OpenStackNewton版本部署----認證服務(keystone)

       Openstack身份認證服務提供了一個整合管理身份認證、授權、服務目錄的point(Keystone元件基本就是圍繞著這個point來展開)。其他的Openstack服務會使用Identityservice的這個point來作為統一的API(這些API會被存放帶一個服務目錄中)。除此之外，Identityservice還能夠提供使用者的相關資訊，但這個資訊並不會被包含在Openstack中，這些使用者資訊會被預先整合到一個基礎架構中(例如LDAPservice或SQLDatabase這些能夠提供使用者集中管理服務的元件

)。

Keystone認證服務中的概念

Token(令牌)：用於限定User-Tenant對進行OpenStack API和資源訪問的字串表示。一個臨牌會持續一段時間有效，也可以隨時撤銷。

Credentials(憑證)：用於確認使用者身份的資料，例如：Username/Password

Authentication(檢驗)：是確定使用者身份的過程。

Service(服務)：Openstack service，即Openstack中執行的元件服務。

Endpoint(端點)：一個可以通過網路來訪問和定位某個Openstack service的地址，通常是一個URL。使用RESTful的設計思想，詳見

RESTful_URI資源。

Keystone Client(Keystone CLI)：Keystone的命令列工具，可以完成諸如建立使用者，角色，服務和端點等絕大多數的Leystone管理功能，是非常常用的CLI介面。

Prerequisites先決條件

1、建立keystone資料庫

（1）進入MySQL

$ mysql -u root -p

（2）建立資料庫keystone

mysql> CREATE DATABASE keystone;

（3）建立keystone資料庫使用者並授予適當的訪問許可權

mysql> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' \
 

mysql> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' \

  IDENTIFIED BY 'KEYSTONE_DBPASS';

(4) 退出

mysql> \q

2、安裝和配置元件

(1)安裝

# yum install openstack-keystone httpd mod_wsgi -y

(2)修改配置檔案

vim /etc/keystone/keystone.conf

[database]

...

connection=mysql+pymysql://keystone:[email protected]/keystone

用keystone資料庫密碼替代KEYSTONE_DBPASS。

[token]

...

provider=fernet

(3)填充資料庫

# su -s /bin/sh -c "keystone-manage db_sync" keystone

可以通過以下命令檢視資料庫是否填充成功

MariaDB[(none)]> usekeystone;

MariaDB[keystone]> showtables;

(4)初始Fernet密匙

# keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone

# keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

(5)引導認證服務

# keystone-manage bootstrap --bootstrap-password ADMIN_PASS \

  --bootstrap-admin-url http://controller:35357/v3/ \

  --bootstrap-internal-url http://controller:35357/v3/ \

  --bootstrap-public-url http://controller:5000/v3/ \

  --bootstrap-region-id RegionOne

用合適密碼替代ADMIN_PASS。

3、配置HTTP伺服器

(1) 指定伺服器主機名

vim /etc/httpd/conf/httpd.conf

ServerName controller

(2) 建立連結

# ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/

(3) 啟動HTTP服務，並設定開機啟動

# systemctl enable httpd.service

# systemctl start httpd.service

(4) 配置管理員賬號的環境變數

$exportOS_USERNAME=admin

$exportOS_PASSWORD=ADMIN_PASS

$exportOS_PROJECT_NAME=admin

$exportOS_USER_DOMAIN_NAME=Default

$exportOS_PROJECT_DOMAIN_NAME=Default

$exportOS_AUTH_URL=http://controller:35357/v3

$exportOS_IDENTITY_API_VERSION=3

用2（5）中密碼替代ADMIN_PASS。

Openstack keystone認證服務安裝完成。

4、建立域、工程、使用者和角色

   Identityservice為每一個Openstackservice都提供了身份認證的服務，而身份認證服務使用domains, projects (tenants), users, androles的組合來實現。

(1) 建立service工程

$ openstack project create --domain default \

  --description "Service Project" service

+-------------+----------------------------------+

| Field       | Value                            |

+-------------+----------------------------------+

| description | Service Project                  |

| domain_id   | default                          |

| enabled     | True                             |

| id          | 24ac7f19cd944f4cba1d77469b2a73ed |

| is_domain   | False                            |

| name        | service                          |

| parent_id   | default                          |

+-------------+----------------------------------+

(2) 常規（非管理員）任務應使用非特權專案和使用者。

建立demo工程：

$ openstack project create --domain default \

  --description "Demo Project" demo

+-------------+----------------------------------+

| Field       | Value                            |

+-------------+----------------------------------+

| description | Demo Project                     |

| domain_id   | default                          |

| enabled     | True                             |

| id          | 231ad6e7ebba47d6a1e57e1cc07ae446 |

| is_domain   | False                            |

| name        | demo                             |

| parent_id   | default                          |

+-------------+----------------------------------+

建立domo使用者：

$ openstack user create --domain default \

  --password-prompt demo

User Password:

