OpenStack安装流程(juno版)- 添加认证服务(keystone)

OpenStack安装流程(juno版)- 添加认证服务(keystone)

keystone简介

keystone主要为了实现以下关键功能:

  • 追踪用户和管理其权限;
  • 提供可访问服务的目录,并提供服务的API端点(API endpoints)。

keystone中的一些基本概念简介

  • 用户(User)

可使用OpenStack云服务的个人、系统或服务的数字化形象。(Digital representation of a person, system, or service who uses OpenStack cloud services. )

  • 证书(Credentials)

用于确认用户身份的数据。

  • 认证(Authentication)

确认一个用户身份的认证过程。

  • 令牌(Token)

一段字母和数字组成的文本,用于访问OpenStack 的API和资源。

  • 租户(Tenant)

一个用来分组或隔离资源的集合。租户还可以用来分组或隔离认证对象。根据不同的服务操作者,一个租户可以对应一个顾客、一个账户、一个组织或一个项目。(A container used to group or isolate resources. Tenants also group or isolate identity objects. Depending on the service operator, a tenant may map to a customer, account, organization, or project.)

  • 服务(Service)

OpenStack的服务,用于Compute(nova),Object Storage(swift)或Image Service(glance)等。它为用户访问资源,实施运作提供了一个或多个端点(endpoint)。

  • 端点(Endpoint)

一个可以通过网络来访问服务的地址,通常是一个URL地址。

  • 角色 (Role)

一种定义好的拥有施行特定操作的权限的个人特征。

  • keystone客户端(Keystone Client)

一种用于OpenStack认证API的命令行交互界面。

安装和配置

keystone服务安装在controller节点上。

配置keystone所使用的数据库

使用root身份进入数据库(密码为安装数据库步骤时设立的):
$ mysql -u root -p

进入数据库界面后创建属于keystone的数据库:
<pre>CREATE DATABASE keystone;</pre>

把keystone数据库的访问权限赋予名为keystone,来自任何主机地址的用户,并设定访问密码为KEYSTONE_DBPASS(替换为合适的密码):
<pre>GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS';
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'KEYSTONE_DBPASS';
</pre>
可以把KEYSTONE_DBPASS变更为合适的密码。

退出数据库客户端。

安装配置组件

  1. 安装keystone包:

# apt-get install keystone python-keystoneclient

  1. 编辑# vi /etc/keystone/keystone.conf文件:
    [DEFAULT]部分,定义initial administration token:
    <pre>[DEFAULT]
    ...
    admin_token = ADMIN_TOKEN
    </pre>

    其中替换ADMIN_TOKEN为合适的值,可以通过# openssl rand -hex 10来生成。

    继续在[DEFAULT]部分开启“输出详细记录日志”的选项:
    <pre>[DEFAULT]
    ...
    verbose = True
    </pre>

    [database]部分,设定数据库访问选项:
    <pre>[database]
    ...
    connection = mysql://keystone:KEYSTONE_DBPASS@controller/keystone
    </pre>
    把KEYSTONE_DBPASS替换为创建keystone数据库时所授权的密码。配置默认使用SQL的数据库连接,需要注释掉或删除。

    [token]部分,配置UUID token provider和SQL driver:
    <pre>[token]
    ...
    provider = keystone.token.providers.uuid.Provider
    driver = keystone.token.persistence.backends.sql.Token
    </pre>

    [revoke]部分,配置SQL revocation driver:
    <pre>[revoke]
    ...
    driver = keystone.contrib.revoke.backends.sql.Revoke
    </pre>

    同步认证服务数据库:

# keystone-manage db_sync

完成最后的安装

重启认证服务:
# service keystone restart

默认Ubuntu会产生SQLite数据库,可以将其删除:
# rm -f /var/lib/keystone/keystone.db

默认情况下,认证服务会无限量地存储过期的token,这将导致数据库占用空间大幅度增加而且会降低认证服务的性能,用以下命令可以定期清除过期的token:
<pre># (crontab -l -u keystone 2>&1 | grep -q token_flush) || \
echo '@hourly /usr/bin/keystone-manage token_flush >/var/log/keystone/keystone-tokenflush.log 2>&1' \

/var/spool/cron/crontabs/keystone</pre>

创建租户,用户和角色

配置所需的环境变量

在使用keystone命令操作前,需要先使用临时的administration token(即在/etc/keystone/keystone.conf文件中设定的ADMIN_TOKEN),并手动配置认证服务的地址(endpoint)。
将administration token写入环境变量:
$ export OS_SERVICE_TOKEN=ADMIN_TOKEN
将endpoint写入环境变量:
$ export OS_SERVICE_ENDPOINT=http://controller:35357/v2.0

创建租户,用户和角色

  1. 创建拥有管理操作职能的管理租户,管理用户和管理角色。

    创建admin租户:
    <pre>$ keystone tenant-create --name admin --description "Admin Tenant"

Property Value
description Admin Tenant
enabled True
id e8cda8def37b4d32b765759f1faa5ed2
name admin

</pre>

创建admin用户:

