keystone V3 与Microsoft Active Directory（AD）的集成

一  环境准备

1. 安装或在现有的windows server2008，操作Microsoft Acitve Directory(以下简称AD)。欲了解AD请看系列文章[深入浅出ActiveDirectory http://terryli.blog.51cto.com/704315/141686 ]。配置了AD后这台windows server会自成一个DNS服务器。配置相应的hostname和域 ad-ldap.opentest.com ，并且保证装有keystone服务的节点可以ping通它。

若在部署OpenStack环境中各个密码无法达到windows server密码复杂度要求，在此之前请先disable掉AD用户密码复杂度的要求，参考http://tanyanbo2.blog.163.com/blog/static/973391592011222102326909/ 。并且将windows server原始的管理员用户名 Adminstrator更名为admin。修改管理员用户名的步骤是：依次点击开始，管理工具，Active Directory管理中心；选中右边的tab，可以看到opentest（本地）；点击Users可以看到右边列出了所有的用户；选中Adminstrator右击鼠标，然后点属性，更改“全名”和“用户”即可。

 

 

 

 

2. 选中Users  右键 新建 用户

3. 填入 全名和用户名  确定即可

 

二、Keystone 的配置   首先保证使用的是 keystone V3

 

1. 修改配置

# vim /etc/keystone/keystone.conf

[identity]
domain_specific_drivers_enabled= true
domain_config_dir= /etc/keystone/domains

 

2.新建一个domain

Openstack domain create laok

在/etc/keystone/下面新建立domains

3. 在domains下面建比如我们一个域keystone.laok.conf

[ldap]

url=ldap://192.168.0.12   

#user=Administrator@contoso.com

user=cn=admin,cn=Users,dc=contoso,dc=com

password= passwd

suffix=dc=contoso,dc=com

user_name_attribute=sAMAccountName

user_allow_create=False

user_objectclass=organizationalPerson

user_pass_attribute=userPassword

user_allow_delete=False

user_enabled_default=512

user_id_attribute=cn

query_scope=sub

user_filter=

user_enabled_attribute=userAccountControl

user_allow_update=False

#user_tree_dn=ou=laok,dc=contoso,dc=com

user_tree_dn=cn=Users,dc=contoso,dc=com

user_enabled_mask=2

#group_tree_dn=ou=laok,dc=contoso,dc=com

group_tree_dn=cn=Users,dc=contoso,dc=com

group_allow_create=True

group_allow_delete=True

group_allow_update=True

group_id_attribute=cn

group_name_attribute=cn

group_objectclass=group

[identity]

driver=keystone.identity.backends.ldap.Identity

[assignment]

driver = keystone.assignment.backends.sql.Assignment

 

4. 重启keystone 服务

 

 

Dashboard  支持多域  （如果要使用horizon）

 

vi /etc/openstack-dashboard/local_settings

OPENSTACK_API_VERSIONS = {

     "identity": 3

}

OPENSTACK_KEYSTONE_MULTIDOMAIN_SUPPORT =True

OPENSTACK_KEYSTONE_DEFAULT_DOMAIN ='Default'

OPENSTACK_KEYSTONE_URL=http://192.168.11.106:5000/v3

 

结果：

上面keystone 中的查询出来的用户  对应下面 AD域中Users里的四个用户

参考文章：

http://www.ibm.com/developerworks/cloud/library/cl-configure-keystone-ldap-and-active-directory/index.html

http://richmegginson.livejournal.com/25846.html

https://docs.hpcloud.com/commercial/GA1/1.1commerical.services-identity-integrate-ldap.html#topic9275__per-domain-ldap-backend-configuration-post-installation

http://blog.csdn.net/qq_21398167/article/details/51158716