OpenStack服务组件01--keystone
2024-06-02 23:55:34
OpenStack服务组件01--keystone
- Keyston身份服务
- Keyston身份服务简介
- 1、主要功能：
- 2、管理对象
- 3、keystone认证过程
- Keystone身份服务组件安装
- 1、创建数据库实例和数据库用户
- 2.安装、配置keystone、数据库、Apache
- 1.安装keystone、apache
- 2.配置keystone
- 3.初始化数据库
- 4.初始化fernet密钥存储库
- 5.配置bootstrap身份认证服务
- 6.配置apache服务器
- 7.配置管理员账户的环境变量
- 8.查看当前所有用户列表
- 3、创建OpenStack 域、项目、用户和角色
- 1.创建一个项目
- 2.创建角色
- 3.验证认证服务
Keyston身份服务
keystone(OpenStack Identity Service)时OpenStack中的一个独立的提供安全认证的模块，主要辅助openstack用户的身份认证、令牌管理、提供访问资源的服务目录、以及基于用户角色的访问控制
Keyston身份服务简介
1、主要功能：
- 身份认证：对用户进行身份认证，并对应权限范围
- 用户授权(令牌管理权限)：以token令牌的方式标识用户对应拥有的权限范围
- 用户管理(寻址功能)：提供用户访问资源的寻址功能(URL)
- 服务目录：所有服务的交互/调用，均需要keyston进行认证
2、管理对象
- User：指使用Openstack service的用户，nova glance(跑在OpenStack里面，是需要一个用户进行管理的)
- Project(Tenant)：可以理解为一个人或服务所拥有的资源集合
- Role：用于划分权限，通过给User指定Role, 使User获得Role对应操作权限
- Authentication：确定用户身份的过程
- Token：是一个字符串表示，作为访问资源的令牌。Token包含了在指定范围和有效时间内可以被访问的资源
- Credentials：用于确认用户身份的凭证，用户的用户名和密码，或者是用户名和API密钥,或者身份管理服务提供的认证令牌。
- Service Openstack service, 即Openstack中运行的组件服务。如nova、swift、glance、 neutron、 cinder等
- Endpoint：一个可以通过网络来访问和定位某个Openstack service的地址,通常是一个URL(即apache的api (位置点))
3、keystone认证过程
- 1.user 登陆（keystone 认证）
- 2.user 进入控制台/命令行界面（位置点）
-3.user 发起创建虚拟的请求（向keystone认证指引位置点） - 4.请求到达nova组件（向keystone认证 ）
- 5.nova会开始执行请求，并且调用创建实例所需要的glance、neutron等资源（向keystone
认证，指引对应服务的位置点） - 6.glance和neutron 服务收到请求后（向keystone认证）才会给与nova对应的资源
- 7.nova 拿到资源后，调用对应资源，创建实例，最后将创建结果返回给用户（成功/ 失败/ 原因）
Keystone身份服务组件安装
1、创建数据库实例和数据库用户
[root@ct etcd]# mysql -uroot -p
Enter password: //123456
MariaDB [(none)]> show databases; //查看所有库
+--------------------+
| Database |
+--------------------+
| information_schema |
| mysql |
| performance_schema |
+--------------------+
3 rows in set (0.00 sec)//创建keystone库
MariaDB [(none)]> create database keystone;
Query OK, 1 row affected (0.00 sec)//给keystone用户提权（keystone库的所有权限）
MariaDB [(none)]> grant all privileges on keystone.* to 'keystone'@'localhost' identified by 'KEYSTONE_DBPASS';
Query OK, 0 rows affected (0.00 sec)MariaDB [(none)]> grant all privileges on keystone.* to 'keystone'@'%' identified by 'keystone_dbpass';
Query OK, 0 rows affected (0.00 sec)//刷新权限表，立即生效
MariaDB [(none)]> flush privileges;
Query OK, 0 rows affected (0.00 sec)//查看keystone用户的权限
MariaDB [(none)]> show grants for keystone;
+---------------------------------------------------------------------------------------------------------+
| Grants for keystone@% |
+---------------------------------------------------------------------------------------------------------+
| GRANT USAGE ON *.* TO 'keystone'@'%' IDENTIFIED BY PASSWORD '*FF724598B678F31550B345B58190004400A7665A' |
| GRANT ALL PRIVILEGES ON `keystone`.* TO 'keystone'@'%' |
+---------------------------------------------------------------------------------------------------------+
2 rows in set (0.00 sec)
2.安装、配置keystone、数据库、Apache
1.安装keystone、apache
mod_wsgi包的作用是让apache能够代理python程序的组件；openstack的各个组件，包括API都是用python写的，但访问的是apache，apache会把请求转发给python去处理,这些包只安装在controler节点
[root@ct ~]# yum -y install openstack-keystone httpd mod_wsgi
2.配置keystone
//将配置文件备份
[root@ct etcd]# cd /etc/keystone/
[root@ct keystone]# cp -a keystone.conf{,.bak}//过滤出不以$或#开头的行并覆盖配置文件文件
[root@ct ~]# grep -Ev "^$|#" /etc/keystone/keystone.conf.bak > /etc/keystone/keystone.conf//通过pymysql模块连接mysql。指定用户名密码、数据库的域名、数据库名
