openstack云计算平台＜2＞--核心组件配置-＞认证服务

于 2021-05-04 15:13:22 发布
阅读量764 收藏 2
点赞数 1
分类专栏： Linux企业实战篇 文章标签： linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/nk298120/article/details/116399877
版权

目录

认证服务

1.概述

其它所用服务的调用都需要通过认证服务的认证来完成，并且它提供了目录服务，它存储了所有其它组件的API连接端点，即它提供了整个openstack集群的用户认证授权，每个组件在连接的时候需要申请什么样的资源都需要经过认证服务（keystone)的认证，获取token后去连接，连接的时候这个连接信息，就是要访问资源的location就在keystone的目录服务中，一旦认证通过，目录服务就会把这个连接端点传送过去
认证服务包含这些组件：

  1. 服务器
    一个中心化的服务器使用RESTful 接口来提供认证和授权服务。
  2. 驱动
    驱动或服务后端被整合进集中式服务器中。它们被用来访问OpenStack外部仓库的身份信息, 并且它们可能已经存在于OpenStack被部署在的基础设施（例如，SQL数据库或LDAP服务器）中。
  3. 模块
    中间件模块运行于使用身份认证服务的OpenStack组件的地址空间中。这些模块拦截服务请求，取出用户凭据，并将它们送入中央是服务器寻求授权。中间件模块和OpenStack组件间的整合使用Python Web服务器网关接口。

2.安装和配置

1.先决条件

在你配置 OpenStack 身份认证服务前，你必须创建一个数据库和管理员令牌。

数据库设置：
mysql -u root -p       %用数据库连接客户端以 root 用户连接到数据库服务器
CREATE DATABASE keystone      %创建 keystone 数据库

对keystone数据库授予恰当的权限，之后退出数据库：
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost'  IDENTIFIED BY 'keystone';
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'keystone';      %允许所有主机访问

openssl rand -hex 10            %生成一个随机值在初始的配置中作为管理员的令牌

在这里插入图片描述
在这里插入图片描述

安全并配置组件：
yum install openstack-keystone httpd mod_wsgi -y     %安装相关包，认证服务将会通过apache的wsgi模块来启动

编辑文件 /etc/keystone/keystone.conf 并完成如下动作：
在[DEFAULT]部分，定义初始管理令牌的值：
[DEFAULT]
...
admin_token = ADMIN_TOKEN
使用前面步骤生成的随机数替换ADMIN_TOKEN值。

在 [database] 部分，配置数据库访问：
[database]
...
connection = mysql+pymysql://keystone:KEYSTONE_DBPASS@controller/keystone
将KEYSTONE_DBPASS替换为你为数据库选择的密码。

在[token]部分，配置Fernet UUID令牌的提供者：
[token]
...
provider = fernet

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

初始化身份认证服务的数据库：
su -s /bin/sh -c "keystone-manage db_sync" keystone      
注意：忽略输出中任何不推荐使用的信息

初始化Fernet keys：
keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone

在这里插入图片描述
在这里插入图片描述

认证服务使用带有mod_wsgi的Apache HTTP服务器来服务认证服务请求，端口为5000和35357。缺省情况下，Kestone服务仍然监听这些端口。

配置 Apache HTTP 服务器：
编辑/etc/httpd/conf/httpd.conf文件，配置ServerName选项为控制节点：
ServerName controller

用下面的内容创建文件 /etc/httpd/conf.d/wsgi-keystone.conf：
Listen 5000
Listen 35357

<VirtualHost *:5000>
    WSGIDaemonProcess keystone-public processes=5 threads=1 user=keystone group=keystone display-name=%{GROUP}
    WSGIProcessGroup keystone-public
    WSGIScriptAlias / /usr/bin/keystone-wsgi-public
    WSGIApplicationGroup %{GLOBAL}
    WSGIPassAuthorization On
    ErrorLogFormat "%{cu}t %M"
    ErrorLog /var/log/httpd/keystone-error.log
    CustomLog /var/log/httpd/keystone-access.log combined

    <Directory /usr/bin>
        Require all granted
    </Directory>
</VirtualHost>

<VirtualHost *:35357>
    WSGIDaemonProcess keystone-admin processes=5 threads=1 user=keystone group=keystone display-name=%{GROUP}
    WSGIProcessGroup keystone-admin
    WSGIScriptAlias / /usr/bin/keystone-wsgi-admin
    WSGIApplicationGroup %{GLOBAL}
    WSGIPassAuthorization On
    ErrorLogFormat "%{cu}t %M"
    ErrorLog /var/log/httpd/keystone-error.log
    CustomLog /var/log/httpd/keystone-access.log combined

