openstack的keystone模块有用户管理和服务管理这两大块内容。这篇文章，先分析下用户管理。

一、概念理解

在讲用户管理，一定要先理解这三个概念：

• 用户（user）：现实生活中的你、我，他。在通俗点，就是一个人的账号名和密码。

openstack/keystone user-creat --name=xiaoming  --pass=password --email=xiaoming@qq,com

• 租户（tenant）：一个项目，也叫一个组织。一个租户里面，可以有一个或者多个用户。一个用户也可以属于不同租户。

openstack/keystone tenant-creat --name=ABC  --description="test"

• 角色(role)：在给定租户中用户可以操作的权限范围。

openstack/keystone role-creat --name=admin/_member_(openstack里面member前后各有一个下划线，很搞笑)

一般情况下，需要将用户、租户和角色关联起来，这样才能定义好。下面这个命令就是用户xiaoming在项目ABC里面具有_member_的权限。

keystone user-role-add --user=xiaoming --role=ABC --role=_member_

之前一直困恼我有个问题，就是角色到底有几种？原谅我是个实际派。是用户可以自己设置，还是openstack资源池统一预先设置。结合部署好的环境，我自己理解是openstack资源池里会统一定义好几种role，这块属于规划设计阶段的内容，并不对用户开放。

二、配置理解：

先来看一版部署环境中的user、tenant和role的设置。因为是已有环境且在neutron节点上查看的，需要先关联一个用户的环境变量。

#!/bin/sh

export LC_ALL=C

export OS_NO_CACHE='true'

export OS_TENANT_NAME='租户名'

export OS_PROJECT_NAME='租户名'

export OS_USERNAME='用户名'

export OS_PASSWORD='用户密码'

export OS_AUTH_URL='http://keystone的IP:5000/v2.0/'

export OS_AUTH_STRATEGY='keystone'

export OS_REGION_NAME='RegionOne'

export CINDER_ENDPOINT_TYPE='internalURL'

export GLANCE_ENDPOINT_TYPE='internalURL'

export KEYSTONE_ENDPOINT_TYPE='internalURL'

export NOVA_ENDPOINT_TYPE='internalURL'

export NEUTRON_ENDPOINT_TYPE='internalURL'

export OS_ENDPOINT_TYPE='internalURL'

export OS_VOLUME_API_VERSION=2

分别输入role是admin的用户和普通用户，来查看下通过keytone查看到的内容。

1、用admin用户

（1）查看user信息。可以查看到openstack资源池中的全部user信息。

[root@testn-controller ~]# keystone user-list

+----------------------------------+------------------------------------------------+---------+--------------------------------------+

|                id                |                      name                      | enabled |                email                 |

+----------------------------------+------------------------------------------------+---------+--------------------------------------+

| 8a0d7901a32a45448cea64f60d0ec38b |               0000500022502500               |   True  |             fsf@163.com             |

| 62cdd9cd7f054327b684e5560d518f7c |               00010022002761-112               |   True  |          zonghu@163.com          |

（2）查看tenant信息。可以查看到openstack资源池中的全部tenant信息。

[root@testn-controller ~]# keystone tenant-list

（3）查看role信息，可以发现有几个关键信息。

[root@testn-controller ~]# keystone role-list

+----------------------------------+------------------+

|                id                |       name       |

+----------------------------------+------------------+

| 9fe2ff9ee4384b1894awww78d3e92bab |     _member_     |

| 5d881fe3c6044357a9f09fa575fd6f5f |      admin       |

| ade7d991d9d740b0a8f540wwwb0296f | heat_stack_owner |

| 3f397a3d8c4940fd9fc9fff17d475fe8 | heat_stack_user  |

| 54a47b232bed4fceb52ff11c101206 |   tenant_admin   |

| ae48825c33f146ef9ffb30c4e5ef851a |       user       |

+----------------------------------+------------------+

（4）查看当前用户user所对应的tenant和role。

[root@testn-controller ~]# keystone user-role-list

+----------------------------------+-------+----------------------------------+----------------------------------+

|                id                |  name |             user_id              |            tenant_id             |

