OpenStack（Train）——Keystone

最新推荐文章于 2024-07-26 13:52:53 发布
最新推荐文章于 2024-07-26 13:52:53 发布
阅读量678 收藏 1
点赞数 1
文章标签： openstack 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_37591095/article/details/131405890
版权

什么是Keystone？

Keystone是OpenStack的组件之一，用于为OpenStack家族中的其他组件成员提供统一的认证服务，包括身份验证、令牌发放和校验、服务列表、用户权限定义等。

基础概念

  • 身份：指的是访问者的身份信息。在OpenStack中，身份用“用户”来表示。这些用户信息可以存在Keystone自己的数据库，也可以存在外部。
  • 认证：指的是对访问者身份的验证（validate），确认访问者是否合法。认证可通过密码或者Token进行。
  • 授权：指的是OpenStack通过角色（Role），再结合具体模块（如Nova）的策略（Policy）机制，来限定访问者可以访问的资源（如查看、新建虚拟机）。
  • 域（Domain）：

        域是项目（租户）、用户及用户组的集合，是为了跟其他项目（租户）、用户及用户组隔离开来而提出来的抽象。这样一来，不同的域就可以有名字相同的租户、用户或用户组而不用担心冲突（UUID跨域唯一）。例如，一个云可以有多个域，每个域可以代表一个公司，也可以代表一个部门。

        因为项目（租户）和域都是角色赋予（assigned on）的实体，因此统称为Targets。

        域是可以在单个身份域中定义的项目（租户）和用户的集合。域可以映射到个人、公司或云服务运营商。Keystone API的版本3中支持域。如果没有创建域，所有项目和用户都使用default域。

        域是Keystone中的一个全局概念，域的名字在Keystone中必须是全局唯一的，Keystone提供一个名为“Default”的默认域。域可以包括多个Project（项目/租户），User（用户），Groups（组），Roles（角色）。

  • 项目（Project/Tenant）

        在Keystone中，项目（租户）是对资源（如虚拟机、镜像）的集合（group）和隔离（isolate）的抽象（abstraction）。从这个定义，可以看出两点：

  1. 项目（租户）是一种抽象，它的出现只是为了方便对资源进行管理；
  2. 一个项目（租户）表示一个隔离的资源集合，不与其他项目（租户）共享资源；

        那谁来使用项目（租户）的资源呢？用户和用户组。通过角色赋予（role assignment），用户或用户组就可以访问或操作项目（租户）的一些资源。具体能访问或操作的资源类型取决于他们被赋予的角色。

        用户及其拥有的资源的集合。根据云提供商，这可用于映射客户、账户或组织的单元。OpenStack Platform附带了两个项目，名为admin和services。这两个项目属于default域。

        Keystone在v3.0的版本开始将v2.0中的Tenant（租户）改为了Project（项目），这更符合在实际使用中的认知。项目必须属于某个域，所以在域内的项目名称必须是唯一的，但是不同的域内可以有相同名称的项目名。如果项目没有分配指定域，那么会自动分配到默认域中。项目是资源的集合，也就是说可以对项目所能使用的资源进行限制，包括vCPU，Memory。vDisk，Floating IP等。

  • 用户（Users）和用户组（Group）（Actor）

        用户和用户组是访问由项目（租户）和域隔离开来的资源的实体（entity）。用户组是用户的集合，而用户是最终使用云资源的个体。用户和用户组统称为Actors，表示它们是被赋予（assigned to）角色的实体。

  • 角色（Role）

        角色用于表示授权。一个Actor可以有多个角色。

        定义一组特权，从而能够对OpenStack服务执行特定的操作。默认admin角色提供整个OpenStack环境的管理特权。

        角色也是Keystone中的一个全局的概念。角色可以分配给用户以及组，不同角色的用户拥有不同的API访问权限。

  • 凭证（Credidential）

        用户身份的确认数据，例如，用户名和密码，或者是一个由Identity（身份）服务提供的授权令牌。

        是Keystone验证用户身份时需要的身份验证数据。此信息包含用户名、密码、项目名称、Keystone端点和地区名称。通过利用此信息，在用户发出访问服务的请求时，Keystone提供身份验证令牌，让用户能够访问该服务。

