OpenStack核心组件-keystone

时间：2019-06-29 12:52:55 阅读：131 评论：0 收藏：0 [点我收藏+]

标签：and 举例 username 好的自定义 provider 终端 apache2 ima

1. Keystone介绍

　　keystone是OpenStack的组件之一，用于为OpenStack家族中的其它组件成员提供统一的认证服务，包括身份验证、令牌的发放和校验、服务列表、用户权限的定义等等。云环境中所有的服务之间的授权和认证都需要经过 keystone. 因此 keystone 是云平台中第一个即需要安装的服务。

作为 OpenStack 的基础支持服务，Keystone 做下面这几件事情：

　　? 管理用户及其权限

? 　　维护 OpenStack Services 的 Endpoint(服务端点)

　　? Authentication（认证）和 Authorization（鉴权）

例如：技术图片

学习 Keystone，得理解下面这些概念：

技术图片

keystone的相关概念可以以一个城市的酒店服务来举例说明：

酒店就类似于project项目，酒店提供住宿的服务service，user相当于客人，endpoint相当于客人住酒店时的询问的酒店的地址，role为角色，如客人定了个豪华套房，name他就是贵宾，定了标间，他就是普通客人，credentials相当于入住酒店时提供的身份证，酒店前台利用身份证获取身份信息并提供房间，这个过程相当于authentication，办理入住后拿到的房卡相当于token，利用token就可以刷开房间门进行住宿这项service。

1> User

　　User 指代任何使用 OpenStack 的实体，可以是真正的用户，其他系统或者服务。

技术图片

　　当 User 请求访问 OpenStack 时，Keystone 会对其进行验证。Horizon 在 Identity->Users 管理 User

技术图片

　　admin：openstack平台的超级管理员，负责openstack服务的管理和访问权限

　　demo：常规（非管理）任务应该使用无特权的项目和用户，所有要创建 demo 项目和 demo 用户

除了 admin 和 demo，OpenStack 也为 nova、cinder、glance、neutron 服务创建了相应的　　User。 admin 也可以管理这些 User。

技术图片

2> credentials

Credentials 是 User 用来证明自己身份的信息，可以是：

　　用户名/密码

　　Token

　　API Key

　　其他高级方式

技术图片

3> Authentication

　　Authentication 是 Keystone 验证 User 身份的过程。User 访问 OpenStack 时向 Keystone 提交用户名和密码形式的 Credentials，Keystone 验证通过后会给 User 签发一个 Token 作为后续访问的 Credential。

技术图片

4> Token

　　Token 是由数字和字母组成的字符串，User 成功 Authentication 后 Keystone 生成 Token 并分配给 User。

? 　　Token 用做访问 Service 的 Credential

? 　　 Service 会通过 Keystone 验证 Token 的有效性

? 　　Token 的有效期默认是 24 小时

技术图片

5> oject

　　Project 用于将 OpenStack 的资源（计算、存储和网络）进行分组和隔离。

根据 OpenStack 服务的对象不同，Project 可以是一个客户（公有云，也叫租户）、部门或者项目组（私有云）。

这里请注意：

　　? 资源的所有权是属于 Project 的，而不是 User。

　　? 在 OpenStack 的界面和文档中，Tenant / Project / Account 这几个术语是通用的，但长期看会倾向使用 Project

? 　　每个 User（包括 admin）必须挂在 Project 里才能访问该 Project 的资源。一个User可以属于多个 Project。

? 　　 admin 相当于 root 用户，具有最高权限

技术图片

Horizon 在 Identity->Projects 中管理 Project

技术图片

通过 Manage Members 将 User 添加到 Project

技术图片

6> service

　　OpenStack 的 Service 包括 Compute (Nova)、Block Storage (Cinder)、Object Storage (Swift)、Image Service (Glance) 、Networking Service (Neutron) 等。每个 Service 都会提供若干个 Endpoint，User 通过 Endpoint 访问资源和执行操作。

技术图片

7> Endpoint

　　Endpoint 是一个网络上可访问的地址，通常是一个 URL。Service 通过 Endpoint 暴露自己的 API。 Keystone 负责管理和维护每个 Service 的 Endpoint。