    <Directory /usr/bin>
        Require all granted
    </Directory>
</VirtualHost>

在这里插入图片描述
在这里插入图片描述

启动 Apache HTTP 服务并配置其随系统启动：
systemctl enable httpd.service
systemctl start httpd.service

在这里插入图片描述

2.创建服务实体和API端点

身份认证服务提供服务的目录和他们的位置。每个你添加到OpenStack环境中的服务在目录中需要一个service实体和一些API endpoints。
默认情况下，身份认证服务数据库不包含支持传统认证和目录服务的信息。因此我们需要使用“先决条件”章节中为身份认证服务创建的临时身份验证令牌用来初始化的服务实体和API端点。

export OS_TOKEN=ADMIN_TOKEN      %配置认证令牌
将ADMIN_TOKEN替换为在"先决条件"中生成的认证令牌

export OS_URL=http://controller:35357/v3      %配置端点URL

export OS_IDENTITY_API_VERSION=3       %配置认证 API 版本

在这里插入图片描述
在这里插入图片描述

创建服务实体和API端点:
在你的Openstack环境中，认证服务管理服务目录。服务使用这个目录来决定您的环境中可用的服务。创建服务实体和身份认证服务。OpenStack使用三个API端点变量代表每种服务：admin，internal和public。默认情况下，管理API端点允许修改用户和租户而公共和内部APIs不允许这些操作。

$ openstack service create  --name keystone --description "OpenStack Identity" identity
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | OpenStack Identity               |
| enabled     | True                             |
| id          | 4ddaae90388b4ebc9d252ec2252d8d10 |
| name        | keystone                         |
| type        | identity                         |
+-------------+----------------------------------+

身份认证服务管理了一个与您环境相关的 API 端点的目录。服务使用这个目录来决定如何与您环境中的其他服务进行通信:
创建认证服务的 API 端点：
$ openstack endpoint create --region RegionOne   identity public http://controller:5000/v3
+--------------+----------------------------------+
| Field        | Value                            |
+--------------+----------------------------------+
| enabled      | True                             |
| id           | 30fff543e7dc4b7d9a0fb13791b78bf4 |
| interface    | public                           |
| region       | RegionOne                        |
| region_id    | RegionOne                        |
| service_id   | 8c8c0927262a45ad9066cfe70d46892c |
| service_name | keystone                         |
| service_type | identity                         |
| url          | http://controller:5000/v3        |
+--------------+----------------------------------+

$ openstack endpoint create --region RegionOne identity internal http://controller:5000/v3
+--------------+----------------------------------+
| Field        | Value                            |
+--------------+----------------------------------+
| enabled      | True                             |
| id           | 57cfa543e7dc4b712c0ab137911bc4fe |
| interface    | internal                         |
| region       | RegionOne                        |
| region_id    | RegionOne                        |
| service_id   | 6f8de927262ac12f6066cfe70d99ac51 |
| service_name | keystone                         |
| service_type | identity                         |
| url          | http://controller:5000/v3        |
+--------------+----------------------------------+

$ openstack endpoint create --region RegionOne identity admin http://controller:35357/v3
+--------------+----------------------------------+
| Field        | Value                            |
+--------------+----------------------------------+
| enabled      | True                             |
| id           | 78c3dfa3e7dc44c98ab1b1379122ecb1 |
| interface    | admin                            |
| region       | RegionOne                        |
| region_id    | RegionOne                        |
| service_id   | 34ab3d27262ac449cba6cfe704dbc11f |
| service_name | keystone                         |
| service_type | identity                         |
| url          | http://controller:35357/v3       |
+--------------+----------------------------------+

在这里插入图片描述
在这里插入图片描述

3.创建域、项目、用户和角色

身份认证服务为每个OpenStack服务提供认证服务。认证服务使用 T domains， projects (tenants)， :term:users<user>和 :term:roles<role>的组合。

创建域default：
$ openstack domain create --description "Default Domain" default
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | Default Domain                   |
| enabled     | True                             |
| id          | e0353a670a9e496da891347c589539e9 |
| name        | default                          |
+-------------+----------------------------------+

在你的环境中，为进行管理操作，创建管理的项目、用户和角色：
创建 admin 项目：
$ openstack project create --domain default --description "Admin Project" admin
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | Admin Project                    |
| domain_id   | e0353a670a9e496da891347c589539e9 |
| enabled     | True                             |
| id          | 343d245e850143a096806dfaefa9afdc |
| is_domain   | False                            |
| name        | admin                            |
| parent_id   | None                             |
+-------------+----------------------------------+