  •  令牌（Token）

        令牌（Token）用于认证和授权，当用户认证成功后就可以得到一个Token，接下来的请求就可以直接使用该Token而不是用户名密码进行认证；同时，Token也包含了用户在云上的授权信息（如用户能访问的租户、域）。一个Token拥有一个ID和一个载体（payload）。不过，随请求一起发送的一般只有Token ID，然后OpenStack在认证Token的时候再把Token载体取出来。

  • 服务目录（Service Catalog）

        在OpenStack中服务目录尤其重要，它包含了不同云服务（如Nova）的URLs和端点（Endpoints）。没有服务目录，用户和应用不知道如何路由请求到正确的服务。服务目录可以拆分成端点列表，每一个端点能够进一步拆分成admin URL，internal URL和public URL。这些URL可以相同。

  • 端点（Endpoint）：服务的实例（URL入口）

用户-角色-服务交互图

基本架构

验证流程

创建虚拟机流程

流程解释

  1. 用户向Keystone发送用户名和密码，通过验证后，Keystone会返回一个临时token和一个service catalog的列表。
  2. 用户用这个临时token向catalog列表中Keystone的endpoint请求用户对应的tenant信息，Keystone验证token通过后会返回用户对应的tenant列表。
  3. 用户从列表中选取tenant，再次向Keystone请求，Keystone验证通过后，返回与该tenant相关的catalog信息和token。
  4. 用户用该token以及tenant/user信息向catalog中的nova服务器端点请求开启虚机服务。nova向Keystone请求验证：a.token是否合法？b.这个租户/用户是否有权限来向nova请求服务？
  5. Keystone返回给nova：a.租户-用户具备访问nova的权限。b.token合法。c.token属于该租户-用户。
  6. nova根据自己的规则判断用户是否具备开启虚机的权限。如果具备，启动虚机。并向用户报告状态。

环境

网络拓扑

Net0：10.20.0.0/24 openstack管理网络

Net1：172.16.0.10/24  publicIP 

Net2： 192.168.4.0/24 虚拟机通信网络

问题1

虚拟机安装完成后yum报错：

One of the configured repositories failed (未知),
 and yum doesn't have enough cached data to continue. At this point the only
 safe thing yum can do is fail. There are a few ways to work "fix" this:
     1. Contact the upstream for the repository and get them to fix the problem.
     2. Reconfigure the baseurl/etc. for the repository, to point to a working
        upstream. This is most often useful if you are using a newer
        distribution release than is supported by the repository (and the
        packages for the previous distribution release still work).
     3. Run the command with the repository temporarily disabled
            yum --disablerepo=<repoid> ...
     4. Disable the repository permanently, so yum won't use it by default. Yum
        will then just ignore the repository until you permanently enable it
        again or use --enablerepo for temporary usage:

            yum-config-manager --disable <repoid>
        or
            subscription-manager repos --disable=<repoid>
     5. Configure the failing repository to be skipped, if it is unavailable.
        Note that yum will try to contact the repo. when it runs most commands,
        so will have to try and fail each time (and thus. yum will be be much
        slower). If it is a very temporary problem though, this is often a nice
        compromise:
            yum-config-manager --save --setopt=<repoid>.skip_if_unavailable=true
Cannot find a valid baseurl for repo: advanced-virtualization/7/x86_64

解决：根据最后一行报错放开/etc/yum.repos.d/advanced-virtualization.repo中的baseurl，将mirrorlist注释

问题2

安装MySQL

yum install -y mysql mysql-server MySQL-python

MySQL安装完成后执行 systemctl start mysqld.service报错“Failed to start mysqld.service: Unit not found.”

解决：参考（CentOS7安装MySQL报错,解决Failed to start mysqld.service: Unit not found）

### 首先需要安装mariadb-server

 yum install -y mariadb-server

### 启动服务

 systemctl start mariadb.service

### 添加到开机启动

 systemctl enable mariadb.service

问题3

systemctl enable mysqld.service 报错  Failed to execute operation: Too many levels of symbolic links

解决：参考（Centos7自动启动问题处置）

Keystone安装

  • 安装keystone 包
yum install openstack-keystone python-keystoneclient httpd mod_wsgi -y