+----------------------------------+-------+----------------------------------+----------------------------------+

| 5d881fe3c604435fffffa575fd6f5f | admin | 64a80237dc464848566699263c481b37 | 3bd89ba6f56d4049ab05rrrre4656 |

+----------------------------------+-------+----------------------------------+----------------------------------+

在上面的命令下，只能查看当前用户的role。若是admin用户下，可以查看普通用户的role，需要使用这个命令：

[root@testn-controller ~]#keystone user-role-list --user 000220157100100111 --tenant 00022015710010111

+----------------------------------+--------------+----------------------------------+----------------------------------+

|                id                |     name     |             user_id              |            tenant_id             |

+----------------------------------+--------------+----------------------------------+----------------------------------+

| 9fe2ff9ee4384b192bab |   _member_   | fd5d743c873b8c06134 | 1fbffabf30ed4ea998cfe65e |

| 44ee8a6ad387486825e533a6 | tenant_admin | fd5d743cba038c06134 | 1fbffabf30ed4ea7708fe65e |

+-------------------------------------+

查看用户所对应的tenant。

[root@testn-controller ~]# keystone user-get userID

+----------+----------------------------------+

| Property |              Value               |

+----------+----------------------------------+

|  email   |                                  |

| enabled  |               True               |

|    id    | 64a80237dc4648488a6299263c481b37 |

|   name   |            lbaas-user            |

| tenantId | 3bd89ba6f56d4049ab05b56fd8de4656 |

| username |            lbaas-user            |

+----------+----------------------------------+

(5)查看用户获取到的token

[root@nfjd-testn-controller ~]# keystone token-get

/usr/lib/python2.7/site-packages/keystoneclient/shell.py:65: DeprecationWarning: The keystone CLI is deprecated in favor of python-openstackclient. For a Python library, continue using python-keystoneclient.

'python-keystoneclient.', DeprecationWarning)