技术图片

可以使用下面的命令来查看 Endpoint。

source devstack/openrc admin admin
openstack catalog list

技术图片

8> Role

　　安全包含两部分：Authentication（认证）和 Authorization（鉴权）

　　Authentication 解决的是“你是谁？”的问题

　　Authorization 解决的是“你能干什么？”的问题

Keystone 借助 Role 实现 Authorization：

Keystone定义Role

技术图片

可以为 User 分配一个或多个 Role，Horizon 的菜单为：Identity->Project->ManageMembers

技术图片

Service 决定每个 Role 能做什么事情 Service 通过各自的 policy.json 文件对 Role 进行访问控制。下面是 Nova 服务 /etc/nova/policy.json 中的示例：

技术图片

上面配置的含义是：对于 create、attach_network 和 attach_volume 操作，任何Role的 User 都可以执行；但只有 admin 这个 Role 的 User 才能执行 forced_host 操作。

　　 2. OpenStack 默认配置只区分 admin 和非 admin Role。如果需要对特定的 Role 进行授权，可以修改 policy.json。

Openstack对User的验证除了身份验证，还需要鉴别 User 对某个Service是否有访问权限。Policy用来定义什么角色对应什么权限。对Keystone来说，Policy其实是一个JSON文件，默认是 /etc/keystone/policy.json 。通过Policy，Keystone实现了对User的权限管理。

3. openstack系统基本角色有两个：

一个是管理员admin
一个是租户_member_

2. Keystone基本架构

技术图片

　　•Token：用来生成和管理token

　　•Catalog：用来存储和管理service/endpoint

　　•Identity：用来管理tenant/user/role和验证

　　•Policy：用来管理访问权限

技术图片

3. 通过例子认识Keystone

　　可以通过“查询可用 image”这个实际操作让大家对这些概念建立更加感性的认识。User admin 要查看 Project 中的 image

第 1 步登录

技术图片

　　当点击技术图片时，OpenStack 内部发生了哪些事情？请看下面

技术图片

　　Token 中包含了 User 的 Role 信息

第 2 步 显示操作界面

技术图片

　　请注意，顶部显示 admin 可访问的 Project 为 “admin” 和 “demo”。其实在此之前发生了一些事情：

技术图片

　　同时，admin 可以访问 Intance, Volume, Image 等服务

技术图片

　　这是因为 admin 已经从 Keystone 拿到了各 Service 的 Endpoints

技术图片

第 3 步 显示 image 列表

　　点击 “Images”，会显示 image 列表

技术图片

背后发生了这些事：

　　首先 admin 将请求发送到 Glance 的 Endpoint

技术图片

　　Glance 向 Keystone 询问 admin 身份是否有效

技术图片

　　接下来 Glance 会查看 /etc/glance/policy.json 判断 admin 是否有查看 image 的权限

技术图片

　　权限判定通过，Glance 将 image 列表发给 admin。

Troubleshoot

OpenStack 排查问题的方法主要是通过日志。每个 Service 都有自己的日志文件。

　　Keystone 主要有两个日志： keystone.log 和 keystone_access.log，保存在 /var/log/apache2/ 目录里。devstack 的 screen 窗口已经帮我们打开了这两个日志。可以直接查看：

技术图片

　　如果需要得到最详细的日志信息，可以在 /etc/keystone/keystone.conf 中打开 debug 选项。

技术图片

　　在非 devstack 安装中，日志可能在 /var/log/keystone/ 目录里。

4. 部署keystone

4.1 部署共享服务

技术图片

　　可以通过访问OpenStack的官网：https://docs.openstack.org/stein/ ，中文版的操作手册版本只有M版本，因此用英文版来操作选择ocata版本来进行部署。

进入ocata版本后下拉选择installation Guides，进入后选择centos环境进行操作。

技术图片

进入操作手册后可以选择在线看，也可以选择下载PDF看。

技术图片

　　选择在线观看，进入操作手册界面。

技术图片

　　但由于官网下载速度较慢，此处实验使用内网从已下载的网页资源进行部署，部署内容与官网操作一致。在终端192.168.16.66上部署，部署是要善用虚拟机快照。

1> 对OpenStack所用到的四台终端均进行域名解析。

[root@ajy6 ~]# vim /etc/hosts
127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6
192.168.16.65 ajy5
192.168.16.66 ajy6
192.168.16.68 ajy8
192.168.16.69 ajy9