问题4

错误：软件包：python2-qpid-proton-0.26.0-2.el7.x86_64 (openstack-train)
          需要：qpid-proton-c(x86-64) = 0.26.0-2.el7
          已安装: qpid-proton-c-0.37.0-1.el7.x86_64 (@epel)
              qpid-proton-c(x86-64) = 0.37.0-1.el7
          可用: qpid-proton-c-0.14.0-2.el7.x86_64 (extras)
              qpid-proton-c(x86-64) = 0.14.0-2.el7
          可用: qpid-proton-c-0.26.0-2.el7.x86_64 (openstack-train)
              qpid-proton-c(x86-64) = 0.26.0-2.el7
 您可以尝试添加 --skip-broken 选项来解决该问题
 您可以尝试执行：rpm -Va --nofiles --nodigest

解决：参考（安装openstack的Keystone组件出现错误）

  • 为keystone 设置admin 账户的 tokn
ADMIN_TOKEN=$(openssl rand -hex 10)
echo $ADMIN_TOKEN
openstack-config --set /etc/keystone/keystone.conf DEFAULT admin_token $ADMIN_TOKEN

通过openstack-util设置配置文件/etc/keystone/keystone.conf 中的参数admin_token为上述新建的token 

  • 配置数据连接
openstack-config --set /etc/keystone/keystone.conf sql connection mysql://keystone:openstack@controller0/keystone
openstack-config --set /etc/keystone/keystone.conf DEFAULT debug True
openstack-config --set /etc/keystone/keystone.conf DEFAULT verbose True

格式：

mysql://USER:PASS@IP/DB
  • 设置Keystone 用 fernet tokens
keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
keystone-manage credential_setup --keystone-user keystone --keystone-group keystone
  • 为keystone设置数据库

方式一：

mysql -uroot -popenstack -e "CREATE DATABASE keystone;"
mysql -uroot -popenstack -e "GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'openstack';"
mysql -uroot -popenstack -e "GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'controller0' IDENTIFIED BY 'openstack';"
mysql -uroot -popenstack -e "GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'openstack';"

方式二：

su -s /bin/sh -c "keystone-manage db_sync" keystone

方式三：

openstack-db --init --service keystone --password openstack
  • 启动Apache http服务
#systemctl restart httpd.service
#systemctl enable httpd.service
#systemctl status httpd.service

问题5：

启动后查看日志启动状态 /var/log/keystone/keystone.log 显示数据库报错，查看mysql数据库中并没有keystone数据库。

解决：手动执行上述方式一，后执行方式二构建数据库，解决。

  • 通过设置环境变量来配置管理账户

其中OS_PASSWORD为上述设置的mysql密码

问题6：

__init__() got an unexpected keyword argument 'token'

解决：unset OS_TOKEN

创建域、项目（租户）、用户、角色

创建An Example Domain域：

#openstack domain create --description "An Example Domain" example

 添加到环境的每个服务的唯一用户，创建项目service：

openstack project create --domain default  --description "Service Project" service

创建项目myproject：

openstack project create --domain default --description "Demo Project" myproject

 创建用户myuser：

#openstack user create --domain default --password-prompt myuser

 

创建角色myrole：

#openstack role create myrole

将角色添加到项目和用户  myrole、myproject、myuser:

#openstack role add --project myproject --user myuser myrole

 验证

取消设置临时OS_AUTH_URL和OS_PASSWORD环境变量

#unset OS_AUTH_URL OS_PASSWORD

作为用户，请求身份验证令牌：admin：

#openstack --os-auth-url http://controller:5000/v3 \
--os-project-domain-name Default --os-user-domain-name Default \
--os-project-name admin --os-username admin token issue

 请求身份验证令牌：myuser：

#openstack --os-auth-url http://controller:5000/v3 \
--os-project-domain-name Default --os-user-domain-name Default \
--os-project-name myproject --os-username myuser token issue

 