+--

|  Property |                   Value   |

|  expires  |  2016-09-22T03:08:37Z                            |

|     id    | PKIZ_eJylWVl3qswSfe9fcd_P-lYYxMSH7wEFEWO3AZm63wQTZmPiwPDrbzWakznRe7OWa4mBprpq71274J9_4G-oGyb5zwgv-ME_CJumI1h0evvIzOQQEdWKRo_wW5WNRvp1b6Raeq056mwYF3GSx0NmYV2N9SpOzIdhnD-hJE-NQSUMh5URw4_W0DQX2mSbUp9kLCCtmW2uzbV9WErevvteFm0kewUbD5LVyOwjMzMr7NAd1vIdzqYu1sw-1uI-bqM9bqlMHFcy0yplQVItg2kRNWb_7TXoeBE-XbRa8pOXvpXO02kVGuOM-ckhNOwiSs0tRFKE5XjP73zfTHOIMENRWVQroziEKazMTyq9PfWnW8YXWdvNynfhtyI3s8cUO9OSafDJVIlIpkAMKiAq6Q1u9YZkdkJaqpB2ldAWp7PRFBYSC34hlRK482ZDfWW79Hvpw6JKaeDly8B-QEvf5okKzWIsWrJdrnRl7a43G5Z7o5WbrLFG5Jmrp0EgwBZIEa3ZhkqeRgM7CY3BGvGLYT9wB7sKpWK_muB0Xuwg2-M89Iu9500xj2I5sYVIezzMWl3Gaa8maY9Hvkcks_pzLZLno4GEFzxR04JJp5wUp-_5YM_4_0q4geE1kMjty8Lou5U_LXxKJC0hZwZuWEkV6uQSIlrUw5JZEW1YkFavsGbn1CEFPiayWkFFlj7x3LzipX1cTexqnt4csBM1s0yX0CwzW7zoSUR77JE26s1kWptrcQUXv8kLeQiNYr-Uu_zw_wn3wbCrEJSxFiMZgAL7Yw0PVUlC3-V3a9nfstXXHB9sMjwsfUXgaPRlDnd7B2VUvg3vFF2NHbfLB-H5SG9qXLIcPiXWqIxoZgksszPqwMmOKRFDl0mWy0QaZ7j5vSroY1m-qwp2dHGexTJprcMqMw8vsEZvcf0DrDdsxFmY5DQbZkyLW6y5CpS6QtjxEpZFPaLhGmdUxr4OJSUZZ2U08VLIfvZTdOin8M6JDj14wvZdicQBlE557kolcgLZSmR0Zc1CSaxWgV3w6CBvO0gkKFKpHFal_mOtvyq1k7NbeyS6yPaI66Si5giK6-YD2I23mGe5NHcoT17D_NUmlHr84sXxu3IXlm6X2BAUChQJkDf2Fg7PcpkIq4nanzWDuZ1v9Jlnj13Rns9ccucU9sIRamx7Zh8WV0h6JBjqpMqwWuLoNdO8fN5VgSUAKIlmLCWaVwKwRJLFkET1E8HQV_v6aVsfk45-yPqeBbYcytPnt1mHpBdQiYbnhSceXZL5r0iGOpaln1l2LsnQudr3rai-wpheDGOOBXRkmd4jvN8Zeg1aWDHHLlhpKVDCHLemTHwvZ-U4mxvT5CPJ0Hka8H1037a2c0nGgSSFIKyh70El3olqBhdAB57C79PBDDwDiGweGQPOgfbU0RLEDHETFh-5cFODtYAt0D3OcA21h-NO9hUu-7NMvVjSvmUleqHl16z8PRJ0ad2PZccNRy3N3AaBDvITM2bgHhdX7LstMwC6pd4S7XPdP5Ydfai7fKx7DnWH49Hv_ECvBJkOArAub0sVSPUmLHddyfj_VpOiOlLaTlbGGGwOKdA7roOpCmVWmGthe65rQd9DOG_mjvmrsKKLSug8KhgWfvWSJrQ235WZBmLhjxPcWgIkCMTUS7BEW7AxEtaKbO6oFeuM5lCkZb2h4uvN0K93-8WtoLd2ZemLCZPcdyaTSXUSluTbxKJz_SAktgcYaecaPWJkccQIulREP2ooulREP0aCXkI5O5IX564lOdNwDzHofDTDItFWGcwMEtMSWAgrcLcWvqdMoz8aTvS528Rg6XCvazZwDFsAW2txa1uRbAXN1i6JQRJebrBEIKpOBE0zkqkPAn6BQ2XGWKDeoAJ_MOiGKxDQ9XtikWRpjBu6-F5QuZ6iswTVeexhTa06H80FpvTWS3-w77yyezpwJKU4kkQRQMoBifW53Vmt8IeZABteShwqUodKtPQKYrgVDGIpaWNOsQz7Zo_PlSCunSr_OhO8N90vNzwqGDpPwsg2lHmDHTShPxa6_Z8Sjo4nJAUNrB2V2P4SOeNQR59npdNscIbV5_xB5xDo3aIvifZphdu8geYKkNTGANEEOJE3ANUCZyqMO2AunGGCtegiLkgcNFAe-VxYdw4FvAEHD1Qg-jAzexsYb3fgF2F6_xrS6AXT50IaopO6znxiKfqOpu9Y-gH_b-GP_hf8_zWnoGbof5EzUroNuHsFFCtHRLIqYpg9DB8quQonyty3RPCFBX-K8RtX0E_hnRMdutgbrNkhnHi7I5yVBL33hObFw9cXqnzkfDdon7ENdMmg_VX3-sGhxBXW-CSr_zgCoO-9YNRSR4dP3GPONKGZnWIJam8QoLLZYHBzc8PLEPW9swftr6K7yKl-NQKgb0a-Q1×××-hYQlS-F9E3Gvp_j33dkx8Ee_nUri7pVp8lTeN98LjoyQuCCXcblunQqUA3fFfAjiVwrSA-bRAM3tCudIH5pniU8s9e8GuFogKvBiKafvaABaFzfWyW_uvzRnT0gsqBSuRx-YsX-Eo30RfC2RIHPFPD5-le9VuC0aV6SJxTdz4tjk6ZrlnXmYYw-jBAXQRonOZzjRWk7Iw36J-XMUev6YdEozN6gXiyNxCNetETjA0zPNCAQrhfvJton1lQtCuD68R0gDq9g9knSruHzWIkdaJxwjzwwVeelv54z_viMaGDLXDkb59Ep0Z50gCz5pMbc7ACstXASFgR3-pBBxeZ7_Zoa0ngkyrSeuXLYogFLw7kb4gP0Gx3YK6aoDni4jWio0s5de5XIH315Jp3bGAljHd6Ol9v0yWEfWQpDF-ZyvXzEBpe2z2YNrOiZFxYsqJgjgVWHuTLiRVQXQUMOEiX1TInb2g5TnnofFtzbQzXkAw0URWIBsjjepepCit1ke-RaeDjfZoGgTh4cIyRSt0qjo2hGutDPK4qr9VnWM0NpIquDkZm5Hm41jIVD2PiwVl46Hl7qIiArV6lqVTzLGuiqZ4Xrkmx0vQ5ViuDX4tGcTX2fKVlgVUbmuofF8BYk1fyqlGKe2O8i4y6mJXkEFrmUP3wugTx9yXau3cs-nBoqXoc62rQ3gaiuu57wz8CNa_vtnWiPocjX05lUOkweNpeBWiX3vdGT_F1n_k7ocLLwZ_-XRaur-_zP9lyNo-A_cl8sRNzJ79fzhrdeKLXTV9YHp4P9cS4naD7vbg1U9nIb-jd3CbP9dOEhM8PxdXj0_yKWUNp2zbV8KlSHnZro324ax4DxcrDmWA-P61vyynKN8GsjSf-Tb3Uabar909_wu3CmdDBn-sr4WZFx6kx3bbalUhl199Xw6kWZsW1vmz2d1fCdo_aVawsWhzXlZz072a3nhmPZs0VoHBYp4sHW17I1_GkIGJwPYg1EVYIot1TeIvHjj5WFhK6u19IYTMOhq4ynzQ3yv5eThtVW_osiUb5xk9BmcSk3_eb7ULB8R9b_fdf1L3j0on2-r7rvwSZG9c= |

