【Openstack系列④】Centos 7.6 openstack Rocky版本 安装keystone身份认证服务

一、数据库准备

1.用root登录MySQL数据库的服务器。

使用Keystone需要创建数据库keystone用于存储它相关的数据。

# mysql -uroot -p

2.创建名为keystone的数据库

mysql> CREATE DATABASE keystone;

3.授予对keystone数据库的适当访问权限

mysql> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'ahaokeystone';

mysql> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'ahaokeystone';

这里的ahaokeystone为keystone数据库密码，读者自行更改。

4.退出数据库访问客户端

mysql> exit

二、安装和配置 Keystone 组件

1.安装软件包

# yum install openstack-keystone httpd mod_wsgi

2.编辑/etc/keystone/keystone.conf文件并完成以下操作：

1）在该[database]部分中，配置数据库访问：

[database]
 #...
connection = mysql+pymysql://keystone:ahaokeystone@controller/keystone

这里的ahaokeystone为数据库密码，controller为主机名（/etc/hostname里修改 ）。同时要注释掉或删除connection该[database]部分中的任何其他选项 。

2）在该[token]部分中，配置Fernet令牌提供者

[token]
# ...
provider = fernet

3.填充身份服务数据库

su -s /bin/sh -c "keystone-manage db_sync" keystone

4.初始化Fernet密钥存储库

#  keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
#  keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

5.引导身份服务

#  keystone-manage bootstrap --bootstrap-password ahaokeystone \
  --bootstrap-admin-url http://controller:5000/v3/ \
  --bootstrap-internal-url http://controller:5000/v3/ \
  --bootstrap-public-url http://controller:5000/v3/ \
  --bootstrap-region-id RegionOne

这里的ahaokeystone 为管理用户密码。在后面需要用到

三、配置Apache HTTP服务器

1.编辑/etc/httpd/conf/httpd.conf文件并配置 ServerName选项以引用控制器节点

ServerName controller

2.创建/usr/share/keystone/wsgi-keystone.conf文件链接

#  ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/

这里可能会遇到错误，就是keystone的wsgi配置文件，官方文档使用的是建立软连接，也可以直接将/usr/share/keystone/wsgi-keystone.conf 拷贝到/etc/httpd/conf.d/下面

四、完成安装

1.启动Apache HTTP服务，并将其配置为在系统启动时启动

# systemctl enable httpd.service

# systemctl start httpd.service

这里启动apache服务的时候可能会报错，报错截图如下：

是由于SELiunx安全系统作怪。。。。如果之前跟着博主的系列教程搭建openstack这一步应该是不会报错的。
解决方法：

# setsebool -P httpd_use_openstack 1

然后再启动apache服务。

2.配置管理帐户

$ export OS_USERNAME=admin
$ export OS_PASSWORD=ahaokeystone
$ export OS_PROJECT_NAME=admin
$ export OS_USER_DOMAIN_NAME=Default
$ export OS_PROJECT_DOMAIN_NAME=Default
$ export OS_AUTH_URL=http://controller:5000/v3
$ export OS_IDENTITY_API_VERSION=3

这里的ahaokeystone 为配置引导身份服务keystone-manage bootstrap 时设置的密码。

也可以进入home目录cd ~ 创建 admin-openrc.sh 文件将以上内容写文件中。

使用命令# source admin-openrc.sh 即可。

五、创建域，项目，用户和角色

身份服务为每个OpenStack服务提供身份验证服务。身份验证服务使用域domains,项目 projects，用户users和角色roles的组合。

1.创建新域

# openstack domain create --description "An Example Domain" example

+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | An Example Domain                |
| enabled     | True                             |
| id          | cccf6e6450654d35819871502151c7f1 |
| name        | example                          |
| tags        | []                               |
+-------------+----------------------------------+

2.创建项目

本次实验创建一个服务项目，该服务项目包含用于添加到环境中的每个服务的唯一用户。创建 service 项目

# openstack project create --domain default --description "Service Project" service

+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | Service Project                  |
| domain_id   | default                          |
| enabled     | True                             |
| id          | 632b605dcb684340997e5793ad1e8563 |
| is_domain   | False                            |
| name        | service                          |
| parent_id   | default                          |
| tags        | []                               |
+-------------+----------------------------------+