创建 admin 用户：
openstack user create --domain default --password admin admin
+-----------+----------------------------------+
| Field     | Value                            |
+-----------+----------------------------------+
| domain_id | e0353a670a9e496da891347c589539e9 |
| enabled   | True                             |
| id        | ac3377633149401296f6c0d92d79dc16 |
| name      | admin                            |
+-----------+----------------------------------+
创建 admin 角色：

$ openstack role create admin
+-----------+----------------------------------+
| Field     | Value                            |
+-----------+----------------------------------+
| domain_id | None                             |
| id        | cd2cb9a39e874ea69e5d4b896eb16128 |
| name      | admin                            |
+-----------+----------------------------------+

添加admin角色到admin项目和用户上：
openstack role add --project admin --user admin admin

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

下面的示例使用一个你添加到你的环境中每个服务包含独有用户的service项目。创建service项目：

$ openstack project create --domain default \
  --description "Service Project" service
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | Service Project                  |
| domain_id   | e0353a670a9e496da891347c589539e9 |
| enabled     | True                             |
| id          | 894cdfa366d34e9d835d3de01e752262 |
| is_domain   | False                            |
| name        | service                          |
| parent_id   | None                             |
+-------------+----------------------------------+

常规（非管理）任务应该使用无特权的项目和用户。作为例子，创建demo项目和用户。
创建demo项目：
$ openstack project create --domain default \
  --description "Demo Project" demo
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | Demo Project                     |
| domain_id   | e0353a670a9e496da891347c589539e9 |
| enabled     | True                             |
| id          | ed0b60bf607743088218b0a533d5943f |
| is_domain   | False                            |
| name        | demo                             |
| parent_id   | None                             |
+-------------+----------------------------------+

创建``demo`` 用户：

$ openstack user create --domain default \
  --password-prompt demo
User Password:
Repeat User Password:
+-----------+----------------------------------+
| Field     | Value                            |
+-----------+----------------------------------+
| domain_id | e0353a670a9e496da891347c589539e9 |
| enabled   | True                             |
| id        | 58126687cbcc4888bfa9ab73a2256f27 |
| name      | demo                             |
+-----------+----------------------------------+

创建 user 角色：
$ openstack role create user
+-----------+----------------------------------+
| Field     | Value                            |
+-----------+----------------------------------+
| domain_id | None                             |
| id        | 997ce8d05fc143ac97d83fdfb5998552 |
| name      | user                             |
+-----------+----------------------------------+

添加user角色到demo项目和用户：
openstack role add --project demo --user demo user

在这里插入图片描述

4.验证操作

重置OS_TOKEN和OS_URL环境变量：
unset OS_TOKEN OS_URL

作为 admin 用户，请求认证令牌：
$ openstack --os-auth-url http://controller:35357/v3 \
  --os-project-domain-name default --os-user-domain-name default \
  --os-project-name admin --os-username admin token issue
Password:
+------------+-----------------------------------------------------------------+
| Field      | Value                                                           |
+------------+-----------------------------------------------------------------+
| expires    | 2016-02-12T20:14:07.056119Z                                     |
| id         | gAAAAABWvi7_B8kKQD9wdXac8MoZiQldmjEO643d-e_j-XXq9AmIegIbA7UHGPv |
|            | atnN21qtOMjCFWX7BReJEQnVOAj3nclRQgAYRsfSU_MrsuWb4EDtnjU7HEpoBb4 |
|            | o6ozsA_NmFWEpLeKy0uNn_WeKbAhYygrsmQGA49dclHVnz-OMVLiyM9ws       |
| project_id | 343d245e850143a096806dfaefa9afdc                                |
| user_id    | ac3377633149401296f6c0d92d79dc16                                |
+------------+-----------------------------------------------------------------+


作为demo用户，请求认证令牌：
$ openstack --os-auth-url http://controller:5000/v3 \
  --os-project-domain-name default --os-user-domain-name default \
  --os-project-name demo --os-username demo token issue
Password:
+------------+-----------------------------------------------------------------+
| Field      | Value                                                           |
+------------+-----------------------------------------------------------------+
| expires    | 2016-02-12T20:15:39.014479Z                                     |
| id         | gAAAAABWvi9bsh7vkiby5BpCCnc-JkbGhm9wH3fabS_cY7uabOubesi-Me6IGWW |
|            | yQqNegDDZ5jw7grI26vvgy1J5nCVwZ_zFRqPiz_qhbq29mgbQLglbkq6FQvzBRQ |
|            | JcOzq3uwhzNxszJWmzGC7rJE_H0A_a3UFhqv8M4zMRYSbS2YF0MyFmp_U       |
| project_id | ed0b60bf607743088218b0a533d5943f                                |
| user_id    | 58126687cbcc4888bfa9ab73a2256f27                                |
+------------+-----------------------------------------------------------------+
这个命令使用demo用户的密码和API端口5000，这样只会允许对身份认证服务API的常规（非管理）访问。

