介绍OpenStack（T版）的组件之一keystone

keystone介绍

keystone相关的概念

keystone的认证流程（简述）

keystone的部署

在ct上部署

• 进入数据库

[root@ct ~]# mysql -u root -p
Enter password: 
Welcome to the MariaDB monitor.  Commands end with ; or \g.
Your MariaDB connection id is 17
Server version: 10.3.20-MariaDB MariaDB Server

Copyright (c) 2000, 2018, Oracle, MariaDB Corporation Ab and others.

Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

MariaDB [(none)]>

• 创建一个keystone库，并给keystone用户提权，然后刷新权限

MariaDB [(none)]> create database keystone;
Query OK, 1 row affected (0.001 sec)

MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS';
Query OK, 0 rows affected (0.001 sec)

MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'KEYSTONE_DBPASS';
Query OK, 0 rows affected (0.001 sec)

MariaDB [(none)]> flush privileges;
Query OK, 0 rows affected (0.001 sec)

• 下载keystone、httpd、mod_wsgi

[root@ct ~]# yum -y install openstack-keystone httpd mod_wsgi		//mod_wsgi包的作用是让apache能够代理python程序的组件；openstack的各个组件，包括API都是用python写的，但访问的是apache，apache会把请求转发给python去处理,这些包只安装在controler节点

• 先拷贝一份keystone的配置文件，然后过滤掉其他的只留下模块名写入原来的配置文件中

[root@ct ~]# cp -a /etc/keystone/keystone.conf{,.bak}
[root@ct ~]# grep -Ev "^$|#" /etc/keystone/keystone.conf.bak > /etc/keystone/keystone.conf
[root@ct ~]# cat /etc/keystone/keystone.conf
[DEFAULT]
[application_credential]
[assignment]
[auth]
[cache]
[catalog]
[cors]
[credential]
[database]
[domain_config]
[endpoint_filter]
[endpoint_policy]
[eventlet_server]
[federation]
[fernet_receipts]
[fernet_tokens]
[healthcheck]
[identity]
[identity_mapping]
[jwt_tokens]
[ldap]
[memcache]
[oauth1]
[oslo_messaging_amqp]
[oslo_messaging_kafka]
[oslo_messaging_notifications]
[oslo_messaging_rabbit]
[oslo_middleware]
[oslo_policy]
[policy]
[profiler]
[receipt]
[resource]
[revoke]
[role]
[saml]
[security_compliance]
[shadow_users]
[token]
[tokenless_auth]
[totp]
[trust]
[unified_limit]
[wsgi]

• 然后向里面传递参数

[root@ct ~]# openstack-config --set /etc/keystone/keystone.conf database connection mysql+pymysql://keystone:KEYSTONE_DBPASS@ct/keystone		//通过pymysql模块访问mysql，指定用户名密码、数据库的域名、数据库名
[root@ct ~]# openstack-config --set /etc/keystone/keystone.conf token provider fernet			//指定token的提供者；提供者就是keystone自己本身，Fernet：一种安全的消息传递格式
[root@ct ~]# cat /etc/keystone/keystone.conf
[database]
connection = mysql+pymysql://keystone:KEYSTONE_DBPASS@ct/keystone
[token]
provider = fernet

• 然后初始化认证服务数据库

[root@ct ~]# su -s /bin/sh -c "keystone-manage db_sync" keystone

• 再初始化分人体密钥存储库，以下命令会生成两个密钥，生成的密钥放于/etc/keystone/目录下，用于加密数据

[root@ct ~]# keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
[root@ct ~]# keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

• 配置bootstrap身份认证服务，此步骤是初始化openstack，会把openstack的admin用户的信息写入到mysql的user表中，以及url等其他信息写入到mysql的相关表中

[root@ct ~]#  keystone-manage bootstrap --bootstrap-password ADMIN_PASS \
> --bootstrap-admin-url http://ct:5000/v3/ \
> --bootstrap-internal-url http://ct:5000/v3/ \
> --bootstrap-public-url http://ct:5000/v3/ \
> --bootstrap-region-id RegionOne		//指定一个区域名称
//admin-url是管理网，用于管理虚拟机的扩容或删除，业务量大时，会造成无法通过openstack的控制端扩容虚拟机，所以需要一个管理网(如公有云内部openstack管理网络)
//internal-url是内部网络，进行数据传输，如虚拟机访问存储和数据库、zookeeper等中间件，这个网络是不能被外网访问的，只能用于企业内部访问
//public-url是共有网络，可以给用户访问的(如公有云)
//5000端口是keystone提供认证的端口 
//多节点的话需要在haproxy服务器上添加一条listen，各种网络的url需要指定controler节点的域名，一般是haproxy的vip的域名（高可用模式）

