![](https://i-blog.csdnimg.cn/blog_migrate/d26279ec4cba3d16ee0d3a839245d00d.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d87a826c1c7b51b6244cb536f9cbab0a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/662f3ec90744731cb251be49db9fb864.png)
![](https://i-blog.csdnimg.cn/blog_migrate/27468071a721289149c7fb0437c244ae.png)
![](https://i-blog.csdnimg.cn/blog_migrate/662f3ec90744731cb251be49db9fb864.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d87a826c1c7b51b6244cb536f9cbab0a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d26279ec4cba3d16ee0d3a839245d00d.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d87a826c1c7b51b6244cb536f9cbab0a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d87a826c1c7b51b6244cb536f9cbab0a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/27468071a721289149c7fb0437c244ae.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d87a826c1c7b51b6244cb536f9cbab0a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/662f3ec90744731cb251be49db9fb864.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d87a826c1c7b51b6244cb536f9cbab0a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/27468071a721289149c7fb0437c244ae.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d87a826c1c7b51b6244cb536f9cbab0a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/27468071a721289149c7fb0437c244ae.png)
![](https://i-blog.csdnimg.cn/blog_migrate/662f3ec90744731cb251be49db9fb864.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d26279ec4cba3d16ee0d3a839245d00d.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d26279ec4cba3d16ee0d3a839245d00d.png)
![](https://i-blog.csdnimg.cn/blog_migrate/27468071a721289149c7fb0437c244ae.png)
![](https://i-blog.csdnimg.cn/blog_migrate/27468071a721289149c7fb0437c244ae.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d87a826c1c7b51b6244cb536f9cbab0a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d26279ec4cba3d16ee0d3a839245d00d.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d87a826c1c7b51b6244cb536f9cbab0a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/662f3ec90744731cb251be49db9fb864.png)
![](https://i-blog.csdnimg.cn/blog_migrate/662f3ec90744731cb251be49db9fb864.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d87a826c1c7b51b6244cb536f9cbab0a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/27468071a721289149c7fb0437c244ae.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d87a826c1c7b51b6244cb536f9cbab0a.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d26279ec4cba3d16ee0d3a839245d00d.png)
![](https://i-blog.csdnimg.cn/blog_migrate/662f3ec90744731cb251be49db9fb864.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d26279ec4cba3d16ee0d3a839245d00d.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d26279ec4cba3d16ee0d3a839245d00d.png)
![](https://i-blog.csdnimg.cn/blog_migrate/d87a826c1c7b51b6244cb536f9cbab0a.png)
1.keystone
一.Keystone 做下面这几件事情:
1、管理用户及其权限
2、维护 OpenStack Services 的 Endpoint
3、Authentication(认证)和 Authorization(鉴权)
二. keystone 的概念
User:指使用Openstack service的用户,可以是人、服务、系统,但凡使用了Openstack service的对象都可以称为User。
Project(Tenant):可以理解为一个人、或服务所拥有的 资源集合 。在一个Project(Tenant)中可以包含多个User,每一个User都会根据权限的划分来使用Project(Tenant)中的资源。比如通过Nova创建虚拟机时要指定到某个Project中,在Cinder创建卷也要指定到某个Project中。User访问Project的资源前,必须要与该Project关联,并且指定User在Project下的Role。
Role:用于划分权限。可以通过给User指定Role,使User获得Role对应的操作权限。Keystone返回给User的Token包含了Role列表,被访问的Services会判断访问它的User和User提供的Token中所包含的Role。系统默认使用管理Role admin和成员Role _member_ 。
