OpenStack--Keystone组件部署

主要功能

1. 身份认证：对用户进行身份认证，并对应权限范围
2. 用户授权(令牌管理权限)：以token令牌的方式标识用户对应拥有的权限范围
3. 用户管理(寻址功能)：提供用户访问资源的寻址功能(URL)
4. 服务目录：所有服务的交互/调用，均需要keyston进行认证

管理对象

1. User：指使用Openstack service的用户，nova glance(跑在OpenStack里面，是需要一个用户进行管理的)
2. Project(Tenant)：可以理解为一个人或服务所拥有的资源集合
3. Role：用于划分权限，通过给User指定Role, 使User获得Role对应操作权限
4. Authentication：确定用户身份的过程
5. Token：是一个字符串表示，作为访问资源的令牌。Token包含了在指定范围和有效时间内可以被访问的资源
6. Credentials：用于确认用户身份的凭证，用户的用户名和密码，或者是用户名和API密钥,或者身份管理服务提供的认证令牌。
7. Service Openstack service, 即Openstack中运行的组件服务。如nova、swift、glance、neutron、 cinder等
8. Endpoint：一个可以通过网络来访问和定位某个Openstack service的地址,通常是一个URL(即apache的api(位置点))

Keystone认证过程

1. user 登陆（keystone 认证）
2. user 进入控制台/命令行界面（位置点）
3. user 发起创建虚拟的请求（向keystone认证指引位置点）
4. 请求到达nova组件（向keystone认证 ）
5. nova会开始执行请求，并且调用创建实例所需要的glance、neutron等资源（向keystone 认证，指引对应服务的位置点）
6. glance和neutron 服务收到请求后（向keystone认证）才会给与nova对应的资源
7. nova 拿到资源后，调用对应资源，创建实例，最后将创建结果返回给用户

Keystone身份服务组件安装

创建数据库实例和数据库用户

//
[root@ct ~]# mysql -u root -p
Enter password: 
Welcome to the MariaDB monitor.  Commands end with ; or \g.
Your MariaDB connection id is 15
Server version: 10.3.20-MariaDB MariaDB Server

Copyright (c) 2000, 2018, Oracle, MariaDB Corporation Ab and others.

Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

MariaDB [(none)]> create database keystone;
Query OK, 1 row affected (0.001 sec)
MariaDB [(none)]> show databases;   //查看所有库
+--------------------+
| Database           |
+--------------------+
| information_schema |
| mysql              |
| performance_schema |
+--------------------+
3 rows in set (0.002 sec)

MariaDB [(none)]> create database keystone;    //创建keystone库
Query OK, 1 row affected (0.001 sec)

MariaDB [(none)]> grant all privileges on keystone.* to 'keystone'@'localhost' identified by 'KEYSTONE_DBPASS';                //给keystone用户提权（keystone库的所有权限）
Query OK, 0 rows affected (0.001 sec)

MariaDB [(none)]> grant all privileges on keystone.* to 'keystone'@'%' identified by 'KEYSTONE_DBPASS';
Query OK, 0 rows affected (0.001 sec)

MariaDB [(none)]> flush privileges;           //刷新权限表，立即生效
Query OK, 0 rows affected (0.001 sec)

MariaDB [(none)]> show grants for keystone;    //查看keystone用户的权限
+---------------------------------------------------------------------------------------------------------+
| Grants for keystone@%                                                                                   |
+---------------------------------------------------------------------------------------------------------+
| GRANT USAGE ON *.* TO 'keystone'@'%' IDENTIFIED BY PASSWORD '*442DFE587A8B6BE1E9538855E8187C1EFB863A73' |
| GRANT ALL PRIVILEGES ON `keystone`.* TO 'keystone'@'%'                                                  |
+---------------------------------------------------------------------------------------------------------+
2 rows in set (0.000 sec)
MariaDB [(none)]> show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| keystone           |
| mysql              |
| performance_schema |
+--------------------+
4 rows in set (0.001 sec)

安装keystone、http、mod_wsgi

mod_wsgi包的作用是让apache能够代理python程序的组件；openstack的各个组件，包括API都是用python写的，但访问的是apache，apache会把请求转发给python去处理,这些包只安装在controler节点

// 
[root@ct ~]# yum -y install openstack-keystone httpd mod_wsgi
已加载插件：fastestmirror
Loading mirror speeds from cached hostfile
 * base: mirrors.cn99.com
 * centos-ceph-nautilus: mirrors.cn99.com
 * centos-nfs-ganesha28: mirrors.ustc.edu.cn
 * centos-openstack-train: mirrors.cn99.com
 * centos-qemu-ev: mirrors.ustc.edu.cn
 * extras: mirrors.ustc.edu.cn
 * updates: mirrors.cn99.com
软件包 1:openstack-keystone-16.0.2-1.el7.noarch 已安装并且是最新版本
软件包 httpd-2.4.6-97.el7.centos.x86_64 已安装并且是最新版本
软件包 mod_wsgi-3.4-18.el7.x86_64 已安装并且是最新版本
无须任何处理

配置 keystone

//
[root@ct ~]# cd /etc/keystone/  #切换到此目录
[root@ct keystone]# cp -a keystone.conf{,.bak}   #复制文件到.bak中
[root@ct keystone]# grep -Ev "^$|#" keystone.conf.bak > keystone.conf  #过滤出不以$或#开头的行并覆盖配置文件
[root@ct keystone]# openstack-config --set /etc/keystone/keystone.conf  database connection  mysql+pymysql://keystone:keystone_dbpass@ct/keystone  #通过pymysql模块连接mysql，指定用户名密码、数据库的域名、数据库名
[root@ct keystone]# openstack-config --set /etc/keystone/keystone.conf token provider fernet #指定token传递的消息传递模式

初始化数据库

// 
An highlighted block
var foo = 'bar';