cenos7.1 安装openstack kilo 心得之六添加身份认证服务

最新推荐文章于 2023-06-26 00:07:43 发布

Sprigson

最新推荐文章于 2023-06-26 00:07:43 发布

阅读量1.2k

点赞数

分类专栏： openstack

本文链接：https://blog.csdn.net/AHUT_SZF/article/details/49848125

版权

openstack 专栏收录该内容

6 篇文章 0 订阅

订阅专栏

注意：该部分只在控制节点

一、安装和配置
这一章描述了怎样在控制结点安装和配置Openstack身份认证服务
配置前的准备
在你配置 OpenStack 身份认证服务前，你必须创建一个数据库和管理员令牌。
1. 完成下面的步骤以创建数据库：
a. 以 root 用户身份通过数据库客户端连接到数据库服务：
$ mysql -u root -p

b. 创建 keystone 数据库：
CREATE DATABASE keystone;
c. 为 keystone 数据库赋予恰当的访问权限：
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS';
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'KEYSTONE_DBPASS';
将 KEYSTONE_DBPASS 替换为实际的密码。
d. 退出数据库客户端。

quit;
2. 生成一个随机值在初始的配置中作为管理员的令牌。
$ openssl rand -hex 10
二、安装和配置组件
1. 运行以下命令来安装包。
# yum install openstack-keystone python-keystoneclient
2. 编辑 /etc/keystone/keystone.conf ，并完成下列操作：
a. 在 [DEFAULT] 段中，对管理员令牌进行配置。
[DEFAULT]
...
admin_token = ADMIN_TOKEN
将 ADMIN_TOKEN 替换为上一步中生成的随机字符串。
b. 在 [database] 段，配置数据库访问相关参数：
[database]
...
connection = mysql://keystone:KEYSTONE_DBPASS@控制器/keystone
将 KEYSTONE_DBPASS 替换为实际的数据库用户的密码。
c. 在 [token] 部分，设置 UUID 令牌的提供者和 SQL 驱动。
[token]
...
provider = keystone.token.providers.uuid.Provider
driver = keystone.token.persistence.backends.sql.Token
d. 在 [revoke] 部分，配置 SQL 的撤回驱动：
[revoke]
...
driver = keystone.contrib.revoke.backends.sql.Revoke

e. (可选配置)可以在 [DEFAULT] 段中开启详细日志配置，为后期的故障排除提供帮助：

[DEFAULT]
...
verbose = True

3. 生成通用的证书和私钥文件，并修改这些文件的访问权限：
# keystone-manage pki_setup --keystone-user keystone --keystone-group keystone
# chown -R keystone:keystone /var/log/keystone
# chown -R keystone:keystone /etc/keystone/ssl
# chmod -R o-rwx /etc/keystone/ssl

4. 初始化身份认证服务的数据库：

#keystone-manage db_sync

三、完成安装
1. 启动身份认证服务，并将该服务配为系统启动时自动启动：
# systemctl enable openstack-keystone.service
# systemctl start openstack-keystone.service
2. 身份认证服务默认的情况会永久保存已经过期的身份凭证。过期凭证的累积会增加数据
库的体积甚至减低整个服务的性能，特别是在那些资源紧缺的环境中。
建议使用 cron 配置计划任务每个小时定时清理过期的身份凭证：
# (crontab -l -u keystone 2>&1 | grep -q token_flush) || echo '@hourly /usr/bin/keystone-manage token_flush >/var/log/keystone/keystone-tokenflush.log \

2>&1' >> /var/spool/cron/keystone

四、创建租户、用户和角色

1. 配置管理员令牌：
$ export OS_SERVICE_TOKEN=ADMIN_TOKEN
将其中的 ADMIN_TOKEN 替换为您在 “安装和配置”一节 [30] 中生成的管理员令牌。例
如：
$ export OS_SERVICE_TOKEN=294a4c8a8a475f9b9836

2. 配置入口点：
$ export OS_SERVICE_ENDPOINT=http://控制器:35357/v2.0

3. OpenStack 服务也需要租户、用户和角色来与其他服务交互。每个服务一般需要在
service 租户下创建一个或多个用户，并赋予 admin 的角色。
• 创建 service 租户：

创建服务实体和 API 端点
创建好租户、用户和角色后，您必须为身份认证服务创建 service 实体和 API 端点。
配置前的准备
• 如 “创建租户、用户和角色”一节 [32] 中所描述的内容，设置 OS_SERVICE_TOKEN 和
OS_SERVICE_ENDPOINT 环境变量。
创建服务实体和 API 端点
1. 身份认证服务管理了一个关于您 OpenStack 环境中的服务的目录。服务使用这个目录来
查找您环境中的其他服务。
创建服务实体和身份认证服务：

