1、Keystone的架构

Keystone(OpenStack Identity Service)是 OpenStack 框架中负责管理身份验证、服务规则和服务令牌功能的模块。Keystone作为Openstack的核心模块,为Nova(计算),Glance(镜像),Swift(对象存储),Cinder(块存储),Neutron(网络)以及Horizon(Dashboard)提供身份验证和授权服务。Keystone架构如图1-1所示。
openstack学习笔记之三:keystone安装部署_第1张图片

除了涉及到Keystone模块之外,还有KeystoneMiddleware子项目,KeystoneMiddleware是对Keystone提供的对令牌合法性进行验证的中间件,缓存了相关的证书和令牌信息。
Keystone项目本身,除了后端的数据库,主要包含了一个处理RestFful请求的API服务进程,这些API涵盖了Identity、Token、Catalogy和Plolicy提供的各种各种服务,不同的服务都是有相应的后端Driver(BackendDriver)来实现。

2、 Keystone的基本概念

 User
  User即用户,他们代表可以通过keystone进行访问的人、服务或程序。Users通过认证信息(credentials,如密码、API Keys等)进行验证。
 Tenant 新版叫Project
  Tenant即租户,它是各个服务中的一些可以访问的资源集合。例如,在Nova中一个tenant可以是一些机器,在Swift和Glance中一个tenant可以是一些镜像存储,在Neutron中一个tenant可以是一些网络资源。Users默认的总是绑定到某些tenant上。
 Role
  Role即角色,Roles代表一组用户可以访问的资源权限,例如Nova中的虚拟机、Glance中的镜像。Users可以被添加到任意一个全局的或租户的角色中。在全局的role中,用户的role权限作用于所有的租户,即可以对所有的租户执行role规定的权限;在租户内的role中,用户仅能在当前租户内执行role规定的权限。
 Service
Service即服务,如Nova、Glance、Swift。根据前三个概念(User,Tenant和Role)一个服务可以确认当前用户是否具有访问其资源的权限。但是当一个user尝试着访问其租户内的service时,他必须知道这个service是否存在以及如何访问这个service,这里通常使用一些不同的名称表示不同的服务。
 Endpoint
Endpoint,翻译为“端点”,我们可以理解它是一个服务暴露出来的访问点,如果需要访问一个服务,则必须知道他的endpoint。因此,在keystone中包含一个endpoint模板,这个模板提供了所有存在的服务endpoints信息。一个endpoint template包含一个URLs列表,列表中的每个URL都对应一个服务实例的访问地址,并且具有public、private和admin这三种权限。public url可以被全局访问(如http://compute.example.com),private url只能被局域网访问(如http://compute.example.local),admin url被从常规的访问中分离。
 Token
Token是访问openstack资源的钥匙。它是通过Keystone验证后的返回值,在之后的与其他服务交互中只需要携带Token值即可。用户已经确认身份后每个Token都有一个有效期,Token只在有效期内是有效的。

3、上述概念之间的关系

各种概念之间的关系如图1-2所示。
openstack学习笔记之三:keystone安装部署_第2张图片
图1-2 各个概念之间的关系
1、租户下,管理着一堆用户(人,或程序)。
2、每个用户都有自己的credentials(凭证)用户名+密码或者用户名+API key,或其他凭证。
3、用户在访问其他资源(计算、存储)之前,需要用自己的credential去请求keystone服务,获得验证信息(主要是Token信息)和服务信息(服务目录和它们的endpoint)。
4、用户拿着Token信息,就可以去访问特点的资源了。

4、keystone在Openstack中的工作流程实例

Keystone在OpenStack中的工作流程如图1-3所示。
openstack学习笔记之三:keystone安装部署_第3张图片
图1-3 keystone在OpenStack中的工作流程