• 然后配置httpd服务器

[root@ct ~]# echo "ServerName controller" >> /etc/httpd/conf/httpd.conf

• 创建配置文件

[root@ct ~]#  ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/
	//安装完mod_wsgi包后，会生成 wsgi-keystone.conf 这个文件，文件中配置了虚拟主机及监听了5000端口，mod_wsgi就是python的网关

• 然后开启服务

[root@ct ~]# systemctl enable httpd
Created symlink from /etc/systemd/system/multi-user.target.wants/httpd.service to /usr/lib/systemd/system/httpd.service.
[root@ct ~]# systemctl start httpd
[root@ct ~]# netstat -antp | grep 80
tcp        0      0 192.168.100.1:2380      0.0.0.0:*               LISTEN      37679/etcd          
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      9805/master         
tcp6       0      0 :::80                   :::*                    LISTEN      39621/httpd         
tcp6       0      0 ::1:25                  :::*                    LISTEN      9805/master       

• 配置管理员账户的环境变量，这些环境变量用于创建角色和项目使用，但是创建角色和项目需要有认证信息，所以通过环境变量声明用户名和密码等认证信息，欺骗openstack已经登录且通过认证，这样就可以创建项目和角色；也就是把admin用户的验证信息通过声明环境变量的方式传递给openstack进行验证，实现针对openstack的非交互式操作

[root@ct ~]# cat >> ~/.bashrc << EOF
export OS_USERNAME=admin			//控制台登陆用户名
export OS_PASSWORD=ADMIN_PASS		//控制台登陆密码
export OS_PROJECT_NAME=admin
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_DOMAIN_NAME=Default
export OS_AUTH_URL=http://ct:5000/v3
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2
EOF

• 然后加载文件

[root@ct ~]# source ~/.bashrc

• 通过配置环境变量，可以使用openstack命令进行一些操作

[root@ct ~]# openstack user list
+----------------------------------+-------+
| ID                               | Name  |
+----------------------------------+-------+
| 207beb31d1a34ead95a25a4df847500e | admin |
+----------------------------------+-------+

• 创建OpenStack 域、项目、用户和角色

[root@ct ~]# openstack project create --domain default --description "Service Project" service
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | Service Project                  |
| domain_id   | default                          |
| enabled     | True                             |
| id          | 8db5b6617b954d80b3c200863e76ca4f |
| is_domain   | False                            |
| name        | service                          |
| options     | {}                               |
| parent_id   | default                          |
| tags        | []                               |
+-------------+----------------------------------+

• 创建角色并查看

[root@ct ~]# openstack role create user
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | None                             |
| domain_id   | None                             |
| id          | 3d6223ec9955431b88f2af47b09425ba |
| name        | user                             |
| options     | {}                               |
+-------------+----------------------------------+
[root@ct ~]# openstack role list
+----------------------------------+--------+
| ID                               | Name   |
+----------------------------------+--------+
| 3d6223ec9955431b88f2af47b09425ba | user   |
| 6ea78d6d18344aed9e86ba615bdc787d | member |
| 98472db13fb040f6b6bf6f2e295bdebc | reader |
| a294e368d55149a7bcc0e2c6ae833656 | admin  |
+----------------------------------+--------+
//admin为管理员
//member为 租户
//user：用户

• 查看是否可以不指定密码就可以获取到token信息

[root@ct ~]# openstack token issue
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| Field      | Value                                                                                                                                                                                   |
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| expires    | 2021-08-24T15:47:41+0000                                                                                                                                                                |
| id         | gAAAAABhJQaN7F-3rxqs9lzuWeUhAAdiOAPA5rJJFwE93ZBGsk4WlTSCjg8Tag7Z-_BG3JIk_5AJWeAxtbg85DzrJwtRN8bq3UoLyKFfPo4VHp9B89dgL2obbzzw1LhiPZkuh_4lK5twDkph8bgZKlbMJQ_2ggUhC_yNA3I-CPjnUQWpxARzoF8 |
| project_id | 2b924d5597424a75b3ff5283c980b44c                                                                                                                                                        |
| user_id    | 207beb31d1a34ead95a25a4df847500e                                                                                                                                                        |
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+

小结

• Keystone 组件是作为OpenStack 集群中统一认证、授权的模块，核心功能是针对于User（用户）、Tenant（租户）、Role（角色）、Token（令牌/凭证）的控制
• User：使用 openstack 的用户
• Tenant：租户,可以理解为一个人、项目或者组织拥有的资源的合集
• Role：角色，用于分配操作的权限。角色可以被指定给用户，使得该用户获得角色对应的操作权限
• Token：指的是一串比特值或者字符串，用来作为访问资源的记号