在这里插入图片描述
在这里插入图片描述

5.创建 OpenStack 客户端环境脚本

前一节中使用环境变量和命令选项的组合通过openstack客户端与身份认证服务交互。为了提升客户端操作的效率，OpenStack支持简单的客户端环境变量脚本即OpenRC 文件。这些脚本通常包含客户端所有常见的选项，当然也支持独特的选项。

为admin和demo项目和用户创建客户端环境变量脚本。

编辑文件 admin-openrc 并添加如下内容：
export OS_PROJECT_DOMAIN_NAME=default
export OS_USER_DOMAIN_NAME=default
export OS_PROJECT_NAME=admin
export OS_USERNAME=admin
export OS_PASSWORD=ADMIN_PASS
export OS_AUTH_URL=http://controller:35357/v3
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2
将 ADMIN_PASS 替换为你在认证服务中为 admin 用户选择的密码。

编辑文件 demo-openrc 并添加如下内容：
export OS_PROJECT_DOMAIN_NAME=default
export OS_USER_DOMAIN_NAME=default
export OS_PROJECT_NAME=demo
export OS_USERNAME=demo
export OS_PASSWORD=DEMO_PASS
export OS_AUTH_URL=http://controller:5000/v3
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2
将 DEMO_PASS 替换为你在认证服务中为 demo 用户选择的密码。

在这里插入图片描述
在这里插入图片描述

使用脚本
使用特定租户和用户运行客户端，你可以在运行之前简单地加载相关客户端脚本。例如：

加载admin-openrc文件来身份认证服务的环境变量位置和admin项目和用户证书：

. admin-openrc
请求认证令牌:
$ openstack token issue
+------------+-----------------------------------------------------------------+
| Field      | Value                                                           |
+------------+-----------------------------------------------------------------+
| expires    | 2016-02-12T20:44:35.659723Z                                     |
| id         | gAAAAABWvjYj-Zjfg8WXFaQnUd1DMYTBVrKw4h3fIagi5NoEmh21U72SrRv2trl |
|            | JWFYhLi2_uPR31Igf6A8mH2Rw9kv_bxNo1jbLNPLGzW_u5FC7InFqx0yYtTwa1e |
|            | eq2b0f6-18KZyQhs7F3teAta143kJEWuNEYET-y7u29y0be1_64KYkM7E       |
| project_id | 343d245e850143a096806dfaefa9afdc                                |
| user_id    | ac3377633149401296f6c0d92d79dc16                                |
+------------+-----------------------------------------------------------------+