5、实战:Keystone的手动搭建

备注:为方便操作,密码均使用openstack

5.1 控制节点的安装配置

数据库相关操作:
[root@controller ~]# mysql -uroot -popenstack <
安装相关包并配置
[root@controller ~]# yum -y install openstack-keystone httpd mod_wsgi -y
[root@controller ~]# vim /etc/keystone/keystone.conf 
[database] 
connection = mysql+pymysql://keystone:openstack@controller/keystone
[token] 
provider = fernet
初始化数据库,创建数据结构:
[root@controller ~]# su -s /bin/sh -c "keystone-manage db_sync" keystone
[root@controller ~]# mysql -hlocalhost -ukeystone -popenstack -e "use keystone;show tables;"
初始化fernet密钥存储库
[root@controller ~]# keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone 
[root@controller ~]# keystone-manage credential_setup --keystone-user keystone --keystone-group keystone
创建keystone的服务端口:
[root@controller ~]# keystone-manage bootstrap --bootstrap-password openstack --bootstrap-admin-url http://controller:35357/v3/  --bootstrap-internal-url http://controller:5000/v3/ --bootstrap-public-url  http://controller:5000/v3/  --bootstrap-region-id RegionOne
配置http 服务
[root@controller ~]# vim /etc/httpd/conf/httpd.conf 
ServerName controller
给/usr/share/keystone/wsgi-keystone.conf创建一个软连接(通过httpd发布)
[root@controller ~]# ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/
服务启动并设置开机自启
[root@controller ~]# systemctl enable httpd.service &&  systemctl start httpd.service
创建管理员账号
[root@controller ~]# vim admin_openrc
export OS_USERNAME=admin 
export OS_PASSWORD=openstack 
export OS_PROJECT_NAME=admin 
export OS_USER_DOMAIN_NAME=Default 
export OS_PROJECT_DOMAIN_NAME=Default 
export OS_AUTH_URL=http://controller:35357/v3 
export OS_IDENTITY_API_VERSION=3

5.2 创建域、项目、用户和角色

创建service租户
[root@controller ~]# source admin_openrc
[root@controller ~]# openstack project create --domain default --description "Service Project" service
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | Service Project                  |
| domain_id   | default                          |
| enabled     | True                             |
| id          | d83f6daf971b4e9986a0062187593b56 |
| is_domain   | False                            |
| name        | service                          |
| parent_id   | default                          |
| tags        | []                               |
+-------------+----------------------------------+
创建demo租户
[root@controller ~]# openstack project create --domain default --description "Demo Project" demo
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | Demo Project                     |
| domain_id   | default                          |
| enabled     | True                             |
| id          | f14a6d3761374969a246a0298c603ec3 |
| is_domain   | False                            |
| name        | demo                             |
| parent_id   | default                          |
| tags        | []                               |
+-------------+----------------------------------+
下面这句要分开执行,要输入密码:
创建用户
[root@controller ~]# openstack user create --domain default --password-prompt demo
User Password:
Repeat User Password:
+---------------------+----------------------------------+
| Field               | Value                            |
+---------------------+----------------------------------+
| domain_id           | default                          |
| enabled             | True                             |
| id                  | 24cb008774ef4261a615364101001f43 |
| name                | demo                             |
| options             | {}                               |
| password_expires_at | None                             |
+---------------------+----------------------------------+
[root@controller ~]# openstack role create user 
+-----------+----------------------------------+
| Field     | Value                            |
+-----------+----------------------------------+
| domain_id | None                             |
| id        | 754ea87392464f0e90dfac519d9002d5 |
| name      | user                             |
+-----------+----------------------------------+
将demo用户添加到demo角色中
[root@controller ~]# openstack role add --project demo --user demo user
[root@controller ~]# openstack user list
+----------------------------------+-------+
| ID                               | Name  |
+----------------------------------+-------+
| 24cb008774ef4261a615364101001f43 | demo  |
| 6b9ad33971ae453983f4290cb4c0c380 | admin |
+----------------------------------+-------+

openstack学习笔记之三:keystone安装部署_第4张图片

[root@controller ~]# openstack project list
+----------------------------------+---------+
| ID                               | Name    |
+----------------------------------+---------+
| d83f6daf971b4e9986a0062187593b56 | service |
| db82536ef7124608b3f3931ba4ce9615 | admin   |
| f14a6d3761374969a246a0298c603ec3 | demo    |
+----------------------------------+---------+

openstack学习笔记之三:keystone安装部署_第5张图片

[root@controller ~]# openstack role list
+----------------------------------+-------+
| ID                               | Name  |
+----------------------------------+-------+
| 754ea87392464f0e90dfac519d9002d5 | user  |
| c5930f0961104f12aaaab694bd5c8639 | admin |
+----------------------------------+-------+

