openstack keystone 与 数字证书

各个权威证书机构 有自己的私钥，他们是被微软，被浏览器信任的,所以用户自己操作系统里就有这些机构的公钥

用户可以拿这些公钥去解密这些机构发布的证书

机构还会维护一份证书列表

用户请求访问网站的时候，会请求他的证书

他们根据自己的私钥a，和申请公司的信息，生产证书，这个证书里面包括公司信息，公钥b，以及校验码之类，保证不能被修改

如果有人修改了内容，因为没有证书公司的私钥a，无法生成加密的证书

如果有人修改证书，那么解密的内容就会匹配不上，也不行

如果有人使用别人的证书，那他没有对应公司的私钥b，用户用公钥加密的消息发过来，他也无法解密用户发的信息，无法做出正确的回应

等到用户确认了对面证书合法，且拥有对应证书的私钥之后，证实对面确实是目标的服务器

然后用户会选择一种加密算法，双方都是用这种加密算法通信

有的公司银行也会发布自己的证书给用户，用户用手机号，身份证之类证明自己的身份之后，双方都确认了身份，才能相互通信

openstack keystone 发布证书给用户，用户拿着自己的证书，访问各个api，api会检验证书是否正确，确定用户是受信任的

原先使用uuid的情况下，keystone将uuid作为token给用户，用户调用api的时候，api去keystone检验这个uuid是不是合法的token

现在api接收到pki token后，使用公钥解密，就可以判断是不是合理的token，不需要请求keystone组件，大大降低压力

keystone类似证书发布机构。根据用户名密码鉴定用户的合法性，颁发证书。openstack的api 类似银行，根据证书判断用户身份，用户鉴定通过之后才有权操作。但是如果token被盗，依然有风险。