OpenStack Congress & Datalog

© 2015 VMware Inc. All rights reserved. OpenStack Congress &
Datalog Motonori Shindo (@motonori_shindo) CTO Ambassador / Technical Leader VMware

自己紹介 • 進藤資訓（しんどうもとのり） • 略歴 – 東京電力、カーネギーメロン大学、アセンド、コサイン、プロキシム、ファイブ・フロント、ニシラ、ヴイエムウェア
• 目標 – 歌って踊れるエンジニア 2

OpenStack Congress とは？ • OpenStack の中で Policy as a Service
を担うプロジェクト • なぜ “Congress” ? – “ポリシー”が作られるところだから J 3

なぜ Congress は OpenStack Project なの？ • Congress は汎用的なポリシーエンジンなので、Standalone でも動作する
• ポリシーを定義するにはデータソースが必要 • OpenStack は豊富なデータソースを提供してくれるので、Congress にとっては非常に都合が良い場所である！ 4

ポリシーとは？？ • 何かしらによって課される制約に対してどうあるべきかを規定するもの – 法律・条例 – ビジネスルール – アプリケーション要求 –
地域的制約 – セキュリティ的要件 – … 5 これらを記述する汎用的な Policy Language が必要！

Datalog • 一階述語論理にもとづいた宣言的論プログラミング言語 – しばしば Query Language として使われる • 文法的には
Prolog に似ているが、Prolog と違い – Function symbolがない – 停止することが保証されている – 節の順序は無関係 – リストの概念がない – カット（!)や fail オペレータがない 6

Datalog Syntax 7 <atom> :- <literal 1>, <literal 2>, <literal
3> … , <literal N>. Head Body

Safety Properties of Datalog • ルール中のヘッドに現れる変数は、非算術かつ肯定形のリテラル中に現れなければいけない。 • ボディの否定形リテラル中に現れる変数はすべて、他の肯定形リテラルの中に現れなければらなない。 • Safety
でない例 – q(X, Y, Z) :- r1(X,Y), X < Z. – q(X, Y, Z) :- r1(X,Y), not r2(X, Y, Z). • Safety な例 – q(X, Y, Z) :- r1(X, Y), r2(Y, Z), X < Z. – q(X, Y, Z) :- r1(X,Y), not r2(X, Y, Z), r3(Y, Z). 8

Datalog (Prolog) の例1 9 parent(motonori, manzo). parent(motonori, keiko). male(manzo). male(motonori).
female(keiko). father(X, Y) :- parent(X,Y), male(Y). mother(X, Y) :- parent(X,Y), female(Y). ?- father(motonori, X). father(motonori, manzo).

Datalog (Prolog) の例2 10 adjacent(a, b). adjacent(b, c). adjacent(c, d).
adjacent(a, d). adjacent(e, f). reachable(X, Y) :- adjacent(X, Y). reachable(X, Y) :- adjacent(X, Z), reachable(Z, Y). ?- reachable(b, d). reachable(b, d). ?- reachable(a, f). a b d f c e

Congress でできる（予定の）こと • Monitoring – クラウドの現在の状態とポリシーを照らし合わせ、もしミスマッチがあればレポートする • Enforcement – Policy
違反を回避するためになにか「アクション」を取る – Proactively / Reactively / Interactively • Auditing – Policy や Policy 違反の履歴管理 11

Congress における Datalog • 文法 • 制限 – 再帰は（今のところ）サポートしていない 12
<policy> ::= <rule>* <rule> ::= <head> COLONMINUS <literal> (COMMA <literal>)* <head> ::= <atom> <head> ::= EXECUTE[<atom>] <literal> ::= <atom> <literal> ::= NOT <atom> <atom> ::= TABLENAME LPAREN <arg> (COMMA <arg>)* RPAREN <arg> ::= <term> <arg> ::= COLUMNNAME=<term> <term> ::= INTEGER | FLOAT | STRING | VARIABLE

Congress における拡張 • データソースが持つテーブルの中にはたくさんのカラムを持つものがある。それらをすべて記述するのは面倒である。 • フルに書いた場合： • 簡易記法を使った場合： 13
port(id) :- neutron:ports(id, tenant_id, name, network_id, mac_address, admin_state_up, status, device_owner, fixed_ips, security_groups). port(id) :- neutron:ports(id=id).

現在サポートされている Congress 用ドライバ • OpenStack Ceilometer • OpenStack Cinder •
OpenStack Glance (v2) • OpenStack Ironic • OpenStack Keystone • OpenStack Murano • OpenStack Neutron (v2) • OpenStack Nova • OpenStack Switft • Cloud Foundry • Plexxi • vCenter 14

Congress の Policy 例 (monitoring) 15 error(vm, network) :- nova:virtual_machine(vm)
nova:network(vm, network) nova:owner(vm, vm_owner) neutron:owner(network, network_owner) not neutron:public_network(network) not same_group(vm_owner, network_owner) same_group(user1, user2) :- ad:group(user1, group) ad:group(user2, group)

Congress の Policy 例 (enforcement) 16 Execute[neutron:disconnectNetwork(vm, network)] :- error(vm,
network) Execute[nova:pause(x)] :- nova:servers(id=x, status=“ACTIVE”)

Congress -- Policies 17

Congress – Data Sources 18

Questions

OpenStack Congress & Datalog

OpenStack Congress & Datalog

Motonori Shindo / 進藤資訓

More Decks by Motonori Shindo / 進藤資訓

Other Decks in Technology

Featured

Transcript

© 2015 VMware Inc. All rights reserved. OpenStack Congress &

自己紹介 • 進藤資訓（しんどうもとのり） • 略歴 – 東京電力、カーネギーメロン大学、アセンド、コサイン、プロキシム、ファイブ・フロント、ニシラ、ヴイエムウェア

OpenStack Congress とは？ • OpenStack の中で Policy as a Service

なぜ Congress は OpenStack Project なの？ • Congress は汎用的なポリシーエンジンなので、Standalone でも動作する

ポリシーとは？？ • 何かしらによって課される制約に対してどうあるべきかを規定するもの – 法律・条例 – ビジネスルール – アプリケーション要求 –

Datalog • 一階述語論理にもとづいた宣言的論プログラミング言語 – しばしば Query Language として使われる • 文法的には

Datalog Syntax 7 <atom> :- <literal 1>, <literal 2>, <literal

Datalog (Prolog) の例1 9 parent(motonori, manzo). parent(motonori, keiko). male(manzo). male(motonori).

Datalog (Prolog) の例2 10 adjacent(a, b). adjacent(b, c). adjacent(c, d).

Congress でできる（予定の）こと • Monitoring – クラウドの現在の状態とポリシーを照らし合わせ、もしミスマッチがあればレポートする • Enforcement – Policy

Congress における Datalog • 文法 • 制限 – 再帰は（今のところ）サポートしていない 12

Congress における拡張 • データソースが持つテーブルの中にはたくさんのカラムを持つものがある。それらをすべて記述するのは面倒である。 • フルに書いた場合： • 簡易記法を使った場合： 13

現在サポートされている Congress 用ドライバ • OpenStack Ceilometer • OpenStack Cinder •

Congress の Policy 例 (monitoring) 15 error(vm, network) :- nova:virtual_machine(vm)

Congress の Policy 例 (enforcement) 16 Execute[neutron:disconnectNetwork(vm, network)] :- error(vm,

Congress -- Policies 17

Congress – Data Sources 18

Congress – Data Sources 19

Congress – Data Sources 20

Questions