[root@ct ~]# openstack-config --set /etc/keystone/keystone.conf database connection mysql+pymysql://keystone:KEYSTONE_DBPASS@ct/keystone//指定token的提供者；提供者就是keystone自己本身
[root@ct ~]# openstack-config --set /etc/keystone/keystone.conf token provider fernet //Fernet：一种安全的消息传递格式
3.初始化数据库
//使用keystone的身份切换环境来执行操作
[root@ct ~]# su -s /bin/sh -c "keystone-manage db_sync" keystone
[root@ct keystone]# mysql -uroot -p
Enter password:
MariaDB [(none)]> use keystone
MariaDB [keystone]> show tables
4.初始化fernet密钥存储库
以下命令会生成两个密钥，生成的密钥放于/etc/keystone/目录下，用于加密数据
[root@ct ~]# keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone //生成密钥文件
[root@ct ~]# keystone-manage credential_setup --keystone-user keystone --keystone-group keystone //生成凭证文件
[root@ct ~]# ls /etc/keystone/
credential-keys fernet-keys keystone.conf.bak policy.json
default_catalog.templates keystone.conf logging.conf sso_callback_template.html
5.配置bootstrap身份认证服务
初始化openstack，会把openstack的admin用户的信息写入到mysql的user表中，以及url等其他信息写入到mysql的相关表中
[root@ct ~]# keystone-manage bootstrap --bootstrap-password ADMIN_PASS \
> --bootstrap-admin-url http://ct:5000/v3/ \
> --bootstrap-internal-url http://ct:5000/v3/ \
> --bootstrap-public-url http://ct:5000/v3/ \
> --bootstrap-region-id RegionOne
此步骤是：初始化openstack，会把openstack的admin用户的信息写入到mysql的user表中，以及url等其他信息写入到mysql的相关表中；
- admin-url：是管理网(如公有云内部openstack管理网络)，用于管理虚拟机的扩容或删除；如果共有网络和管理网是一个网络，则当业务量大时，会造成无法通过openstack的控制端扩容虚拟机，所以需要一个管理网；
- internal-url：是内部网络，进行数据传输，如虚拟机访问存储和数据库、zookeeper等中间件，这个网络是不能被外网访问的，只能用于企业内部访问
- public-url：是共有网络，可以给用户访问的(如公有云) #但是此环境没有这些网络，则公用同一个网络
5000端口：是keystone提供认证的端口
以下部分指的是openstack多节点的配置
#需要在haproxy服务器上添加一条listen
#各种网络的url需要指定controler节点的域名，一般是haproxy的vip的域名（高可用模式）
6.配置apache服务器
[root@ct ~]# echo "ServerName controller" >> /etc/httpd/conf/httpd.conf//让apache调用wsgi
[root@ct ~]# ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d///开机启动
[root@ct ~]# systemctl enable httpd
Created symlink from /etc/systemd/system/multi-user.target.wants/httpd.service to /usr/lib/systemd/system/httpd.service.//启动httpd
[root@ct ~]# systemctl start httpd
[root@ct ~]# netstat -antp | grep 80
tcp 0 0 192.168.220.111:2380 0.0.0.0:* LISTEN 30639/etcd
tcp 0 0 127.0.0.1:4369 127.0.0.1:39149 ESTABLISHED 28094/epmd
tcp6 0 0 :::80 :::* LISTEN 33577/httpd
7.配置管理员账户的环境变量
[root@ct ~]# vi ~/.bashrc
//添加以下内容
export OS_USERNAME=admin
export OS_PASSWORD=ADMIN_PASS
export OS_PROJECT_NAME=admin
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_DOMAIN_NAME=Default
export OS_AUTH_URL=http://ct:5000/v3
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2
[root@ct ~]# source ~/.bashrc
8.查看当前所有用户列表
[root@ct ~]# openstack user list
+----------------------------------+-------+
| ID | Name |
+----------------------------------+-------+
| 072f869badb6499b9601860d4e5a8a71 | admin |
+----------------------------------+-------+
3、创建OpenStack 域、项目、用户和角色
1.创建一个项目
[root@ct ~]# openstack project create --domain default --description "Service Project" service
+-------------+----------------------------------+
| Field | Value |
+-------------+----------------------------------+
| description | Service Project |
| domain_id | default |
| enabled | True |
| id | ed87dde26909437d950f7f92be4ba3cc |
| is_domain | False |
| name | service |
| options | {} |
| parent_id | default |
| tags | [] |
+-------------+----------------------------------+
//查看指定域
[root@ct ~]# openstack domain list
+---------+---------+---------+--------------------+
| ID | Name | Enabled | Description |