Repeat User Password:

+---------------------+----------------------------------+

| Field               | Value                            |

+---------------------+----------------------------------+

| domain_id           | default                          |

| enabled             | True                             |

| id                  | aeda23aa78f44e859900e22c24817832 |

| name                | demo                             |

| password_expires_at | None                             |

+---------------------+----------------------------------+

建立user角色：

$ openstack role create user

+-----------+----------------------------------+

| Field     | Value                            |

+-----------+----------------------------------+

| domain_id | None                             |

| id        | 997ce8d05fc143ac97d83fdfb5998552 |

| name      | user                             |

+-----------+----------------------------------+

新增user角色到demo工程和使用者：

$ openstack role add --project demo --user demo user

5、驗證

(1)禁用臨時身份驗證令牌機制

      vim/etc/keystone/keystone-paste.ini，刪去[pipeline:public_api], [pipeline:admin_api], 和[pipeline:api_v3] 節。

(2)取消設定臨時的OS_AUTH_URL和OS_PASSWORD環境變數

$unset OS_AUTH_URL OS_PASSWORD

(3)作為admin使用者，請求認證令牌

$ openstack --os-auth-url http://controller:35357/v3 \

  --os-project-domain-name Default --os-user-domain-name Default \

  --os-project-name admin --os-username admin token issue

Password:

+------------+-----------------------------------------------------------------+

| Field      | Value                                                           |

+------------+-----------------------------------------------------------------+

| expires    | 2016-02-12T20:14:07.056119Z                                     | id          |gAAAAABWvi9bsh7vkiby5BpCCnc-JkbGhm9wH3fabS_cY7uabOubesi-Me6IGWWyQqNegDDZ5jw7grI26vvgy1J5nCVwZ_zFRqPiz_qhbq29mgbQLglbkq6FQvzBRQJcOzq3uwhzNxszJWmzGC7rJE_H0A_a3UFhqv8M4zMRYSbS2YF0MyFmp_U

| project_id | 343d245e850143a096806dfaefa9afdc                              

| user_id    | ac3377633149401296f6c0d92d79dc16                               

+------------+-----------------------------------------------------------------+

6、寫指令碼

這些指令碼可以包含有常用的openstackclient選項，但是每一個指令碼只支援唯一的選項值。簡而言之，使用這些指令碼能夠讓我們不需要為每一條openstack client指令都新增這麼多的認證選項。

(1)  vim~/admin-openrc，並新增如下內容:

exportOS_PROJECT_DOMAIN_NAME=Default

exportOS_USER_DOMAIN_NAME=Default

exportOS_PROJECT_NAME=admin

exportOS_USERNAME=admin

exportOS_PASSWORD=ADMIN_PASS

exportOS_AUTH_URL=http://controller:35357/v3

exportOS_IDENTITY_API_VERSION=3

exportOS_IMAGE_API_VERSION=2

(2) vim~/demo-openrc，並新增如下內容:

exportOS_PROJECT_DOMAIN_NAME=Default

exportOS_USER_DOMAIN_NAME=Default

exportOS_PROJECT_NAME=demo

exportOS_USERNAME=demo

exportOS_PASSWORD=DEMO_PASS

exportOS_AUTH_URL=http://controller:5000/v3

exportOS_IDENTITY_API_VERSION=3

exportOS_IMAGE_API_VERSION=2

(3)請求認證令牌

$ . admin-openrc

$ openstack token issue

+------------+-----------------------------------------------------------------+

| Field      | Value                                                           |

+------------+-----------------------------------------------------------------+

| expires    | 2016-02-12T20:44:35.659723Z                                     |

| id         | gAAAAABWvjYj-Zjfg8WXFaQnUd1DMYTBVrKw4h3fIagi5NoEmh21U72SrRv2trlJWFYhLi2_uPR31Igf6A8mH2Rw9kv_bxNo1jbLNPLGzW_u5FC7InFqx0yYtTwa1eeq2b0f6-18KZyQhs7F3teAta143kJEWuNEYET-y7u29y0be1_64KYkM7E       |

| project_id | 343d245e850143a096806dfaefa9afdc                                |

| user_id    | ac3377633149401296f6c0d92d79dc16                                |

+------------+-----------------------------------------------------------------+