Policy:OpenStack对User的验证除了OpenStack的身份验证以外,还需要鉴别User对某个Service是否有访问权限。Policy机制就是用来控制User对Tenant中资源(包括Services)的操作权限。对于Keystone service来说,Policy就是一个JSON文件,默认是/etc/keystone/policy.json。通过配置这个文件,Keystone Service实现了对User基于Role的权限管理。
Token:是一个字符串表示,作为访问资源的令牌。Token包含了在 指定范围和有效时间内 可以被访问的资源。EG. 在Nova中一个tenant可以是一些虚拟机,在Swift和Glance中一个tenant可以是一些镜像存储,在Network中一个tenant可以是一些网络资源。Token一般被User持有。
Credentials:用于确认用户身份的凭证
Authentication:确定用户身份的过程
Service:Openstack service,即Openstack中运行的组件服务。
Endpoint:一个可以通过网络来访问和定位某个Openstack service的地址,通常是一个URL。比如,当Nova需要访问Glance服务去获取image 时,Nova通过访问Keystone拿到Glance的endpoint,然后通过访问该endpoint去获取Glance服务。我们可以通过Endpoint的region属性去定义多个region。Endpoint 该使用对象分为三类:
- admin url –> 给admin用户使用,Post:35357
- internal url –> OpenStack内部服务使用来跟别的服务通信,Port:5000
- public url –> 其它用户可以访问的地址,Post:5000
创建完service后创建API EndPoint. 在openstack中,每一个service都有三种end points. Admin, public, internal。 Admin是用作管理用途的,如它能够修改user/tenant(project)。 public 是让客户调用的,比如可以部署在外网上让客户可以管理自己的云。internal是openstack内部调用的。三种endpoints 在网络上开放的权限一般也不同。Admin通常只能对内网开放,public通常可以对外网开放internal通常只能对安装有openstack对服务的机器开放。
V3新增
- Tenant 重命名为 Project
- 添加了 Domain 的概念
- 添加了 Group 的概念
1.user
2.Credentials
![](https://i-blog.csdnimg.cn/blog_migrate/a579915fefdd0d3082034511b8134855.jpeg)
3.Token
-
Token 用做访问 Service 的 Credential
-
Service 会通过 Keystone 验证 Token 的有效性
-
Token 的有效期默认是 24 小时
![](https://i-blog.csdnimg.cn/blog_migrate/ca7003b1bc62c3b9803c9ded05c178ba.jpeg)
4.Project
![](https://i-blog.csdnimg.cn/blog_migrate/29d4622a3cb04ee3393fe9776556f55d.png)
5.service
![](https://i-blog.csdnimg.cn/blog_migrate/2ccdb4d9e635a4177670601ae407d35e.jpeg)
6.Endpoint
7.Role
![](https://i-blog.csdnimg.cn/blog_migrate/b1990e99d99110f1708437ccf4e11cdc.png)
![](https://i-blog.csdnimg.cn/blog_migrate/ea313087f3e6241371e6dca2e60fc8d9.png)
三 基本架构
![wKioL1fH_9Tz46AGAANXnjXPEPA500.png](https://i-blog.csdnimg.cn/blog_migrate/5e2bdb7c5f556905385d5e7768d06ce6.png)
- 用户alice登录keystone系统(password或者token的方式),获取一个临时的token和catalog服务目录(v3版本登录时,如果没有指定scope,project或者domain,获取的临时token没有任何权限,不能查询project或者catalog)。
- alice通过临时token获取自己的所有的project列表。
- alice选定一个project,然后指定project重新登录,获取一个正式的token,同时获得服务列表的endpoint,用户选定一个endpoint,在HTTP消息头中携带token,然后发送请求(如果用户知道project name或者project id可以直接第3步登录)。
- 消息到达endpoint之后,由服务端(nova)的keystone中间件(pipeline中的filter:authtoken)向keystone发送一个验证token的请求。(token类型:uuid需要在keystone验证token,pki类型的token本身是包含用户详细信息的加密串,可以在服务端完成验证)
- keystone验证token成功之后,将token对应用户的详细信息,例如:role,username,userid等,返回给服务端(nova)。
- 服务端(nova)完成请求,例如:创建虚拟机。
- 服务端返回请求结果给alice。
四 通过列子认识keystone 架构
![](https://i-blog.csdnimg.cn/blog_migrate/726206a6d502d313fef29226ffea0f07.png)
![](https://i-blog.csdnimg.cn/blog_migrate/ba77d5183e68425e8b89861ef1e059a7.png)
![](https://i-blog.csdnimg.cn/blog_migrate/e7a73de7de2d284ba6544326c11aad02.png)
![](https://i-blog.csdnimg.cn/blog_migrate/f9c1870c2f8d89af66065f0d63349af0.png)
![](https://i-blog.csdnimg.cn/blog_migrate/9cbcbb081e95236ba9461d6ab0f9a504.png)
![](https://i-blog.csdnimg.cn/blog_migrate/df285937c04b45694ed8cd144e979d80.png)
![](https://i-blog.csdnimg.cn/blog_migrate/53da71c7756e362f1889814f3330253c.png)
![](https://i-blog.csdnimg.cn/blog_migrate/db24bcefe59f8cf991cc84cfa7dc703b.jpeg)
![](https://i-blog.csdnimg.cn/blog_migrate/33d0894738fa7db63619fbb2319ba1ef.png)
五 kyesdone 配置文件
<wiz_tmp_tag id="wiz-table-range-border" contenteditable="false" style="display: none;">