OpenStack Identity(Keystone)身份服务-体系结构与中间件

OpenStack Identity（Keystone）服务为运行OpenStack Compute上的OpenStack云提供了认证和管理用户、帐号和角色信息服务，并为OpenStack Object Storage提供授权服务。

Keystone体系结构
Keystone 有两个主要部件：验证和服务目录

验证：提供了一个基于令牌的验证服务，主要有以下几个概念：
租户（Tenant）
使用OpenStack相关服务的一个组织。一个租户映射到一个Nova的“project-id”，在对象存储中，一个租户可以有多个容器。根据不同的安装方式，一个租户可以代表一个客户、帐号、组织或项目。
用户（User）
代表一个个体，OpenStack以用户的形式来授权服务给它们。用户拥有证书（credentials），且可能分配给一个或多个租户。经过验证后，会为每个单独的租户提供一个特定的令牌。
证书（credentials）
为了给用户提供一个令牌，需要用证书来唯一标识一个Keystone用户的密码或其它信息
令牌（token）
一个令牌是一个任意比特的文本，用于与其它OpenStack服务来共享信息，Keystone以此来提供一个central location，以验证访问OpenStack服务的用户。一个令牌可以是“scoped”或“unscoped”。一个scoped令牌代表为某个租户验证过的用户，而unscoped令牌则仅代表一个用户。令牌的有效期是有限的，可以随时被撤回。
角色（Role）
一个角色是应用于某个租户的使用权限集合&#x