openstack学习笔记之三:keystone安装部署_第6张图片

[root@controller ~]# openstack endpoint list
---------+-----------+-----------------------------+
| ID | Region | Service Name | Service Type | Enabled | Interface | URL |
---------+-----------+-----------------------------+
| 01ccfab5acb0407888620ca056f93dfe | RegionOne | keystone     | identity     | True    | admin     | http://controller:35357/v3/ |
| 4c2bd465260043039bcf7bf78776dd6b | RegionOne | keystone     | identity     | True    | internal  | http://controller:5000/v3/  |
| bdc34c7c99bb432eb13fa83a45d0065e | RegionOne | keystone     | identity     | True    | public    | http://controller:5000/v3/  |
---------+-----------+-----------------------------+

5.3 验证

[root@controller ~]# unset OS_AUTH_URL OS_PASSWORD
下面这句要分开执行,要输入admin用户的密码:
[root@controller ~]# openstack --os-auth-url http://controller:35357/v3 \
--os-project-domain-name Default \
--os-user-domain-name Default \
--os-project-name admin  \
--os-username admin token issue
Password: 
+------------+--------------------------------------------+
| Field      | Value                                    |
+------------+--------------------------------------------+
| expires    | 2020-03-16T16:37:24+0000                        |
| id         | gAAAAABeb5009UNgv97bPsYxet9Vz3UG6ywl3L-u04rJY1M7uO6Vq9NLhzejFLnEA6vcbR1nsmu5iVh0-Z32pm3p0UDSMgoAMirHcYnHaJXesly2Gh1tvnz5dKAzh31vbXW-gdMcGMxe7geqPmQMKSHKXmXFEN1F9H5elKw_eyNIhWCyCwe6_iA |
| project_id | db82536ef7124608b3f3931ba4ce9615 |
| user_id | 6b9ad33971ae453983f4290cb4c0c380 |
+------------+---------------------------------------------+
下面这句要分开执行,要输入demo用户的密码:
[root@controller ~]# openstack --os-auth-url http://controller:5000/v3 \
--os-project-domain-name Default \
--os-user-domain-name Default \
--os-project-name demo --os-username demo token issue
执行结果:
Password: 
+------------+------------------------------------------------+
| Field      | Value                                         |
+------------+--------------------------------------+
| expires    | 2020-03-16T16:37:58+0000                      |
| id         | gAAAAABeb51Wsct3Yi_BPrfj1isFihwQKgV_h-I1H8gvoT4Grvesol3lK_RqolZHV07eUd5l0HYrBBqdZaowJq_QbvzpjEtWG4BbyZlNg0mrI1zeIeAZZdkcdkQA7Pb9iZ7twqJtVuTsdd2z7SzoAcIqd47uMPjcHD-Veo2xRZRXtnCwDw1IlWE |
| project_id | f14a6d3761374969a246a0298c603ec3           |
| user_id    | 24cb008774ef4261a615364101001f43           |
+------------+------------------------------------------------------+

5.4 创建openstack客户端的脚本环境

创建管理员的账号
[root@controller ~]# vim admin_openrc
export OS_PROJECT_DOMAIN_NAME=Default 
export OS_USER_DOMAIN_NAME=Default 
export OS_PROJECT_NAME=admin 
export OS_USERNAME=admin 
export OS_PASSWORD=openstack
export OS_AUTH_URL=http://controller:35357/v3 
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2
创建demo用户的账号
[root@controller ~]# vim demo_openrc
export OS_PROJECT_DOMAIN_NAME=Default
export OS_USER_DOMAIN_NAME=Default 
export OS_PROJECT_NAME=demo 
export OS_USERNAME=demo 
export OS_PASSWORD=openstack
export OS_AUTH_URL=http://controller:5000/v3 
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2
使用脚本验证 
[root@controller ~]# source admin_openrc 
[root@controller ~]# openstack token issue
可获取token admin用户的token

openstack学习笔记之三:keystone安装部署_第7张图片

[root@controller ~]# source demo_openrc 
[root@controller ~]# openstack token issue
可以获取token demo用户的token

openstack学习笔记之三:keystone安装部署_第8张图片

至此完成keystone的安装,下一章节简介Glance 组件,以及它的安装过程