在这里插入图片描述

source demo-openrc         %切换到demo用户后将不能查看相关信息

在这里插入图片描述

HTDST
关注
  • 1
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
openstack mitaka glance 官方安装步骤
ndcsxx的专栏
10-18 579
镜像服务概览    UPDATED: 2017-06-12 11:14 Contents OpenStack镜像服务是IaaS的核心服务，如同 :ref:`get_started_conceptual_architecture`所示。它接受磁盘镜像或服务器镜像API请求，和来自终端用户或OpenStack计算组件的元数据定义。它也支持
openstack——2、搭建虚拟机（配置认证服务、镜像服务）
qq_43604376的博客
06-24 1143
使用openstack搭建虚拟机
Openstack组件部署 — Keystone功能介绍与认证实现流程
weixin_33998125的博客
06-13 445
目录 目录 前文列表 Keystone认证服务 Keystone认证服务中的概念 Keystone的验证过程 简单来说 前文列表 Openstack组件部署 — Overview和前期环境准备 Openstack组建部署 — Environment of Controller Node Keys...
获取openstack token的三种方式
qq_30657195的博客
08-17 6071
openstack所有组件的相关认证都由Keystone组件来进行管理。在对openstackAPI进行测试时需要在请求头部分指定参数：X-Auth-Token和Content-Type。第一个参数的值为token，第二个参数的值为响应类型。获取token的方式，我目前总结了如下三种。 1.通过openstack命令获取 加载环境变量。 [root@controller ~]# source admin-openrc 获取token [root@controller ~]# openstack toke
《OpenStack云计算基础架构平台应用》试卷试题及答案2套AB卷.docx
12-17
OpenStack 是一个开源的云计算平台，它允许组织构建和管理私有云、公有云以及混合云环境。这个平台提供了多种服务，涵盖了基础设施即服务（IaaS）的多个方面，如计算、存储、网络和身份管理。《OpenStack云计算基础...
OpenStack云计算平台搭建与管理教学教案(共17单元)14.pdf
05-06
OpenStack云计算平台搭建与管理教学教案（第14讲Nova云主机管理者） 本资源摘要信息涵盖了OpenStack云计算平台搭建与管理教学教案中的第14讲Nova云主机管理者。Nova是OpenStack中最核心的服务模块，负责管理和维护...
Openstack-在京东的应用实践
最新发布
07-20
OpenStack在京东的应用实践中扮演了核心角色，作为一家大型互联网公司，京东利用OpenStack构建了其云计算基础设施，以满足业务的高效、灵活和可扩展的需求。以下是对OpenStack在京东应用的详细阐述： 1. **...
OpenStack云计算技术概述.pdf
09-26
OpenStack是一种开源的云计算管理平台，由NASA和Rackspace共同发起，并以Apache许可证授权。它的核心在于构建、管理和提供云基础设施服务。OpenStack由控制节点、计算节点、网络节点和存储节点四大部分组成，这些...
openstack安装与配置
sinat_39522197的博客
11-01 9616
openstack 云主机
OpenStack 云服务—搭建核心节点
momokuku123的博客
10-23 2117
（一） OpenStack 简要介绍 前言： Python 语言研发 什么云 1：IAAS: Infrastructure-as-a-Service(基础设施即服务，代表作：ECS云主机，OpenStack技术) 类似你买的一个ECS主机，只提供系统、网络、存储、虚拟化功能，如何服务你都需要自己配置安装 2：PaaS: Platform-as-a-Serv
openstack实验（二）：认证服务
qq_44236589的博客
08-17 685
一、认证服务概览 OpenStack:term:Identity service为认证管理，授权管理和服务目录服务管理提供单点整合。其它OpenStack服务将身份认证服务当做通用统一API来使用。此外，提供用户信息但是不在OpenStack项目中的服务（如LDAP服务）可被整合进先前存在的基础设施中。 为了从identity服务中获益，其他的OpenStack服务需要与它合作。当某个OpenS...
openstack手动搭建
zaizai116561的博客
07-21 9620
版本选择CentOS 7 2、修改主机名 3、配置网络：NAT(vmnet8)模式重新配置网卡地址，而Internet（vmnet1）则无需修改，保持激活状态即可。并测试网络连通状况 ①Controller
OpenStack部署之认证组件
weixin_33738555的博客
10-17 125
学习目标：未完待续>>> 转载于:https://blog.51cto.com/13914991/2300920
Openstack学习总结之二（认证组件部署）
zhongliwen1981的专栏
04-03 413
前言 这部分要完成openstack认证组件的环境部署。 一、介绍 Openstack所有服务都会使用到keystone认证组件。常见的两种认证方式：token和password。token通常用于服务组件内部通信，password可以通过用户名和密码进行登录和认证。 认证术语 术语 说明 user 负责管理Openstack各种服务 role 代表用于具有的权限 project 组件服务的一种资源隔离方式，相当于java的package，一个项目project可以包含多个use
【OpenStack】菜鸟学OpenStack之部署Train（3）
小哲的博客
12-16 1632
菜鸟学OpenStack之部署Train（3）认证服务概览KeyStone身份认证服务组件中的一些概念安装和配置先决条件安装和配置组件1. 安装Keystone2. 配置Apache HTTP Server创建service entity 和API endpoint1. 先决条件2. 创建服务实体和API端点3. 创建项目、用户和角色验证操作定义OpenStack客户端环境变量脚本1. 创建脚本2. 使用脚本遇到的问题参考资料 KeyStone身份认证服务组件是OpenStack项目中默认使用的身份认证管理
OpenStack中获取token的几种方式
zss131456的博客
05-24 7491
方式一：使用工具RESTClient 下载地址：https://blog.csdn.net/qq920447939/article/details/79167620 链接: https://pan.baidu.com/s/1diVipC 密码: zpdi 使用方式：右击软件，打开方式选择Java（TM） 成功打开后： 在URL中输入URL数据：http://192.168.2.1...
openstack组件
07-15
OpenStack 是一个开源的云计算平台，由多个组件组成。以下是一些常见的 OpenStack 组件： 1. Nova：计算服务组件，负责管理和调度计算资源，包括创建、启动、停止和删除虚拟机实例。 2. Neutron：网络服务组件，...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值