OpenStack认证服务(Identity service)

retgb

Chapter 3 OpenStack认证服务(Identity service)
3.1 认证服务的概念
OpenStack认证服务主要提供以下两种功能：
        跟踪用户及其权限
        通过API端点(endpoint)提供一组可用的服务

在安装认证服务后，需要为OpenStack其他服务进行注册，这样认证服务就能追踪哪些OpenStack服务已安装以及在网络中所处的位置。

需要了解一下OpenStack认证服务以下概念：
        用户：任何使用OpenStack云服务的用户、系统、服务的数字化表示。
        证书(credential)：确保用户身份的数据。例如用户名和密码的组合、用户名和API键(key)的组合等
        授权(authentication)：确认用户身份的过程
        令牌(token)：数字-文字文本串，用于访问OpenStack API和资源
        租户(tenant)：用于定义组或隔离资源的容器
        服务(service)：OpenStack各个服务名称
        终端(endpoint)：访问某个服务的URL地址
        角色(role)：定义用户权限、可执行的操作
        Keystone客户端(client)：OpenStack认证API的命令行接口

下图展示了OpenStack认证服务的处理流程：


3.2 安装配置OpenStack认证服务
3.2.1 配置预先环境
在安装配置OpenStack认证服务之前，需要创建相应的数据库和一个管理员令牌(token)：
[iyunv@controller ~]# mysql -uroot -piforgot
MariaDB [(none)]> CREATE DATABASE keystone;
MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' \
  IDENTIFIED BY 'keystonepw';
MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' \
  IDENTIFIED BY 'keystonepw';
MariaDB [(none)]> flush privileges;
[iyunv@controller ~]# openssl rand -hex 10
c63cfc6c7e303d4515e6

3.2.2 安装配置OpenStack认证服务组件
1. 安装相关软件包：
[iyunv@controller ~]# yum -y install openstack-keystone httpd mod_wsgi python-openstackclient memcached python-memcached

2. 启动Memcached服务并设置为开机自启：
[iyunv@controller ~]# systemctl start memcached
[iyunv@controller ~]# systemctl enable memcached

3. 编辑/etc/keystone/keystone.conf文件：
[iyunv@controller ~]# cp /etc/keystone/keystone.conf{,.bak}
[iyunv@controller ~]# > /etc/keystone/keystone.confs
[iyunv@controller ~]# vi /etc/keystone/keystone.conf
[DEFAULT]
admin_token = c63cfc6c7e303d4515e6
verbose = True

[database]
connection = mysql://keystone:keystonepw@controller/keystone

[memcache]
servers = localhost:11211

[token]
provider = keystone.token.providers.uuid.Provider
driver = keystone.token.persistence.backends.memcache.Token

[revoke]
driver = keystone.contrib.revoke.backends.sql.Revoke

4. 填充认证服务数据库：
[iyunv@controller ~]# su -s /bin/sh -c "keystone-manage db_sync" keystone

3.2.3 配置Apache HTTP服务
1. 修改/etc/httpd/conf/httpd.conf文件：
[iyunv@controller ~]# vi /etc/httpd/conf/httpd.conf
ServerName controller

2. 创建/etc/httpd/conf.d/wsgi-keystone.conf文件并添加以下内容：
[iyunv@controller ~]# vi /etc/httpd/conf.d/wsgi-keystone.conf
Listen 5000
Listen 35357

<VirtualHost *:5000>
    WSGIDaemonProcess keystone-public processes=5 threads=1 user=keystone group=keystone display-name=%{GROUP}
    WSGIProcessGroup keystone-public
    WSGIScriptAlias / /var/www/cgi-bin/keystone/main
    WSGIApplicationGroup %{GLOBAL}
    WSGIPassAuthorization On
    LogLevel info
    ErrorLogFormat "%{cu}t %M"
    ErrorLog /var/log/httpd/keystone-error.log
    CustomLog /var/log/httpd/keystone-access.log combined
</VirtualHost>

<VirtualHost *:35357>
    WSGIDaemonProcess keystone-admin processes=5 threads=1 user=keystone group=keystone display-name=%{GROUP}
    WSGIProcessGroup keystone-admin
    WSGIScriptAlias / /var/www/cgi-bin/keystone/admin
    WSGIApplicationGroup %{GLOBAL}
    WSGIPassAuthorization On
    LogLevel info
    ErrorLogFormat "%{cu}t %M"
    ErrorLog /var/log/httpd/keystone-error.log
    CustomLog /var/log/httpd/keystone-access.log combined
</VirtualHost>

3. 创建WSGI组件目录结构并导入相关内容，然后修改目录的属性和权限：
[iyunv@controller ~]# mkdir -p /var/www/cgi-bin/keystone
[iyunv@controller ~]# curl http://git.openstack.org/cgit/op ... ne.py?h=stable/kilo \
  | tee /var/www/cgi-bin/keystone/main /var/www/cgi-bin/keystone/admin
[iyunv@controller ~]# chown -R keystone:keystone /var/www/cgi-bin/keystone
[iyunv@controller ~]#  chmod 755 /var/www/cgi-bin/keystone/*

4. 启动httpd服务并设置为开机自启：
[iyunv@controller ~]# systemctl start httpd
[iyunv@controller ~]# systemctl enable httpd

3.3 创建服务实体(service entity)和API终端
OpenStack环境中各个服务都需要一个服务实体以及多个API终端。

3.3.1 配置预先环境
1. 配置认证令牌：
[iyunv@controller ~]# export OS_TOKEN=c63cfc6c7e303d4515e6

2. 配置终端URL：
[iyunv@controller ~]# export OS_URL=http://controller:35357/v2.0

3.3.2 创建认证服务所需的服务实体以及API终端
[iyunv@controller ~]# openstack service create \
  --name keystone --description "OpenStack Identity" identity
[iyunv@controller ~]# openstack endpoint create \
  --publicurl http://controller:5000/v2.0 \
  --internalurl http://controller:5000/v2.0 \
  --adminurl http://controller:35357/v2.0 \
  --region RegionOne \
  identity

3.4 创建项目名、用户以及角色
这里只创建与管理员相关的信息：
[iyunv@controller ~]# openstack project create --description "Admin Project" admin
[iyunv@controller ~]# openstack user create --password adminpw admin
[iyunv@controller ~]# openstack role create admin
[iyunv@controller ~]# openstack role add --project admin --user admin admin
[iyunv@controller ~]# openstack project create --description "Service Project" service

3.5 验证操作
这里不作介绍，请查看http://docs.openstack.org/kilo/i ... eystone-verify.html，注意，整个实验环境不会用到demo项目和用户。

3.6 创建OpenStack客户端环境脚本
创建admin项目和用户所需要的客户端环境脚本：
[iyunv@controller ~]# vi admin-openrc.sh
export OS_PROJECT_DOMAIN_ID=default
export OS_USER_DOMAIN_ID=default
export OS_PROJECT_NAME=admin
export OS_TENANT_NAME=admin
export OS_USERNAME=admin
export OS_PASSWORD=adminpw
export OS_AUTH_URL=http://controller:35357/v3
export OS_IMAGE_API_VERSION=2
注意，最后导入的环境变量表示镜像服务客户端使用API版本2.0。官方文档将这一变量在镜像服务章节加入的，这里提前介绍。