3.常规（非管理员）任务应使用没有特权的项目和用户。

1）创建demo项目（注意：为该用户创建其他用户时不需要运行此步骤）

# openstack project create --domain default --description "Demo project" demo

+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | Demo project                     |
| domain_id   | default                          |
| enabled     | True                             |
| id          | 38d76da659314190ad8e2f904d8ce434 |
| is_domain   | False                            |
| name        | demo                             |
| parent_id   | default                          |
| tags        | []                               |
+-------------+----------------------------------+

2）创建myuser用户

# openstack user create --domain default --password-prompt myuser

+---------------------+----------------------------------+
| Field               | Value                            |
+---------------------+----------------------------------+
| domain_id           | default                          |
| enabled             | True                             |
| id                  | 15b1f3b086b041dcbf1b11673ed7686b |
| name                | myuser                           |
| options             | {}                               |
| password_expires_at | None                             |
+---------------------+----------------------------------+

执行命令后按提示设置用户密码，这里设置myuser的密码为000000

3）创建myrole角色

# openstack role create myrole

+-----------+----------------------------------+
| Field     | Value                            |
+-----------+----------------------------------+
| domain_id | None                             |
| id        | f3dcc86541a242e384cc4e55e10d5d3f |
| name      | myrole                           |
+-----------+----------------------------------+

4）将myrole角色添加到demo项目和myuser用户：

# openstack role add --project demo --user myuser myrole

六、验证

在安装其他服务之前确认身份认证服务的操作。注：在控制节点上执行以下操作。

1.取消设置临时 变量OS_AUTH_URL和OS_PASSWORD环境变量

# unset OS_AUTH_URL OS_PASSWORD

2.以admin用户身份请求身份验证令牌

# openstack --os-auth-url http://controller:5000/v3 \
>   --os-project-domain-name Default --os-user-domain-name Default \
>   --os-project-name admin --os-username admin token issue

按提示输入admin的密码ahaokeystone

3.以demo 用户，请求认证令牌

# openstack --os-auth-url http://controller:5000/v3 \
>   --os-project-domain-name Default --os-user-domain-name Default \
>   --os-project-name demo --os-username myuser token issue

按提示输入myuser的密码000000
验证截图如图所示

七、创建OpenStack客户端环境脚本

前面的部分使用了环境变量和命令选项的组合，以通过openstack客户端与Identity Service进行交互 。为了提高客户端操作的效率，OpenStack支持简单的客户端环境脚本，也称为OpenRC文件。这些脚本通常包含所有客户端的通用选项，但也支持唯一选项。

1.创建脚本

为admin和demo 项目以及用户创建客户端环境脚本。

1）创建和编辑~/keystone/admin-openrc文件并添加以下内容

export OS_PROJECT_DOMAIN_NAME=Default
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_NAME=admin
export OS_USERNAME=admin
export OS_PASSWORD=ahaokeystone
export OS_AUTH_URL=http://controller:5000/v3
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2

ahaokeystone为前面设置的admin的密码

2）创建和编辑~/keystone/demo-openrc文件并添加以下内容

export OS_PROJECT_DOMAIN_NAME=Default
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_NAME=demo
export OS_USERNAME=myuser
export OS_PASSWORD=000000
export OS_AUTH_URL=http://controller:5000/v3
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2

OS_PROJECT_NAME，OS_PASSWORD分别设置为创建的项目名称demo 和用户密码000000

2.使用脚本

要将客户端作为特定项目和用户运行，可以在运行它们之前简单地加载关联的客户端环境脚本。

1）加载admin-openrc文件以使用身份服务的位置以及admin项目和用户凭据填充环境变量

# . admin-openrc

2）请求身份验证令牌

# openstack token issue

3）加载 demo-openrc 文件来身份认证服务的环境变量位置和 demo 项目和 用户证书

# . demo-openrc 

4）验证配置，请求认证令牌信息 #openstack token issue

# openstack token issue

验证结果如图所示