<pre>$ keystone user-create --name admin --pass ADMIN_PASS --email EMAIL_ADDRESS
Property Value
email admin@example.com
enabled True
id 13b460ca8d9e4aa094e8f4f4fff6f087
name admin
username admin

+———-+———————————-+</pre>
用合适的密码代替ADMIN_PASS。

创建admin角色:

<pre>$ keystone role-create --name admin
Property Value
id 2bf07853b40b420eb9e9e2aa23ff3e9e
name admin

+———-+———————————-+</pre>

admin角色赋予给admin租户和admin用户。
$ keystone user-role-add --user admin --tenant admin --role admin
这条命令不会产生输出显示。

  1. 创建拥有特定权限的demo租户,demo用户

    创建demo租户:
    <pre>$ keystone tenant-create --name demo --description "Demo Tenant"

Property Value
description Demo Tenant
enabled True
id ef5783a270d84bb880a2c6fb85eac651
name demo

+————-+———————————-+</pre>

创建属于demo租户的demo用户

<pre>keystone user-create --name demo --tenant demo --pass DEMO_PASS --email EMAIL_ADDRESS
Property Value
email demo@example.com
enabled True
id 2a6e8190e26c4f27ba98171235a8b219
name demo
tenantId ef5783a270d84bb880a2c6fb85eac651
username demo

+———-+———————————-+</pre>
用合适的密码代替DEMO_PASS

OpenStack服务的配置方案

OpenStack的服务都需要被赋予租户,用户和角色的性质来与其他服务进行交互。每个服务都需要创建一个或多个独立的用户,这个用户被赋予admin角色,并且属于service租户下。

创建service租户:

<pre>$ keystone tenant-create --name service --description "Service Tenant"
Property Value
description Service Tenant
enabled True
id e4288b01bc084a29ad6133f882a58732
name service

+————-+———————————-+</pre>

创建服务实体和API端点(service entity and API endpoint)

配置所需的环境变量

具体操作如上一步骤所述。

创建服务实体和API端点

  1. 创建服务实体
    认证服务会将OpenStack环境中的所有服务登记在目录中,所有服务都通过这个目录来定位环境中的其他服务。

    创建认证服务的服务实体:
    <pre>$ keystone service-create --name keystone --type identity \

–description “OpenStack Identity”
Property Value
description OpenStack Identity
enabled True
id d7bbd538857b4caa9f7f9730a74b98ca
name keystone
type identity

+————-+———————————-+</pre>

  1. 创建服务API端点
    认证服务会将OpenStack环境中每个服务对应的API端点登记在目录中,这个目录将用来支持各个服务之间的通信。

    创建认证服务的API端点:
    <pre>$ keystone endpoint-create \

–service-id $(keystone service-list | awk ‘/ identity / {print $2}’) \
–publicurl http://controller:5000/v2.0 \
–internalurl http://controller:5000/v2.0 \
–adminurl http://controller:35357/v2.0 \

–region regionOne
Property Value
adminurl http://controller:35357/v2.0
id 32fb8b8934024c30bd1f0b7795a51220
internalurl http://controller:5000/v2.0
publicurl http://controller:5000/v2.0
region regionOne
service_id d7bbd538857b4caa9f7f9730a74b98ca

+————-+———————————-+</pre>

验证操作

  1. 复位环境变量:

$ unset OS_SERVICE_TOKEN OS_SERVICE_ENDPOINT

  1. admin租户和用户的身份,请求一条authentication token:
    <pre>$ keystone --os-tenant-name admin --os-username admin --os-password ADMIN_PASS \
–os-auth-url http://controller:35357/v2.0 token-get
Property Value
expires 2015-11-24T12:37:45Z
id 1d5ebdf4e60a4f648240a20a65cbf96e
tenant_id 4f7806287c9a437e9cd912504ff71727
user_id fd151acb7cc34bba8d4d9cf391ad0d06

+———–+———————————-+</pre>
ADMIN_PASS为之前设定的admin用户密码。

  1. admin租户和用户的身份,列出租户清单:
    <pre>$ keystone --os-tenant-name admin --os-username admin --os-password ADMIN_PASS \
–os-auth-url http://controller:35357/v2.0 tenant-list
id name enabled
4f7806287c9a437e9cd912504ff71727 admin True
d1f7caccc65840b68258997a759da07f demo True
5ab4d5c513f543cfbf8e3be97f5df5fb service True

+———————————-+———+———+</pre>
ADMIN_PASS为之前设定的admin用户密码。

  1. admin租户和用户的身份,列出用户清单:
    <pre>$ keystone --os-tenant-name admin --os-username admin --os-password ADMIN_PASS \
–os-auth-url http://controller:35357/v2.0 user-list
id name enabled email
fd151acb7cc34bba8d4d9cf391ad0d06 admin True admin@example.com
812116bcca5b4a01981669fcef09ee11 demo True demo@example.com

+———————————-+——-+———+——————-+</pre>
ADMIN_PASS为之前设定的admin用户密码。

  1. admin租户和用户的身份,列出角色清单:
    <pre>$ keystone --os-tenant-name admin --os-username admin --os-password ADMIN_PASS \
–os-auth-url http://controller:35357/v2.0 role-list
id name
9fe2ff9ee4384b1894a90878d3e92bab member
61286483662e40ba8f0a48b05fc8a451 admin