2> 选择Environment，在生产环境中NTP服务是一定要部署的，但在实验环境中为了节省时间，直接进行OpenStack package 部署。部署过程按照官网步提供的骤进行即可。

技术图片

3> 根据官网提示，先进行centos环境里OpenStack源的配置。

技术图片

也可以直接使用内网已经准备好的源。

[root@ajy6 ~]# cd /etc/yum.repos.d/
[root@ajy6 yum.repos.d]# ls
Centos7-Base-yunwei.repo  rdo-release-yunwei.repo    epel-yunwei.repo

4> 安装OpenStack client的安装包

　　安装之前确保防火墙和selinux是关闭的。

yum install python-openstackclient

5> 安装OpenStack selinux的扩展包。

[root@ajy6 ~]#  yum install openstack-selinux -y

6> 部署数据库

技术图片

　　1) 安装

[root@ajy6 ~]#  yum install openstack-selinux -y

　　2) 编辑数据库配置文件

[root@ajy6 ~]# cd /etc/my.cnf.d/
[root@ajy6 my.cnf.d]# ls
auth_gssapi.cnf  enable_encryption.preset  mysql-clients.cnf
client.cnf       mariadb-server.cnf        tokudb.cnf

　　默认数据库配置文件为mariadb-server.cnf，此处不使用默认的配置文件，新建一个openstack.cnf的配置文件，使用官方模板

[root@ajy6 my.cnf.d]# vim openstack.cnf
[mysqld]
bind-address = 192.168.16.66               #监听地址改为本地主机地址
default-storage-engine = innodb            #默认引擎
innodb_file_per_table = on                 #过滤规则
max_connections = 4096                     #最大连接数
collation-server = utf8_general_ci         #字符集
character-set-server = utf8

　　3) 启动数据库，并开机自启

[root@ajy6 my.cnf.d]# systemctl start mariadb.service
[root@ajy6 my.cnf.d]# systemctl enable mariadb.service
Created symlink from /etc/systemd/system/multi-user.target.wants/mariadb.service to /usr/lib/systemd/system/mariadb.service.

　　4) 数据库初始化

[root@ajy6 my.cnf.d]# mysql_secure_installation
.........
[root@ajy6 my.cnf.d]# mysql -uroot -p123
Welcome to the MariaDB monitor.  Commands end with ; or \g.
Your MariaDB connection id is 9
Server version: 10.1.20-MariaDB MariaDB Server
Copyright (c) 2000, 2016, Oracle, MariaDB Corporation Ab and others.
Type ‘help;‘ or ‘\h‘ for help. Type ‘\c‘ to clear the current input statement.
MariaDB [(none)]> show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| mysql              |
| performance_schema |
+--------------------+
3 rows in set (0.00 sec)

7> 部署消息队列

技术图片

　　1) 安装RabbitMQ

[root@ajy6 my.cnf.d]# yum install rabbitmq-server

　　2) 启动消息队列服务并开机自启

[root@ajy6 ~]# systemctl start rabbitmq-servre.service
Failed to start rabbitmq-servre.service: Unit not found.        #重启失败，删除多于的缓存文件再启动
[root@ajy6 ~]# cd /var/lib/rabbitmq/
[root@ajy6 rabbitmq]# ls
erl_crash.dump  mnesia
[root@ajy6 rabbitmq]# rm -rf *
[root@ajy6 ~]# systemctl start rabbitmq-server.service
[root@ajy6 ~]# systemctl enable rabbitmq-server.service
Created symlink from /etc/systemd/system/multi-user.target.wants/rabbitmq-server.service to /usr/lib/systemd/system/rabbitmq-server.service.

　　3) 添加用户OpenStack，并给予权限

[root@ajy6 ~]# rabbitmqctl add_user openstack 123
Creating user "openstack" ...
[root@ajy6 ~]# rabbitmqctl set_permissions openstack ".*" ".*" ".*"
Setting permissions for user "openstack" in vhost "/" ...

