openstack(T版):keystone认证

keystone身份认证服务

Keystone (OpenStack ldentity Service）是OpenStack中的一个独立的提供安全认证的模块，主要负责openstack用户的身份认证、令牌管理、提供访问资源的服务具录、以及基于用户角色的访问控制。

Keystone类似一个服务总线或者说是整个Openstack框架的注册表，其他服务通过keystone来注册其服务的Endpoint(服务访问的URL)，任何服务之间相互的调用，需要经过Keystone的身份验证，来获得目标服务的Endpoint来找到目标服务。

keystone的主要功能

身份认证(Authentication) :令牌的发放和校验
用户授权(Authorization) :授予用户在一个服务中所拥有权限
用户管理(Account):管理用户账户
服务目录(Service Catalog):提供可用服务的API端点

keystone的管理对象

User：指使用Openstack service的用户。
Project(Tenant)：可以理解为一个人、或服务所拥有的资源集合。
Role：用于划分权限。通过给User指定Role，使User获得Role对应操作权限。
Authentication：确定用户身份的过程。
Token：是一个字符串表示，作为访问资源的令牌。Token包含了在指定范围和有效时间内，可以被访问的资源。
Credentials：用于确认用户身份的凭证。用户的用户名和密码，或者是用户名和API密钥，或者身份管理服务提供的认证令牌。
service：Openstack service，即Openstack中运行的组件服务。如nova、swift、glance、neutron、cinder等。
Endpoint：一个可以通过网络来访问和定位某个Openstack service的地址，通常是一个URL。

keystone认证流程

1、用户通过命令行或控制台登录时，进行keystone认证，认证成功后，发给用户一个token令牌并告诉用户能够访问的服务目录。
2、用户创建虚拟机会带着自己的token和nova的url去访问nova服务，nova服务会把用户的token向keystone认证是否可用，如果可用则开始创建虚拟机。
3、由于创建虚拟机需要获取镜像服务和网络拓扑服务，所以nova会带着token向glance和neutron请求资源，这个时候glance和neutron会向keystone认证是否可用，认证成功则把资源调给nova，供nova使用。
4、nova创建虚拟机，创建成功并把信息返回给用户。

keystone服务的部署

控制节点创建数据库实例和数据库用户
[root@ct ~]# mysql -u root -p123
MariaDB [(none)]> create database keystone;		#创建keystone库
MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS';		#设置权限
Query OK, 0 rows affected (0.001 sec)

MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'KEYSTONE_DBPASS';
Query OK, 0 rows affected (0.000 sec)

MariaDB [(none)]> flush privileges;		#刷新权限
Query OK, 0 rows affected (0.000 sec)


[root@ct ~]# yum -y install openstack-keystone httpd mod_wsgi		#下载几个需要用到的软件
[root@ct ~]# cp -a /etc/keystone/keystone.conf{,.bak}				#给配置文件做备份
[root@ct ~]# ls /etc/keystone/
default_catalog.templates  keystone.conf.bak  policy.json
keystone.conf              logging.conf       sso_callback_template.html
[root@ct ~]# grep -Ev "^$|#" /etc/keystone/keystone.conf.bak > /etc/keystone/keystone.conf			#去除空行和注释掉的内容并覆盖到配置文件中
#     --set进行设置，对/etc/keystone/keystone.conf配置文件进行设置，修改的是database，指定连接mysql和pymysql数据库
[root@ct ~]# openstack-config --set /etc/keystone/keystone.conf database connection mysql+pymysql://keystone:KEYSTONE_DBPASS@ct/keystone

#指定keystone在认证过程中keystone自己以fernet这种安全的消息传递格式传递token
[root@ct ~]# openstack-config --set /etc/keystone/keystone.conf token provider fernet

#初始化认证服务器，将keystone相关的表和表结构导入数据库
[root@ct ~]# su -s /bin/sh -c "keystone-manage db_sync" keystone
#通过keystone命令工具(安装openstack-keystone就有的)   fernet_setup表示对fernet修改并升级，升级的是keystone用户
[root@ct ~]# keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
[root@ct ~]# keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

#配置bootstrap身份认证服务
[root@ct ~]# keystone-manage bootstrap --bootstrap-password ADMIN_PASS \
> --bootstrap-admin-url http://ct:5000/v3/ \
> --bootstrap-internal-url http://ct:5000/v3/ \
> --bootstrap-public-url http://ct:5000/v3/ \
> --bootstrap-region-id RegionOne

#配置apache http服务器
[root@ct ~]# echo "ServerName controller" >> /etc/httpd/conf/httpd.conf
[root@ct ~]# ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/	#创建软连接

[root@ct ~]# systemctl enable httpd			#设置开机自启
Created symlink from /etc/systemd/system/multi-user.target.wants/httpd.service to /usr/lib/systemd/system/httpd.service.
[root@ct ~]# systemctl start httpd			#启动服务

#将下面的内容放进root用户的开机自启脚本中
#这些环境变量用于创建角色和项目使用，但是创建角色和项目需要有认证信息，所以通过环境变量声明用户名和密码等认证信息，欺骗openstack已经登录且通过认证，这样就可以创建项目和角色；也就是把admin用户的验证信息通过声明环境变量的方式传递给openstack进行验证，实现针对openstack的非交互式操作
[root@ct ~]# cat >> ~/.bashrc << EOF
> export OS_USERNAME=admin
> export OS_PASSWORD=ADMIN_PASS
> export OS_PROJECT_NAME=admin
> export OS_USER_DOMAIN_NAME=Default
> export OS_PROJECT_DOMAIN_NAME=Default
> export OS_AUTH_URL=http://ct:5000/v3
> export OS_IDENTITY_API_VERSION=3
> export OS_IMAGE_API_VERSION=2
> EOF

#刷新该脚本
[root@ct ~]# source ~/.bashrc

#创建一个项目（project），创建在指定的domain（域）中，指定描述信息，project名称为service（可使用openstack domain list 查询）
[root@ct ~]# openstack project create --domain default --description "Service Project" service
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | Service Project                  |
| domain_id   | default                          |
| enabled     | True                             |
| id          | 09021f4d36a344dba40b5ea3abb10b74 |
| is_domain   | False                            |
| name        | service                          |
| options     | {}                               |
| parent_id   | default                          |
| tags        | []                               |
+-------------+----------------------------------+
[root@ct ~]# opensstack role create user		#创建角色用户
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | None                             |
| domain_id   | None                             |
| id          | 93e9e2aae9da4c678f70579ace43ecb1 |
| name        | user                             |
| options     | {}                               |
+-------------+----------------------------------+