设为首页 收藏本站

运维网

 找回密码
 立即注册
查看: 1328|回复: 0

[经验分享] 4 云计算系列之Openstack简介与keystone安装

[复制链接]
搜ijsio

尚未签到
发表于 2017-6-25 09:31:15 | 显示全部楼层 |阅读模式
preface
　　KVM 是openstack虚拟化的基础， 再介绍了kvm虚拟化技术之后，我们介绍下openstack和如何搭建。

Openstack组件
　　openstack架构图如下所示
DSC0000.png

　　那么我们就拆开上面的图，分别说说下面组件:
　　
每个组件都是有特定功能，可谓缺一不可。
　　
那么我们就从这些组件娓娓道来：


  • keystone（服务名：认证服务）: 为访问openstack各组件提供认证和授权功能，认证通过后，提供一个服务列表（存放你有权访问的服务），可以通过该列表访问各个组件。
  • Horizon(服务名：Dashboard): web方式管理云平台，如建立云主机，分配网络，配安全组等
  • Nova（服务名：计算）： 负责响应虚拟机的创建请求，调度，销毁云主机
  • Neutron(服务名：网络)：实现SDN（software define network）,提供一整套API，用户可以基于该API实现自己定义专属的网络，不同的厂商可以基于此API实现自己的产品
  • swift（服务名：对象存储）： REST 的接口和扁平的数据组织结构。RESTful ， HTTP， API来保存和访问任意非结构化数据，ring环的方式实现数据自动复制和高度可以扩展架构，保证数据的高度容错和可靠性。
  • Cinder（服务名：块存储）：提供持久化块存储，即为云主机提供附加云盘。
  • Glance（服务名：镜像服务）：为云主机安装操作系统提供不同的镜像选择。
  • Ceilometer（服务名： 计费服务）：收集云平台资源使用数据，用来计费或者性能监控。
  • Heat(服务名：编排服务)：自动化部署应用，自动化管理应用的整个生命周期，主要用于pass
　　上面9个组件的关系图如下
　　
DSC0001.png
　　那就借助上图说说流程吧：


  • 首先我们如果要登陆到Horizon上面，此时Horzion会拿着用户登陆的username和password以及token去keystone里面认证，认证成功后根据用户信息划分对应的权限，然后返回给Horizon，实现登陆。
  • 然后登陆上一看啥都没有，那就创建一个虚拟机吧，创建虚拟机由Nova提供服务，需要注意的是Nova只提供虚拟机的虚拟化，其他网络设备虚拟机由Neutron提供。Nova首先向Glance请求，要求给对应的系统镜像，拿到镜像后开始向Neutron请求，请求相对应的虚拟网络设备（如虚拟交换机，虚拟路由器），网络设备就绪后，最后向块存储设备组件Cinder请求磁盘空间，需要注意的是，Cinder块存储是建立在Swift对象存储之上的。
  • 最终，所有服务就绪后，Nova开始创建虚拟机，虚拟机创建成功后，向Horizon返回创建成功的消息，前台展现出来创建的虚拟机。
keystone内部的知识再次补充
　　keystone内部组件：


  • user: openstack service的用户，可以是人，服务，系统，但凡是使用了Openstack service的对象都可以称为User。
  • Role: 用户划分权限，可以通过User指定Role，使User获得了Role对应的操作权限，Keystone返回给User的Token包含了Role列表，被访问的Services会判断访问它的User和User提供的Token中所包含的Role。系统默认使用管理Role admin和成员Role member 。
  • Policy：OPenstack对User的验证除了 op的身份验证外，还需要鉴别User对某个service是否有访问权限。Policy机制就是用来控制User对Tenant中的资源（包括service）的操作权限。对于keystone service来说，Policy就是一个json文件默认是/etc/keystone/policy.json。通过配置这个文件，Keystone Service实现了对User基于Role的权限管理。
  • Token:是一个字符串表示，作为访问资源的令牌。Token包含了在 指定范围和有效时间内 可以被访问的资源。EG. 在Nova中一个tenant可以是一些虚拟机，在Swift和Glance中一个tenant可以是一些镜像存储，在Network中一个tenant可以是一些网络资源。Token一般被User持有。
  • Gredentials: 用户确认用户身份的凭证
  • Authentication： 确定用户身份的进程
  • Service: Openstack service，即Openstack 中运行的组件服务。
  • EndPoint: 一个可以通过网络来访问和定位某个Openstack service的地址，通常是一个URL。比如，当Nova需要访问Glance服务去获取image 时，Nova通过访问Keystone拿到Glance的endpoint，然后通过访问该endpoint去获取Glance服务。我们可以通过Endpoint的region属性去定义多个region。Endpoint 该使用对象分为三类：　　
    1.admin url –> 给admin用户使用，Post：35357 2.internal url –> OpenStack内部服务使用来跟别的服务通信，Port：5000 3.public url –> 其它用户可以访问的地址，Post：5000