8> 部署Memcache

技术图片

　　1) 下载安装

[root@ajy6 ~]# yum install memcached python-memcached -y

　　2) 编辑mamcache配置文件

[root@ajy6 ~]# vim /etc/sysconfig/memcached
PORT="11211"
USER="memcached"
MAXCONN="1024"
CACHESIZE="64"
OPTIONS="-l 127.0.0.1,::1,ajy6"    #添加主机名或主机ip均可

　　3) 启动Memcache服务

[root@ajy6 ~]# systemctl start memcached.service
[root@ajy6 ~]# systemctl enable memcached.service
Created symlink from /etc/systemd/system/multi-user.target.wants/memcached.service to /usr/lib/systemd/system/memcached.service.

4.2 部署身份认证服务

技术图片

1> 登录数据库，创建keystone数据库

[root@ajy6 ~]# mysql -uroot -p123
MariaDB [(none)]> create database keystone;
Query OK, 1 row affected (0.00 sec)
MariaDB [(none)]> show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| keystone           |
| mysql              |
| performance_schema |
+--------------------+

2> 给keystone数据库赋权

MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO ‘keystone‘@‘localhost‘ \                #本地登录
-> IDENTIFIED BY ‘KEYSTONE_DBPASS‘;
MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO ‘keystone‘@‘%‘ \                        #第三方登录
    -> IDENTIFIED BY ‘KEYSTONE_DBPASS‘;
MariaDB [(none)]> exit
Bye

3> 安装keystone服务

[root@ajy6 ~]# yum install openstack-keystone httpd mod_wsgi -y

keystone没有自己单独的服务，只是一个人软件包，keystone通过加载mod_wsgi模块调用http来对外服务。

4> 修改keystone的配置文件

[root@ajy6 ~]# cd /etc/keystone/
[root@ajy6 keystone]# ls
default_catalog.templates  logging.conf
keystone.conf              policy.json
keystone-paste.ini         sso_callback_template.html

# 删除keyston.conf所有文件按照官方文档重新配置，所以配置之前先备份。
[root@ajy6 keystone]# cp keystone.conf keystone.conf.bak
[root@ajy6 keystone]# vim keystone.conf                             #编辑配置端，大部分默认段是空的，只修改两处：主机和令牌提供者的插件
[DEFAULT]

[assignment]

[auth]

[cache]

[catalog]

[cors]

[cors.subdomain]

[credential]

[database]
connection = mysql+pymysql://keystone:KEYSTONE_DBPASS@ajy6/keystone  #已做过域名解析可以写主机名，也可以写主机ip
[domain_config]

[endpoint_filter]

[endpoint_policy]

[eventlet_server]

[federation]

[fernet_tokens]

[healthcheck]

[identity]

[identity_mapping]

[kvs]

[ldap]

[matchmaker_redis]

[memcache]

[oauth1]

[oslo_messaging_amqp]

[oslo_messaging_kafka]

[oslo_messaging_notifications]

[oslo_messaging_rabbit]

[oslo_messaging_zmq]

[oslo_middleware]

[oslo_policy]

[paste_deploy]

[policy]

[profiler]

[resource]

[revoke]

[role]

[saml]

[security_compliance]

[shadow_users]

[signing]

[token]                            #令牌由插件fernet提供

provider = fernet

[tokenless_auth]

[trust]

5> 同步数据库

[root@ajy6 ~]# su -s /bin/sh -c "keystone-manage db_sync" keystone

　　同步数据库后查看导入到数据库的表，有表存在则同步成功。

[root@ajy6 ~]# mysql -uroot -p123
MariaDB [(none)]> use keystone
MariaDB [keystone]> show tables;
+------------------------+
| Tables_in_keystone     |
+------------------------+
| access_token           |
| assignment             |
| config_register        |
| consumer               |
| credential             |
| endpoint               |
| endpoint_group         |
| federated_user         |
| federation_protocol    |
| group                  |
| id_mapping             |
| identity_provider      |
| idp_remote_ids         |
| implied_role           |
| local_user             |
| mapping                |
| migrate_version        |
| nonlocal_user          |
| password               |
| policy                 |
| policy_association     |
| project                |
| project_endpoint       |
| project_endpoint_group |
| region                 |
| request_token          |
| revocation_event       |
| role                   |
| sensitive_config       |
| service                |
| service_provider       |
| token                  |
| trust                  |
| trust_role             |
| user                   |
| user_group_membership  |
| user_option            |
| whitelisted_config     |
+------------------------+
38 rows in set (0.00 sec)
MariaDB [keystone]> exit
Bye

