OpenStack服务组件01--keystone
Keyston身份服务
keystone(OpenStack Identity Service)时OpenStack中的一个独立的提供安全认证的模块，主要辅助openstack用户的身份认证、令牌管理、提供访问资源的服务目录、以及基于用户角色的访问控制
Keyston身份服务简介
1、主要功能：
- 身份认证：对用户进行身份认证，并对应权限范围
- 用户授权(令牌管理权限)：以token令牌的方式标识用户对应拥有的权限范围
- 用户管理(寻址功能)：提供用户访问资源的寻址功能(URL)
- 服务目录：所有服务的交互/调用，均需要keyston进行认证
2、管理对象
- User：指使用Openstack service的用户，nova glance(跑在OpenStack里面，是需要一个用户进行管理的)
- Project(Tenant)：可以理解为一个人或服务所拥有的资源集合
- Role：用于划分权限，通过给User指定Role, 使User获得Role对应操作权限
- Authentication：确定用户身份的过程
- Token：是一个字符串表示，作为访问资源的令牌。Token包含了在指定范围和有效时间内可以被访问的资源
- Credentials：用于确认用户身份的凭证，用户的用户名和密码，或者是用户名和API密钥,或者身份管理服务提供的认证令牌。
- Service Openstack service, 即Openstack中运行的组件服务。如nova、swift、glance、 neutron、 cinder等
- Endpoint：一个可以通过网络来访问和定位某个Openstack service的地址,通常是一个URL(即apache的api (位置点))
3、keystone认证过程
- 1.user 登陆（keystone 认证）
- 2.user 进入控制台/命令行界面（位置点）
-3.user 发起创建虚拟的请求（向keystone认证指引位置点） - 4.请求到达nova组件（向keystone认证 ）
- 5.nova会开始执行请求，并且调用创建实例所需要的glance、neutron等资源（向keystone
认证，指引对应服务的位置点） - 6.glance和neutron 服务收到请求后（向keystone认证）才会给与nova对应的资源
- 7.nova 拿到资源后，调用对应资源，创建实例，最后将创建结果返回给用户（成功/ 失败/ 原因）
Keystone身份服务组件安装
1、创建数据库实例和数据库用户
[root@ct etcd]# mysql -uroot -p
Enter password: //123456
MariaDB [(none)]> show databases; //查看所有库
+--------------------+
| Database |
+--------------------+
| information_schema |
| mysql |
| performance_schema |
+--------------------+
3 rows in set (0.00 sec)
//创建keystone库
MariaDB [(none)]> create database keystone;
Query OK, 1 row affected (0.00 sec)
//给keystone用户提权（keystone库的所有权限）
MariaDB [(none)]> grant all privileges on keystone.* to 'keystone'@'localhost' identified by 'KEYSTONE_DBPASS';
Query OK, 0 rows affected (0.00 sec)
MariaDB [(none)]> grant all privileges on keystone.* to 'keystone'@'%' identified by 'keystone_dbpass';
Query OK, 0 rows affected (0.00 sec)
//刷新权限表，立即生效
MariaDB [(none)]> flush privileges;
Query OK, 0 rows affected (0.00 sec)
//查看keystone用户的权限
MariaDB [(none)]> show grants for keystone;
+---------------------------------------------------------------------------------------------------------+
| Grants for keystone@% |
+---------------------------------------------------------------------------------------------------------+
| GRANT USAGE ON *.* TO 'keystone'@'%' IDENTIFIED BY PASSWORD '*FF724598B678F31550B345B58190004400A7665A' |
| GRANT ALL PRIVILEGES ON `keystone`.* TO 'keystone'@'%' |
+---------------------------------------------------------------------------------------------------------+
2 rows in set (0.00 sec)
2.安装、配置keystone、数据库、Apache
1.安装keystone、apache
mod_wsgi包的作用是让apache能够代理python程序的组件；openstack的各个组件，包括API都是用python写的，但访问的是apache，apache会把请求转发给python去处理,这些包只安装在controler节点
[root@ct ~]# yum -y install openstack-keystone httpd mod_wsgi
2.配置keystone
//将配置文件备份
[root@ct etcd]# cd /etc/keystone/
[root@ct keystone]# cp -a keystone.conf{,.bak}
//过滤出不以$或#开头的行并覆盖配置文件文件
[root@ct ~]# grep -Ev "^$|#" /etc/keystone/keystone.conf.bak > /etc/keystone/keystone.conf
//通过pymysql模块连接mysql。指定用户名密码、数据库的域名、数据库名
[root@ct ~]# openstack-config --set /etc/keystone/keystone.conf database connection mysql+pymysql://keystone:KEYSTONE_DBPASS@ct/keystone
//指定token的提供者；提供者就是keystone自己本身
[root@ct ~]# openstack-config --set /etc/keystone/keystone.conf token provider fernet //Fernet：一种安全的消息传递格式
3.初始化数据库
//使用keystone的身份切换环境来执行操作
[root@ct ~]# su -s /bin/sh -c "keystone-manage db_sync" keystone
[root@ct keystone]# mysql -uroot -p
Enter password:
MariaDB [(none)]> use keystone
MariaDB [keystone]> show tables
4.初始化fernet密钥存储库
以下命令会生成两个密钥，生成的密钥放于/etc/keystone/目录下，用于加密数据
[root@ct ~]# keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone //生成密钥文件
[root@ct ~]# keystone-manage credential_setup --keystone-user keystone --keystone-group keystone //生成凭证文件
[root@ct ~]# ls /etc/keystone/
credential-keys fernet-keys keystone.conf.bak policy.json
default_catalog.templates keystone.conf logging.conf sso_callback_template.html
5.配置bootstrap身份认证服务
初始化openstack，会把openstack的admin用户的信息写入到mysql的user表中，以及url等其他信息写入到mysql的相关表中