2. 身份认证服务管理了一个与您环境相关的 API 端点的目录。服务使用这个目录来决定如
何与您环境中的其他服务进行通信。

创建身份认证服务的 API 端点：
$ keystone endpoint-create --service-id $(keystone service-list | awk '/ identity / {print $2}') --publicurl http://控制器:5000/v2.0 --internalurl http://控制器:5000/v2.0 \
--adminurl http://控制器:35357/v2.0 --region regionOne
+-------------+----------------------------------+
| Property | Value |
+-------------+----------------------------------+
| adminurl | http://controller:35357/v2.0 |
| id | 11f9c625a3b94a3f8e66bf4e5de2679f |
| internalurl | http://controller:5000/v2.0 |
| publicurl | http://controller:5000/v2.0 |
| region | regionOne |
| service_id | 15c11a23667e427e91bc31335b45f4bd |
+-------------+----------------------------------+

验证操作
这个部分描述如何验证身份认证服务的操作。
1. 取消 OS_SERVICE_TOKEN 和 OS_SERVICE_ENDPOINT 临时环境变量的设置：
$ unset OS_SERVICE_TOKEN OS_SERVICE_ENDPOINT
2. 使用admin 租户和用户，需要一个认证的令牌：
$ keystone --os-tenant-name admin --os-username admin --os-password ADMIN_PASS --os-auth-url http://controller:35357/v2.0 token-get
+-----------+----------------------------------+
| Property | Value |
+-----------+----------------------------------+
| expires | 2014-10-10T12:50:12Z |
| id | 8963eb5ccd864769a894ec316ef8f7d4 |
| tenant_id | 6f4c1e4cbfef4d5a8a1345882fbca110 |
| user_id | ea8c352d253443118041c9c8b8416040 |
+-----------+----------------------------------+
将其中的 ADMIN_PASS 替换为您在身份认证服务中为 admin 用户设置的密码。如果包含
特殊字符，您可能需要使用单引号 (') 将密码引用。

3. 使用 admin 租户和用户，列出租户以验证 admin 租户和用户能够执行只有管理员才能执
行的命令行，且身份认证服务包含您在 “创建租户、用户和角色”一节 [32] 中创建的
租户：
$ keystone --os-tenant-name admin --os-username admin --os-password ADMIN_PASS --os-auth-url http://controller:35357/v2.0 tenant-list

4. 使用 admin 租户和用户，列出用户以验证身份认证服务包含您在 “创建租户、用户和
角色”一节 [32] 中创建的用户：
$ keystone --os-tenant-name admin --os-username admin --os-password ADMIN_PASS \
--os-auth-url http://controller:35357/v2.0 user-list
+----------------------------------+---------+---------+---------------------+
| id | name | enabled | email |
+----------------------------------+---------+---------+---------------------+
| ea8c352d253443118041c9c8b8416040 | admin | True | admin@example.com |
| 7004dfa0dda84d63aef81cf7f100af01 | demo | True | demo@example.com |
+----------------------------------+---------+---------+---------------------+
5. 使用 admin 租户和用户，列出角色以验证身份认证服务包含您在 “创建租户、用户和
角色”一节 [32] 中创建的角色：
$ keystone --os-tenant-name admin --os-username admin --os-password ADMIN_PASS \
--os-auth-url http://controller:35357/v2.0 role-list
+----------------------------------+----------+
| id | name |
+----------------------------------+----------+
| 9fe2ff9ee4384b1894a90878d3e92bab | _member_ |
| bff3a6083b714fa29c9344bf8930d199 | admin |
+----------------------------------+----------+

将其中的 DEMO_PASS 替换为您在身份认证服务中为 demo 用户所设置的密码。

7. 使用 demo 租户和用户，尝试列出用户以验证您不能执行只有管理员才能执行的命令
行：
$ keystone --os-tenant-name demo --os-username demo --os-password DEMO_PASS \
--os-auth-url http://controller:35357/v2.0 user-list
You are not authorized to perform the requested action, admin_required. (HTTP 403)

创建 OpenStack 客户端环境脚本

1. 编辑 admin-openrc.sh 文件并添加下列内容：
export OS_TENANT_NAME=admin
export OS_USERNAME=admin
export OS_PASSWORD=ADMIN_PASS
export OS_AUTH_URL=http://控制器:35357/v2.0
将其中的 ADMIN_PASS 替换为您在身份认证服务中为 admin 用户设置的密码。
2. 编辑 demo-openrc.sh 文件并添加下列内容：
export OS_TENANT_NAME=demo
export OS_USERNAME=demo
export OS_PASSWORD=DEMO_PASS
export OS_AUTH_URL=http://控制器:5000/v2.0
将其中的 DEMO_PASS 替换为您在身份认证服务中为 demo 用户设置的密码。

加载客户端环境脚本
• 使用特定租户和用户运行客户端，您可以在运行之前简单地加载相关客户端脚本。例
如，加载身份认证服务的位置和 admin 租户及用户的凭证：
$ source admin-openrc.sh

Sprigson

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
1
评论
cenos7.1 安装openstack kilo 心得之六添加身份认证服务

注意：该部分只在控制节点一、安装和配置这一章描述了怎样在控制结点安装和配置Openstack身份认证服务配置前的准备在你配置 OpenStack 身份认证服务前，你必须创建一个数据库和管理员令牌。1. 完成下面的步骤以创建数据库： a. 以 root 用户身份通过数据库客户端连接到数据库服务： $ mysql -u root -p b.
复制链接

扫一扫