6> 用fernet设置token

[root@ajy6 ~]#  keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
[root@ajy6 ~]# keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

7> 设置keystone服务端点并设置admin用户密码

[root@ajy6 ~]# keystone-manage bootstrap --bootstrap-password admin \   #用户密码为admin
>   --bootstrap-admin-url http://ajy6:35357/v3/ \                       #管理网，端口为35357
>   --bootstrap-internal-url http://ajy6:5000/v3/ \                     #内网，端口为5000
>   --bootstrap-public-url http://ajy6:5000/v3/ \                       #公共网，端口为5000
>   --bootstrap-region-id RegionOne                                     #工作域

8> 配置http服务，加入主机名

[root@ajy6 ~]# vim /etc/httpd/conf/httpd.conf
#ServerName www.example.com:80
ServerName ajy6

9> 创建插件wsgi调用http的链接

[root@ajy6 ~]# ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/
[root@ajy6 ~]# cd /etc/httpd/conf.d/
[root@ajy6 conf.d]# ll
lrwxrwxrwx 1 root root   38 Jun 29 02:55 wsgi-keystone.conf -> /usr/share/keystone/wsgi-keystone.conf

10> 启动httpd服务，则将keystone服务启动

[root@ajy6 ~]# systemctl start httpd
[root@ajy6 ~]# systemctl enable  httpd
Created symlink from /etc/systemd/system/multi-user.target.wants/httpd.service to /usr/lib/systemd/system/httpd.service.

11> 配置admin用户的环境变量。

　　在命令行要控制OpenStack环境必须进行登录，因此需要在命令将OpenStack admin身份信息设置为环境变量，宣告admin身份信息。

环境变量保存在/root/openrc下面，文件名openrc自定义。

[root@ajy6 ~]# pwd
/root
[root@ajy6 ~]# vim openrc
export OS_USERNAME=admin                    #用户
export OS_PASSWORD=admin                    #密码
export OS_PROJECT_NAME=admin                #项目
export OS_USER_DOMAIN_NAME=Default         
export OS_PROJECT_DOMAIN_NAME=Default
export OS_AUTH_URL=http://ajy6:35357/v3     #主机
export OS_IDENTITY_API_VERSION=3

执行文件脚本，宣告环境变量

[root@ajy6 ~]# sh openrc
#或者用命令source
[root@ajy6 ~]# source openrc

　　宣告完成后就相当于在图形界面使用账户密码登录OpenStack，因此可以使用openstack 命令了。

#查看OpenStack里面的用户
[root@ajy6 ~]# openstack user list
+----------------------------------+-------+
| ID                               | Name  |
+----------------------------------+-------+
| 4a3f3226d6a74669a23da16b623c386c | admin |
+----------------------------------+-------+

4.3 创建一个domain

技术图片

1> 创建一个服务项目

[root@ajy6 ~]# openstack project create --domain default >   --description "Service Project" service          #创建一个service项目，默认在domain域
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | Service Project                  |
| domain_id   | default                          |
| enabled     | True                             |
| id          | 6338a2d46b78461fb172e3f5a4774482 |
| is_domain   | False                            |
| name        | service                          |
| parent_id   | default                          |

查看项目列表

[root@ajy6 ~]# openstack project list
+----------------------------------+---------+
| ID                               | Name    |
+----------------------------------+---------+
| 6338a2d46b78461fb172e3f5a4774482 | service |
| 9856add5c8ad499b8b7e07b2d8cf0c0d | admin   |
+----------------------------------+---------+