参考：OpenStack-T版Keystone服务

 OpenStack概述

说明：学习记录帖，感谢本文参考的所有博文作者

H@T
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
OpenStack手动搭建——keystone认证
m0_49226664的博客
12-16 359
目录一、OpenStack基础环境配置1.1.1、修改主机名、防火墙、核心防护和免交互（所有节点）1.1.2、基础环境依赖包（所有节点）1.1.3、配置Hosts和DNS（所有节点）1.1.4、控制节点网卡配置（ct)1.1.5、控制节点ct时间同步配置二、系统环境配置2.2.1、一、安装、配置MariaDB2.2.2、此包用于openstack的控制端连接mysql所需要的模块，如果不安装，则无法连接数据库；此包只安装在控制端2.2.3、添加MySQL子配置文件，增加如下内容2.2.4、开机自启动、开启服
Openstack Train版搭建
ylqzlc的博客
06-21 1785
Openstack train
OpenStack平台Keystone组件的使用
m0_73299799的博客
05-25 1038
安装基础服务的服务器规划IP地址主机名节点controllerOpenstack控制节点使用机电云共享的单节点的openstack系统，自行修改虚拟网络编辑器、网络适配器，系统用户名：root，密码：000000。
OpenStack学习——简介
微小凉
05-11 415
虚拟化 虚拟化是一种具体技术，指把实体资源虚拟化。 虚拟化技术根据对象可以分成计算虚拟化、存储虚拟化、网络虚拟化。 虚拟化是一种具体技术，指的是一种资源管理技术，是将计算机的各种实体资源，如服务器、网络、内存及存储等，予以抽象、转换后呈现出来，打破实体结构间的不可切割的障碍，使用户可以比原本的组态以更好的方式来应用这些资源。 云计算 它是一种业务模式（它会提供一个资源池，使用者通过网络（互联网或局域网）根据自身的业务需求申请到所要的资源，从而满足计算的要求） 云：提供资源的网络我们称之为云 按
OpenStack——编排(Heat)服务介绍与安装
不知道
07-01 2507
OpenStack Heat 是一个基于模板的编排服务，用于自动化部署和管理基础设施资源。它允许用户通过编写模板文件来描述所需的基础设施资源和配置，然后使用 Heat 引擎来解析和执行这些模板，自动创建、配置和管理云环境中的资源。
OpenStack Victoria版——3.控制节点-Keystone认证服务组件
北观止的博客
05-01 1139
3.控制节点-Keystone认证服务组件 文章目录创建keystone数据库并授权1.登录进入数据库2.创建keystone数据库并授权keystone相关软件安装与配置1.安装keystone相关软件包2.修改/etc/keystone/keystone.conf文件3.初始化同步keystone数据库4.初始化Fernet令牌库5.初始化引导keystone认证服务6.配置启动Apache Http服务7.创建环境变量脚本8.创建keystone的一般实例验证操作keystone是否安装配置成功ke
OpenStack ——环境配置
Houtieyu的博客
12-15 1022
文章目录虚拟机资源信息部署思路基础环境配置【系统环境配置】一、安装、配置MariaDB二、安装RabbitMQ三、安装memcached 虚拟机资源信息 控制节点-主机名-ct 计算节点-主机名-c1 计算节点-主机名-c2 CPU 双核双线程-CPU虚拟化开启 双核双线程-CPU虚拟化开启 双核双线程-CPU虚拟化开启 内存 8G 硬盘：300G+1024G（CEPH块存储） 8G 硬盘：300G+1024G（CEPH块存储） 8G 硬盘：300G+1024G（CEPH块存储）
Openstack部署安装——线网源
weixin_45724795的博客
03-07 289
前言：之前对Openstack进行了理论上的介绍，本次对Openstack进行部署安装，这次使用的是OpenStack线网源 文章目录一、部署环境1.环境介绍2.系统安装二、部署安装1.配置IP地址，修改主机名2.优化3.一键部署OpenStack三、登录 一、部署环境 1.环境介绍 使用软件：VMware软件 系统：centos7系统，作为OpenStack控制节点 CPU：双核双线程-CP...
OpenStack Victoria版——8.控制节点-Horizon服务组件
北观止的博客
05-02 2054
8.控制节点-Horizon服务组件 文章目录一、服务说明二、安装与配置dashboard相关软件1.安装软件包2.配置文件修改3.重建apache的dashboard配置文件4.重启Web服务器和会话存储服务5.访问Dashboard 一、服务说明 OpenStack仪表板Dashboard服务的项目名称是Horizon，它所需的唯一服务是身份服务keystone，开发语言是python的web框架Django。 从Stein版本开始，Horizon支持以下服务： cinder：块状存储 glance