[root@ct ~]# keystone-manage bootstrap --bootstrap-password ADMIN_PASS \
> --bootstrap-admin-url http://ct:5000/v3/ \
> --bootstrap-internal-url http://ct:5000/v3/ \
> --bootstrap-public-url http://ct:5000/v3/ \
> --bootstrap-region-id RegionOne
此步骤是：初始化openstack，会把openstack的admin用户的信息写入到mysql的user表中，以及url等其他信息写入到mysql的相关表中；
- admin-url：是管理网(如公有云内部openstack管理网络)，用于管理虚拟机的扩容或删除；如果共有网络和管理网是一个网络，则当业务量大时，会造成无法通过openstack的控制端扩容虚拟机，所以需要一个管理网；
- internal-url：是内部网络，进行数据传输，如虚拟机访问存储和数据库、zookeeper等中间件，这个网络是不能被外网访问的，只能用于企业内部访问
- public-url：是共有网络，可以给用户访问的(如公有云) #但是此环境没有这些网络，则公用同一个网络
5000端口：是keystone提供认证的端口
以下部分指的是openstack多节点的配置
#需要在haproxy服务器上添加一条listen
#各种网络的url需要指定controler节点的域名，一般是haproxy的vip的域名（高可用模式）
6.配置apache服务器
[root@ct ~]# echo "ServerName controller" >> /etc/httpd/conf/httpd.conf
//让apache调用wsgi
[root@ct ~]# ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/
//开机启动
[root@ct ~]# systemctl enable httpd
Created symlink from /etc/systemd/system/multi-user.target.wants/httpd.service to /usr/lib/systemd/system/httpd.service.
//启动httpd
[root@ct ~]# systemctl start httpd
[root@ct ~]# netstat -antp | grep 80
tcp 0 0 192.168.220.111:2380 0.0.0.0:* LISTEN 30639/etcd
tcp 0 0 127.0.0.1:4369 127.0.0.1:39149 ESTABLISHED 28094/epmd
tcp6 0 0 :::80 :::* LISTEN 33577/httpd
7.配置管理员账户的环境变量
[root@ct ~]# vi ~/.bashrc
//添加以下内容
export OS_USERNAME=admin
export OS_PASSWORD=ADMIN_PASS
export OS_PROJECT_NAME=admin
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_DOMAIN_NAME=Default
export OS_AUTH_URL=http://ct:5000/v3
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2
[root@ct ~]# source ~/.bashrc
8.查看当前所有用户列表
[root@ct ~]# openstack user list
+----------------------------------+-------+
| ID | Name |
+----------------------------------+-------+
| 072f869badb6499b9601860d4e5a8a71 | admin |
+----------------------------------+-------+
3、创建OpenStack 域、项目、用户和角色
1.创建一个项目
[root@ct ~]# openstack project create --domain default --description "Service Project" service
+-------------+----------------------------------+
| Field | Value |
+-------------+----------------------------------+
| description | Service Project |
| domain_id | default |
| enabled | True |
| id | ed87dde26909437d950f7f92be4ba3cc |
| is_domain | False |
| name | service |
| options | {} |
| parent_id | default |
| tags | [] |
+-------------+----------------------------------+
//查看指定域
[root@ct ~]# openstack domain list
+---------+---------+---------+--------------------+
| ID | Name | Enabled | Description |
+---------+---------+---------+--------------------+
| default | Default | True | The default domain |
+---------+---------+---------+--------------------+
2.创建角色
[root@ct ~]# openstack role create user
+-------------+----------------------------------+
| Field | Value |
+-------------+----------------------------------+
| description | None |
| domain_id | None |
| id | 1e2d55ce128141a4afd9a1fa2b65616e |
| name | user |
| options | {} |
+-------------+----------------------------------+
//查看角色列表
[root@ct ~]# openstack role list
+----------------------------------+--------+
| ID | Name |
+----------------------------------+--------+
| 1e2d55ce128141a4afd9a1fa2b65616e | user |
| 481aa0aef123453b9c63f349fb0106bd | reader |
| 762205a4dc6d4033b7dab988f4282333 | member |
| 895052be419a488f839f7b8ef70580b0 | admin |
+----------------------------------+--------+
//admin为管理员，member：租户，user：用户
3.验证认证服务
查看是否可以不指定密码就可以获取到token信息（验证认证服务）
[root@ct ~]# openstack token issue
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| Field | Value |
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| expires | 2021-08-24T17:41:24+0000 |
| id | gAAAAABhJSE0FjnwrYvU4DwkJPrye4wEAeiEiZQ-GcF78A1wma4U9cGsQDpgFhPUhb7uDvDYPgJVHpXvkats1vO4V90OxpIC7YThQlS-qgI6vT3U2Wa-zDp4ZYPqBdcAzLyKMyC99gsUOvCyFyydpGzKZKvry9mJ7e0pbemowoohaiudwOXH3po |
| project_id | e09212b45eee4b0a91281c7c306cebe6 |
| user_id | 072f869badb6499b9601860d4e5a8a71 |
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
扫一扫
694
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