2> 创建demo项目

[root@ajy6 ~]# openstack project create --domain default >   --description "Demo Project" demo
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | Demo Project                     |
| domain_id   | default                          |
| enabled     | True                             |
| id          | a617fd3550a74b039ceec50afec1e370 |
| is_domain   | False                            |
| name        | demo                             |
| parent_id   | default                          |
+-------------+----------------------------------+
[root@ajy6 ~]# openstack project list
+----------------------------------+---------+
| ID                               | Name    |
+----------------------------------+---------+
| 6338a2d46b78461fb172e3f5a4774482 | service |
| 9856add5c8ad499b8b7e07b2d8cf0c0d | admin   |
| a617fd3550a74b039ceec50afec1e370 | demo    |
+----------------------------------+---------+

3> 创建demo用户

[root@ajy6 ~]#  openstack user create --domain default >   --password-prompt demo
User Password:                     #为方便记忆，用户和密码均为demo
Repeat User Password:
+---------------------+----------------------------------+
| Field               | Value                            |
+---------------------+----------------------------------+
| domain_id           | default                          |
| enabled             | True                             |
| id                  | fca9c0d1f4fb4524a25ee8562794f6c0 |
| name                | demo                             |
| options             | {}                               |
| password_expires_at | None                             |
+---------------------+----------------------------------+
[root@ajy6 ~]# openstack user list
+----------------------------------+-------+
| ID                               | Name  |
+----------------------------------+-------+
| 4a3f3226d6a74669a23da16b623c386c | admin |
| fca9c0d1f4fb4524a25ee8562794f6c0 | demo  |
+----------------------------------+-------+

#删除用户用命令 user delete
[root@ajy6 ~]# openstack user delete demo
[root@ajy6 ~]# openstack user list
+----------------------------------+-------+
| ID                               | Name  |
+----------------------------------+-------+
| 4a3f3226d6a74669a23da16b623c386c | admin |
+----------------------------------+-------+

#重新创建用户demo，直接在添加的时候写入密码
[root@ajy6 ~]#  openstack user create --domain default   --password=demo demo
+---------------------+----------------------------------+
| Field               | Value                            |
+---------------------+----------------------------------+
| domain_id           | default                          |
| enabled             | True                             |
| id                  | a5b7806347f04a839e5f87098c45e8b1 |
| name                | demo                             |
| options             | {}                               |
| password_expires_at | None                             |
+---------------------+----------------------------------+

4> 创建角色user

[root@ajy6 ~]# openstack role list
+----------------------------------+----------+
| ID                               | Name     |
+----------------------------------+----------+
| 6a7c42942f1a4a3881c1b89f0052de38 | admin    |
| 9fe2ff9ee4384b1894a90878d3e92bab | _member_ |
+----------------------------------+----------+
[root@ajy6 ~]# openstack role create user
+-----------+----------------------------------+
| Field     | Value                            |
+-----------+----------------------------------+
| domain_id | None                             |
| id        | 58e8774b5b01404bbbc1feec776abcfe |
| name      | user                             |
+-----------+----------------------------------+
[root@ajy6 ~]# openstack role list
+----------------------------------+----------+
| ID                               | Name     |
+----------------------------------+----------+
| 58e8774b5b01404bbbc1feec776abcfe | user     |
| 6a7c42942f1a4a3881c1b89f0052de38 | admin    |
| 9fe2ff9ee4384b1894a90878d3e92bab | _member_ |
+----------------------------------+----------+

5> 将角色user添加到demo项目的demo用户

[root@ajy6 ~]# openstack role add --project demo --user demo user

OpenStack核心组件-keystone

标签：and 举例 username 好的自定义 provider 终端 apache2 ima

原文地址：https://www.cnblogs.com/ajunyu/p/11106186.html

踩

(0)

评论一句话评论（0）

分享档案

更多>

2021年07月29日 (22)
2021年07月28日 (40)
2021年07月27日 (32)
2021年07月26日 (79)
2021年07月23日 (29)
2021年07月22日 (30)
2021年07月21日 (42)
2021年07月20日 (16)
2021年07月19日 (90)
2021年07月16日 (35)

周排行