OpenStack离线Train版安装系列—3控制节点-Keystone认证服务组件
北观止的博客
05-22 2470
Keystone认证服务组件 官方参考：openstack-services，keystone-install 博客园：CentOS7安装OpenStack(Rocky版)-02.安装Keyston认证服务组件（控制节点） 一、创建keystone数据库并授权 1.登录进入数据库 使用mysql数据库的root账户登录，密码为控制节点环境准备时初始化mysql数据设置的密码为root。 mysql -u root -proot 2.创建keystone数据库并授权 CREATE DATABASE keys
OpenStack——认证服务Keystone
01-27
Keystone（OpenStackIdentityService）是OpenStack框架中，负责身份验证、服务规则和服务令牌的功能， 它实现了OpenStack的IdentityAPI。Keystone类似一个服务总线，或者说是整个Openstack框架的注册表， 其他服务...
OpenStack云计算——OpenStack网络
03-01
OpenStack它是RackspaceCloud和NASA负责的一个开源基础架构即服务的云计算项目。OpenStack是一个由开发者和云计算技术人员的全球协作开发的面向公共和私有云的标准云操作系统，是在Apache许可条款下发布的免费开源...
通过demo学习OpenStack开发——单元测试
02-26
本文将重点讲述Python和OpenStack中的单元测试的生态环境。GitHub上有个人画了一些不同语言的学习曲线图：LearningCurves(fordifferentprogramminglanguages)，虽然有些恶搞的倾向，不过确实说明了问题。这里贴一下...
云计算|OpenStack|使用VMware安装华为云的R006版CNA和VRM---初步使用（二）
zsk_john的技术分享专用博客
08-13 2526
​ 在前面一篇文章云计算|OpenStack|使用VMware安装华为云的R006版CNA和VRM---初始安装（一）_华为cna_晚风_END的博客-CSDN博客 介绍了基于VMware虚拟机里嵌套部署华为云的云计算，不过仅仅是做到了在VRM的web界面添加计算节点CNA，后续的存储和网络创建并没有介绍，虚拟机的创建也没有，本文将补全这些内容。 ​
Apollo使用（3）：分布式docker部署
游王子的博客
07-24 604
Apollo 1.7.0版本开始会默认上传Docker镜像到，可以按照如下步骤获取。
使用易备数据备份软件，践行虚拟机最佳备份方案
sanyuan7783的博客
07-26 882
新的关键业务应用程序有助于为容器和容器化工作负载赋予更大动力。但是，在可预见的未来，虚拟机的应用仍会普遍存在。容器和虚拟机可以很好地协同工作，适用于大多数关键的 IT 基础设施。因此，备份虚拟机及其包含的数据、服务和应用程序仍然是企业至关重要的任务。本文以 VMware vSphere 虚拟机为例，介绍虚拟机备份的最佳实践方法。
AccessLog| 一款开源的日志分析系统
最新发布
ClkLog的博客
07-26 381
系统采用Java语言、搭配OLAP数据库，涵盖基本web日志分析，同时提供性能分析，帮助高效运维
DNS反向解析、多域名解析、时间服务器相关配置
qq_74793290的博客
07-24 471
DNS反向解析、多域名解析、时间服务器
-bash: m-a: command not found
01-20
根据你提供的引用内容，你遇到了在MAC终端中出现"-bash: m-a: command not found"的问题。这个问题可能是由于你的终端环境变量配置不正确导致的。下面是两种解决办法： 1. 临时修改环境变量： 在终端中输入以下命令，将环境变量暂时修改为默认值： ```shell export PATH=/usr/bin:/usr/sbin:/bin:/sbin:/usr/X11R6/bin ``` 然后再次尝试运行命令"-bash: m-a"，看是否能够正常执行。 2. 修改.bash_profile文件： 在终端中输入以下命令，创建一个新的.bash_profile文件： ```shell touch .bash_profile ``` 然后使用vim或其他文本编辑器打开.bash_profile文件，并添加以下内容： ```shell export PATH=/usr/bin:/usr/sbin:/bin:/sbin:/usr/X11R6/bin ``` 保存并关闭文件，然后重新启动终端。再次尝试运行命令"-bash: m-a"，看是否能够正常执行。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值