| tenant_id |     12fd2ff067b44f4ca231264a76977ac3   |

|  user_id  |      21117e39a227405d8dc5ee8c4678075f

2、用普通用户

就用下面的这个用户来查询。这个用户是一个全局的_member_角色，也是对应这个tenant的admin角色。在云数据中心，一般用户估计都是这样的设置。

[root@testn-controller ~]#keystone user-role-list --user 000220157100100111 --tenant 00022015710010111

+----------------------------------+--------------+----------------------------------+----------------------------------+

|                id                |     name     |             user_id              |            tenant_id             |

+----------------------------------+--------------+----------------------------------+----------------------------------+

| 9fe2ff9ee4384b192bab |   _member_   | fd5d743c873b8c06134 | 1fbffabf30ed4ea998cfe65e |

| 44ee8a6ad387486825e533a6 | tenant_admin | fd5d743cba038c06134 | 1fbffabf30ed4ea7708fe65e |

+-------------------------------------+

若是关联user000220157100100111来进行user、tenant和role的信息，发现返回全部是空，并提示说没有权限可以查询。user可以用keystone token-get查看到自己所对应的token。

三、使用说明：

可以有以下几种方式去访问或者使用keystone。

1、直接使用token环境变量

这个token是配置在/etc/keystone/keystone.conf里面.

admin_token=secrete_token

2、使用用户名、密码和租户名称环境变量