = "web"
  flavor_name = "m1.medium"
  image_id    = var.image_id
  # user_data: rejected in staging/production, use a Barbican secret ref
}