本节书摘来自异步社区《OpenStack云计算实战手册（第2版）》一书中的第1章，第1.4节,作者： 【英】Kevin Jackson , 【美】Cody Bunch 更多章节内容可以访问云栖社区“异步社区”公众号查看。

1.4 安装OpenStack身份认证服务

我们将会使用Ubuntu Cloud Archive安装和配置OpenStack身份认证服务，也就是Keystone项目。配置完成之后，连接到OpenStack云环境都需经过这里所安装的OpenStack身份认证服务。

OpenStack身份认证服务的默认后台数据库是MySQL数据库。

准备工作
为保证运行的是Ubuntu Cloud Archive，必须配置Ubunut 12.04安装使用该服务。

我们将配置Keystone使用MySQL作为数据库后端，因此，安装Keystone之前需要安装MySQL。如果MySQL尚未安装，请执行以下步骤安装配置MySQL：

MYSQL_ROOT_PASS=openstack
MYSQL_HOST=172.16.0.200
# To enable non-interactive installations of MySQL, set the following
echo "mysql-server-5.5 mysql-server/root_password password \　　$MYSQL_ROOT_PASS" | sudo debconf-set-selections
echo "mysql-server-5.5 mysql-server/root_password_again password \  $MYSQL_ROOT_PASS" | sudo debconf-set-selections
echo "mysql-server-5.5 mysql-server/root_password seen true" \  | sudo debconf-set-selections
echo "mysql-server-5.5 mysql-server/root_password_again seen true" \  | sudo debconf-set-selections  export DEBIAN_FRONTEND=noninteractive
sudo apt-get update
sudo apt-get -q -y install mysql-server
sudo sed -i "s/^bind\-address.*/bind-address = ${MYSQL_HOST}/g" \  /etc/mysql/my.cnf
sudo service mysql restart  mysqladmin -uroot password ${MYSQL_ROOT_PASS}  mysql -u root --password=${MYSQL_ROOT_PASS} -h localhost \  -e "GRANT ALL ON *.* to root@\"localhost\" IDENTIFIED BY \"${MYSQL_
ROOT_PASS}\" WITH GRANT OPTION;"  mysql -u root --password=${MYSQL_ROOT_PASS} -h localhost \  -e "GRANT ALL ON *.* to root@\"${MYSQL_HOST}\" IDENTIFIED BY
\"${MYSQL_ROOT_PASS}\" WITH GRANT OPTION;"  mysql -u root --password=${MYSQL_ROOT_PASS} -h localhost \  -e "GRANT ALL ON *.* to root@\"%\" IDENTIFIED BY \"${MYSQL_ROOT_
PASS}\" WITH GRANT OPTION;"  mysqladmin -uroot -p${MYSQL_ROOT_PASS} flush-privileges

接下来，请确保已经登录到OpenStack 身份认证服务器或者需要安装Keystone的OpenStack控制节点上，并且确保该服务器可以被其他的OpenStack主机访问到。

执行以下命令，登录到使用Vagrant创建的OpenStack 控制节点：

vagrant ssh controller

操作步骤
要安装OpenStack身份认证服务，需要执行如下指令。

1．安装OpenStack身份认证服务可通过指定安装Ubuntu资源库里的keystone软件包来完成。只需执行如下命令：

sudo apt-get update　　
sudo apt-get -y install keystone python-keyring

2．安装好之后，需要配置后台数据库存储。首先需要在MySQL里创建一个keystone数据库，按照如下步骤来执行（在本例中，假定MySQL的用户名是root，对应的密码是openstack，该用户有创建数据库的权限）：

MYSQL_ROOT_PASS=openstack　　
mysql -uroot -p$MYSQL_ROOT_PASS -e "CREATE DATABASE \ keystone;"

3．一个最佳实践是在数据库中为OpenStack身份认证服务单独创建一个特定的用户。创建命令如下：

MYSQL_KEYSTONE_PASS=openstack
mysql -uroot -p$MYSQL_ROOT_PASS -e "GRANT ALL PRIVILEGES　\ ON keystone.* TO 'keystone'@'%'"　　
mysql -uroot -p$MYSQL_ROOT_PASS -e "SET PASSWORD FOR \ 'keystone'@'%' = PASSWORD('$MYSQL_KEYSTONE_PASS');"

4．接下来，配置OpenStack身份认证服务来使用该数据库。编辑配置文件/etc/keystone/keystone.conf，修改sql_connection行来匹配数据库证书。命令如下所示：

MYSQL_HOST=172.16.0.200
sudo sed -i "s#^connection.*#connection = \ mysql://keystone:openstack@172.16.0.200/keystone#"  \ /etc/keystone/keystone.conf

5．超级用户admin的token在/etc/keystone/keystone.conf 文件中，需要配置该token。

sudo sed -i "s/^# admin_token.*/admin_token = ADMIN" \  /etc/keystone/keystone.conf

6．Grizzly版本发布后，Keystone支持PKI架构的token签名加密。如果不使用该功能，可编辑/etc/keystone/ keystone.conf文件，使用非签名的token。

sudo sed -i "s/^#token_format.*/token_format = UUID" \  /etc/keystone/keystone.conf

7．现在重启keystone服务。

sudo stop keystone
sudo start keystone

8．Keystone启动之后，用如下命令为keystone数据库填充必需的数据表：

sudo keystone-manage db_sync

提示

恭喜！现在已经为OpenStack环境安装好了OpenStack身份认证服务。
工作原理
通过使用Ubuntu的包，可以便捷地为OpenStack环境安装好OpenStack身份认证服务。安装完成之后，在MySQL数据库服务器中配置了keystone数据库，并且设置了keystone.conf文件来使用它。启动Keystone服务之后，运行keystone-manage db_sync命令来为keystone数据库填充合适的数据表，以方便向其中添加OpenStack环境中所必需的用户（user）、角色（role）和租户（tenant）。