+---------+---------+---------+--------------------+
| default | Default | True | The default domain |
+---------+---------+---------+--------------------+
2.创建角色
[root@ct ~]# openstack role create user
+-------------+----------------------------------+
| Field | Value |
+-------------+----------------------------------+
| description | None |
| domain_id | None |
| id | 1e2d55ce128141a4afd9a1fa2b65616e |
| name | user |
| options | {} |
+-------------+----------------------------------+
//查看角色列表
[root@ct ~]# openstack role list
+----------------------------------+--------+
| ID | Name |
+----------------------------------+--------+
| 1e2d55ce128141a4afd9a1fa2b65616e | user |
| 481aa0aef123453b9c63f349fb0106bd | reader |
| 762205a4dc6d4033b7dab988f4282333 | member |
| 895052be419a488f839f7b8ef70580b0 | admin |
+----------------------------------+--------+
//admin为管理员，member：租户，user：用户
3.验证认证服务
查看是否可以不指定密码就可以获取到token信息（验证认证服务）
[root@ct ~]# openstack token issue
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| Field | Value |
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| expires | 2021-08-24T17:41:24+0000 |
| id | gAAAAABhJSE0FjnwrYvU4DwkJPrye4wEAeiEiZQ-GcF78A1wma4U9cGsQDpgFhPUhb7uDvDYPgJVHpXvkats1vO4V90OxpIC7YThQlS-qgI6vT3U2Wa-zDp4ZYPqBdcAzLyKMyC99gsUOvCyFyydpGzKZKvry9mJ7e0pbemowoohaiudwOXH3po |
| project_id | e09212b45eee4b0a91281c7c306cebe6 |
| user_id | 072f869badb6499b9601860d4e5a8a71 |
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
OpenStack服务组件01--keystone相关推荐
- （原创）OpenStack服务如何使用Keystone(三)---详细配置Keystone中间件
(一)Keystone端的操作 (二)如何在OpenStack服务上部署Keystone中间件 (三)详细配置keystonemiddleware 前文我们介绍了如何部署Keystone中间件以及中间 ...
- OpenStack服务组件介绍
OpenStack的版本 OpenStack的版本命名很有个性,每个主版本系列以字母表顺序(A~Z)来命名,以年份及当年内的排序做版本号. 比如第一个版本叫做Austin(2010.1),编号表明其 ...
- OpenStack（二）——Keystone组件
OpenStack(二)--Keystone组件 一.OpenStack组件之间的通信关系 二.OpenStack物理构架 三.Keystone组件 1.Keystone身份服务 2.管理对象 3.K ...
- OpenStack T版服务组件--Keyston身份服务
一,keyston 介绍 1.Keystone是OpenStack的组件之一, 用于为OpenStack家族中的其它组件成员提供统的认证服务,包括身份验证.令牌的发放和校验.服务列表.用户权限的定义等 ...
- (二)浅谈OpenStack T版服务组件--Keyston身份服务(#^.^#)
提示:文章写完后,目录可以自动生成,如何生成可参考右边的帮助文档 文章目录 一.Keyston身份服务简介 1.主要功能 2.管理对象 3.keystone认证过程 二.Keystone身份服务组件安 ...
- OpenStack Victoria版——6.2计算节点-Nova计算服务组件
6.2计算节点-Nova计算服务组件 更多步骤:OpenStack Victoria版安装部署系列教程 OpenStack部署系列文章 OpenStack Victoria版 安装部署系列教程 Ope ...
- Linux安装keystone认证服务,云计算系列：CentOS7.6系统部署安装OpenStack（三）-keystone服务–技术流ken...
浏览次数: 36,559 keystone做什么 管理用户及其权限 维护 OpenStack Services 的 Endpoint Authentication(认证)和 Authorization ...
- OpenStack pike版 安装openstack服务(4) 续安装openstack服务(3)
Compute service overview 计算服务概述 OpenStack用于对主机的计算和管理云计算系统.OpenStack的计算是一个基础设施即服务(IaaS)系统的一个重要组成部分.主要 ...
- OpenStack手动分布式部署Keystone【Queens版】
目录 Keystone简介 1.登录数据库配置(在controller执行) 1.1登录数据库 1.2数据库里创建keystone 1.3授权对keystone数据库的正确访问 1.4退出数据库 2. ...
最新文章
- Python机器学习——DBSCAN聚类
- 7.13. parallel - build and execute shell command lines from standard input in parallel
- cpython知乎_Numpy为什么可以用C语言写？
- 解决键盘老是不消失实现delegate委托实例化过程
- 安卓开发之路----转自任玉刚大神
- 群晖DS218+部署GitLab
- Win10配置ssh密钥免密连接Linux服务器
- CSS学习11：区块背景样式（布局图片）和用户交互图片
- 大数据解决方案，案例分享
- EMC——青青子衿，居易安信
- 智慧仓储：打造仓储管理一张图
- HDR视频色调映射算法（之六：Real-time automatic TMO）
- ShowWindow不起作用
- Python之数据库编程
- 【MATLAB教程案例26】图像特征点提取算法matlab仿真与分析——sift,surf,kaze,corner,BRISK等
- 程序员是怎么安排电脑桌面的
- android梦网物联卡信息,梦网物联云：实现智能穿戴只需一张物联网卡
- 神器如 dnSpy，无需源码也能修改 .NET 程序
- STM32 GPIOx_CRL/GPIOx_CRH 寄存器
- 适合影院的点播系统——点量OTT点播