（三）云计算技术学习--OpenStack之KeyStone

一、Keystone的概述

Keystone是Openstack的组件之一，用于为Openstack家族中的其它组件成员提供统一的认证服务，包括身份验证，令牌的发放和校验，服务列表，用户权限的定义等。Openstack中任何组件均依赖与Keystone提供的服务。

二、Keystone的功能

用户与认证：用户权限与用户行为追踪。
服务目录：为每个组件服务提供一个可用的服务目录和相应的API入口端点。

三、Keystone基本概念

User

使用服务的用户，可以是人，服务或者系统，只要是使用了openstack服务的对象都可以称为用户。当User对OpenStack进行访问时，Keystone会对其身份进行验证。

Project

租户，可以理解为一个人、项目或者组织拥有的资源的合集。在一个租户中可以拥有很多个用户，这些用户可以根据权限的划分使用租户中的资源。

Token

指的是一串比特值或者字符串，用来作为访问资源的令牌。Token中含有可访问资源的范围和有效时间。

Role

角色，用于分配操作的权限。角色可以被指定给用户，使得该用户获得角色对应的操作权限。安全包含两部分：Authentication（认证）和 Authorization（鉴权）

Service

Openstack Service，即Openstack中运行的组件服务。nova，glance都是属于一个服务，需要在keystone上进行创建，指定类型。创建服务有一个服务，就创建一个endpoint，会根据服务类型去查找那个服务。Service 决定每个 Role 能做什么事情，Service 通过各自的 policy.json 文件对 Role 进行访问控制

Endpoint

一个可以通过网络来访问和定位某个Openstack Service的地址，通常是一个URL。例如，Nova需要访问Glance服务去获取Image时，Nova通过访问Keystone拿到Glance的Endpoint，然后通过访问该Endpoint去获取Glance服务，我们可以通过Endpoint的region属性去定义多个region。Endpoint该使用对象分为三类：

Admin URL：给admin用户使用，被从常规的访问中分离。
Internal URL：Openstack内部服务使用来跟别的服务通信，只能被局域网访问。
Public URL：其它用户可以访问的地址，可以被全局访问。
User 通过 Endpoint 访问资源和执行操作

Credentials

用于确认用户身份的凭证。

Authentication

确定用户身份的过程。

如果把宾馆比作为Openstack，那么宾馆的中央管理系统就是Keystone，入住宾馆的人就是User 。在宾馆中拥有很多不同的房间，房间提供了不同的服务（Service）。

在入住宾馆前，User需要给出身份证（Credential），中央管理系统（Keystone）在确认User的身份后（Authenticaiton），会给你一个房卡（Token）和导航地图（Endpoint）。

不同VIP（Role）级别的User，拥有不同权限的房卡（Token），如果你的VIP（Role）等级高，你可以享受到豪华的总统套房。

User拿着房卡（Token）和地图（Endpoint），就可以进入特定的房间去享受不同的Services。每一个服务（Services）中都拥有着一些特定资源（Project），例如，按摩服务中可以使用的精油种类和数量。User可以根据自己的权限来使用这些资源。

四、总结Keystone常见错误

401 #验证失败，keystone相关用户账户密码设置错误,时间不同步，或者输入的项目名称不对
403 #可能未初始化OS_token变量，需要使用source命令使其生效，也可能是配置的配置文件未生效，需要重启相关服务
409 #keystone创建用户，用户已存在
500 #服务器内部错误，服务配置有问题，看日志，检查配置
503 #keystone相关账户密码设置有问题，请将相关的glance账户删除，重新创建即可
服务故障 #相关服务没有起来

Keystone的配置/etc/keystone/keystone.conf总结：
①由于Keystone需要使用数据库，需要配置数据库的连接
②由于需要将token存储到memcache，减少对数据库的访问，需要配置memcached服务器地址和端口
③由于tonken的生成是基于某种算法，此处选用的是fernet方式，需要配置令牌提供者为fernet
④在选用memcache作为缓存token的方式，需要配置驱动方式（driver）