Sicherheitsrelevante Defaults
min_size=1 ist gefährlich:
Schreiben mit nur einer Kopie, ein weiterer Ausfall bedeutet
Datenverlust. Bei Replikation min_size=2 halten.
Kapazitäts-Ratios:
nearfull_ratio 0.85 (Warnung),
backfillfull_ratio 0.90 (kein Backfill mehr),
full_ratio 0.95 (Pool wird read-only, Stillstand).
Puffer für Recovery lassen.
MON-Zahl immer ungerade (3 oder 5), sonst kein sauberes Quorum.
PG-Ziel: Umbrella hebt mon_target_pg_per_osd
100→200 und mon_max_pg_per_osd 250→500,
Pools mit Autoscaler on können nach dem Upgrade
splitten (Backfill). Bei
osd_memory_target unter 4 GiB oder mehr als zwei
OSDs je SSD vorher pinnen:
ceph config set global mon_target_pg_per_osd 100.
CVE-Hotfix 20.2.4 / 19.2.6 (CephX, RGW)
Vier CVEs (High), gefixt ab 20.2.4 und
19.2.6 (19.08.2026) sowie in Umbrella, für
Reef und Quincy gibt es keinen Fix. CephX nutzte AES-128-CBC ohne HMAC, ein Client-Key
reicht für gefälschte Admin-Tickets (CVE-2025-30156).
Jede Identität mit mon 'allow r' las den
Config-Key-Store samt LUKS-Passphrasen und cephadm-SSH-Key
(CVE-2026-50152).
Neuer Key-Typ aes256k. Reihenfolge: Daemon-Keys
(cephadm automatisch, Rook ab v1.20.6 bzw. v1.19.10 per
keyGeneration), dann auth_service_cipher,
zuletzt Client-Keys, erst wenn alle Kernel-Clients Linux 7.0 (oder
Backport) haben und alle rbd-mirror-Peers gepatcht sind.
auth_allowed_ciphers aes256k erst setzen, wenn
AUTH_INSECURE_SERVICE/CLIENT_KEY_TYPE weg sind, sonst
Lockout.
RGW lehnt jeden SigV4-Request mit unsigniertem
host- oder x-amz-*-Header mit 403 ab,
nicht nur bei Multisite: Clients vorher prüfen, RGW zuletzt und
einzeln upgraden. Multisite: vor dem Upgrade
rgw_sigv4_insecure=true, nach dem letzten Cluster
wieder false (der Schalter hebt den Fix auf).
cephadm-SSH-Key rotieren.
Regression: 20.2.4/19.2.6 lehnen auch unsignierte
Content-Type und x-amz-content-sha256 ab
(boto3-presigned-PUT, minio-go, Thanos/Loki/Mimir). Behoben
in 19.2.7, 20.2.5 und
21.2.0.