+———————————-+———-+</pre>
ADMIN_PASS为之前设定的admin用户密码。其中_member_的来历如下,在创建用户时:Using the –tenant option automatically assigns the member role to a user. This option will also create the member role if it does not exist.(创建时使用的命令为keystone user-create –name demo –tenant demo –pass DEMO_PASS –email EMAIL_ADDRESS)

  1. demo租户和用户的身份,请求一条authentication token:
    <pre>$ keystone --os-tenant-name demo --os-username demo --os-password DEMO_PASS \
–os-auth-url http://controller:35357/v2.0 token-get
Property Value
expires 2015-11-24T13:06:04Z
id 9eca8d1dff374c2da6f358e85f0b60af
tenant_id d1f7caccc65840b68258997a759da07f
user_id 812116bcca5b4a01981669fcef09ee11

+———–+———————————-+</pre>
DEMO_PASS为之前设定的demo用户密码。

  1. demo租户和用户的身份,验证无法执行admin专属命令:
    <pre>$ keystone --os-tenant-name demo --os-username demo --os-password DEMO_PASS \

–os-auth-url http://controller:35357/v2.0 user-list
You are not authorized to perform the requested action: admin_required (HTTP 403)</pre>

创建OpenStack客户端环境脚本

创建脚本

  1. 创建文件admin-openrc.sh,并输入以下内容:
    <pre>export OS_TENANT_NAME=admin

export OS_USERNAME=admin
export OS_PASSWORD=ADMIN_PASS
export OS_AUTH_URL=http://controller:35357/v2.0</pre>
ADMIN_PASS为之前设定的admin用户密码。

  1. 创建文件demo-openrc.sh,并输入以下内容:
    <pre>export OS_TENANT_NAME=demo

export OS_USERNAME=demo
export OS_PASSWORD=DEMO_PASS
export OS_AUTH_URL=http://controller:5000/v2.0</pre>
DEMO_PASS为之前设定的demo用户密码。

注:端口35357是为拥有管理权限的操作准备的,端口5000是为普通用户操作准备的。

启动客户端环境脚本

根据不同租户和用户,执行$ source admin-openrc.sh</code>或<code>$ source demo-openrc.sh

安装时出现的问题及解决方法

安装完keystone后,创建”Admin Tenant”时出现“Unable to establish connection to http://controller:35357/v2.0/tenants”的错误,可能是安装keystone时未完整安装,重新安装并更新。在验证步骤时出现(HTTP 401),有可能是密码等配置错误,导致访问权限受限,重新检查配置文件和各个用户的密码情况。

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。

发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/101282.html原文链接:https://javaforall.cn

【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛

【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...

(0)


相关推荐

  • php header 404写法 php header函数用法

    php header 404写法 php header函数用法header("HTTP/1.1404NotFound");exit;

  • 深圳有哪些不错的互联网公司_深圳好公司推荐

    深圳有哪些不错的互联网公司_深圳好公司推荐深圳作为一个一线城市,改革开放已经40余年了,即使如此,栈长觉得深圳现在也还是一个非常年轻的城市,不断吸引着大批外省务工人员。深圳不仅是一个包容度很高的城市,也是一个互联网公司扎堆的城市,今天栈

  • width:100vh有感而发「建议收藏」

    width:100vh有感而发「建议收藏」在看一个网页的代码是看到width:100vh 纳尼。。。这这我怎么没有见过,这是个什么属性,随之有看到min-height:calc(100vh+51px);这尼玛又是怎么用的….感叹入行已整整两年却…先介绍一下vh:相对于视窗的高度,那么vw:则是相对于视窗的高度“视区”所指为浏览器内部的可视区域大小,即window.innerWidth/window.inn

  • 二、八、十、十六进制转换(图解篇)「建议收藏」

    二、八、十、十六进制转换(图解篇)「建议收藏」一.本文所涉及的内容(Contents)本文所涉及的内容(Contents)背景(Contexts)进制转换算法(Convert)(二、八、十六进制)→(十进制)二进制→十进制八进制→十

  • usb-c接口和雷电3接口有什么区别(type-c和雷电3的区别)

    缘起随着小新pro发布,看到带了全功能的type-c接口,一直搞不懂什么type-c还有什么全功能,半功能?和雷电3又有什么区别,雷电3又有什么全速,半速。由于搞不清,所以网上看了很多资料,这里总结一下以备后续查阅说说usb3.1和雷电3usb接口大家再熟悉不过了,就是我们经常说的这种的但其实这个样子的全称是USBType-A,除此之外还有USBType-B,USBType-C…

  • mybatis逆向工程插件

    mybatis逆向工程插件一个简单的利用mybatis连接数据库生成实体和mapper的工程下面是项目结构图:首先lib引入jar包:GeneratorSqlmap.java:importjava.io.File;importjava.io.IOException;importjava.util.ArrayList;importjava.util.List;importor…

发表回复

您的电子邮箱地址不会被公开。

关注全栈程序员社区公众号