sig-security例会 2025-05-13 10:00-11:00
发起人：lwj11223344
与会人：lwj11223344(李文杰)、王钦东、于浩、张磊、彭祥麟、鄢川杰
会议平台：WELINK
会议ID：960352733
会议链接：https://meeting.huaweicloud.com:36443/#/j/962338107
Etherpad链接：https://etherpad.openubmc.cn/p/sig-security
议题1：遗留问题进展&近期事务同步
主讲人：李文杰
列席人：李文杰，彭祥麟
议题时间：20min
议题内容：
1. Q2安全特性落地情况审视：
a. 支持互联网的定制化特性
支持redfish接口新增获取用户上次登录时间lastLoginTime
【平台】提供禁止创建特定登录接口用户的能力
支持用户名校验定制后的用户提示优化
正在开发落地，相关评审参考论坛的评审材料
2. 接口变更要求同步
北向接口：涉及错误码变更也需要评审
资源树接口：涉及华为与伙伴，尽量不要变更
3. 针对历史各厂商使用华为签名固件的现网整改策略，与徐海军同步，对齐解决方案
议题2：安全启动在伙伴使能的流程讨论
主讲人：李文杰
列席人：李文杰，王钦东、于浩、张磊、彭祥麟、鄢川杰
议题时间：30min
鲲鹏生产流程：
1. 正向发货：
华为产线：硬件测试->升级华为签名包->无伙伴根
伙伴产线：集成测试->切换为伙伴固件->导伙伴根
2. 逆向返修，存在两种场景：
a. 需要回华为
伙伴产线：升级为转换包（支持升级华为签名固件）->发货给华为
华为产线：升级华为签名固件后维修
b. 不需要回华为
伙伴自行处理
切换openUBMC版本（伙伴自签名版本）相关步骤：
1. 伙伴自建PKI （!!! 重要，请妥善保管私钥信息，一经泄漏，影响所有伙伴已发布设备，建议使用加密机（江南天安））
PKI的标准架构可以参考：
根CA 证书、私钥
二级CA 证书、私钥
签名证书 证书、私钥
2. 伙伴将根CA证书发给华为，华为生成伙伴根
3. 伙伴将伙伴根在产线导入设备
伙伴在车间先升级转换包版本（华为签名，包中携带伙伴的根证书，支持升级校验伙伴固件），再升级伙伴固件，再导入伙伴根
4. 伙伴出包时使用签名证书的私钥制作固件
5. 现网升级伙伴签名的固件
议题3：社区未关闭issue和forum问题审视
主讲人：李文杰
列席人：李文杰，彭祥麟
议题时间：10min
1. Kerberos功能在国内场景下，诉求较弱，暂未实现。后续基于客户诉求触发式实现
剩余问题已审视，针对转换包的问题，补充材料后再组织讨论会议