　　创建完service后创建API EndPoint. 在openstack中，每一个service都有三种end points. Admin, public, internal。 Admin是用作管理用途的，如它能够修改user/tenant(project)。 public 是让客户调用的，比如可以部署在外网上让客户可以管理自己的云。internal是openstack内部调用的。三种endpoints 在网络上开放的权限一般也不同。Admin通常只能对内网开放，public通常可以对外网开放internal通常只能对安装有openstack对服务的机器开放

keystone内部工作流程。
DSC0002.png



  • 用户alice登录keystone系统（password 或者 token的方式)，获取一个临时的token和catalog服务目录（v3版本登录时，如果没有指定scope，project或者domain，获取的临时token没有任何权限，不能查询project或者catalog）
  • alice通过临时的token获取自己的所有project列表，
  • alice选定一个project，然后在指定的project重新登陆，获取一个正式的token，同时获得服务列表的endpoint，用户选定一个endpoint，在http头部消息头中携带token，然后发送请求（如果用户指定projectname或者project>
  • 消息到达endpoint之后，由服务器端（nova）的keystone中间件了，向keystone发送一个验证token的请求。
  • keystone 验证token成功之后，将token对应用户的详细信息，例如:role,username,userid等返回给客户端（nova）。
  • 服务端（nova）完成请求，例如创建虚拟机。
  • 服务器返回请求结果给alice
动手安装
　　说了那么多，开始动手安装Openstack了,这里我们安装的Newton版
　　
参考官网的文档：http://docs.openstack.org/newton/install-guide-rdo/environment-packages.html
　　服务器信息还是原来的，我这里就在罗列下吧：

IP
hostname
192.168.56.11
linux-node1.example.com
192.168.56.12
linux-node2.example.com

  • 以上系统都是CentOs 7的系统，内核版本是3.10.0-123.el7.x86_64
  • 所有hosts文件都能够互相解析对方的主机名
  • 关闭selinux和防火墙，确保服务器时间都同步。
  • 我这里使用的是VMware，使用时必须开启cpu虚拟化功能。
  • 网卡命名为eth0，都是单张网卡。
  • 如果是在实验环境，那么linux-node1 内存配置建议4G以上，最好是6G，不然的话，越往后越卡的。CPU最好是双核。linux-node2 内存3G足以，CPU最好是双核。两台机器的硬盘最好是大于等于50G。
　　两台服务器同时安装Openstack库
　　
首先安装 OpenStack 仓库的RPM包
　　

[iyunv@linux-node2 ~]# yum -y install centos-release-openstack-newton　　
[iyunv@linux-node1 ~]# yum -y upgrade
　　

　　如果更新了一个新内核，重启主机来使用新内核。
　　
下面安装 OpenStack 客户端：
　　

[iyunv@linux-node1 ~]# yum -y install python-openstackclient　　
[iyunv@linux-node1 ~]# yum -y install openstack-selinux   # 如果关闭了selinux，就不需要安装它了。
　　

　　下面操作都是linux-node1上操作，控制节点

安装数据库
　　由于Openstack服务在控制节点上使用SQL数据库来存储信息，所以需要在控制节点上安装python2-pyMysql,模块。
　　

[iyunv@linux-node1 ~]# yum -y install mariadb mariadb-server python2-PyMySQL　　

　　安装完以后配置 配置文件
　　

[iyunv@linux-node1 my.cnf.d]# cat /etc/my.cnf.d/openstack.cnf　　
[mysqld]
　　
bind-address = 192.168.56.11   # 绑定当前的IP
　　

　　
default-storage-engine = innodb   # 使用Innodb存储引擎
　　
innodb_file_per_table   # 每一个表使用一个文件
　　
max_connections = 4096    # 最大连接数
　　
collation-server = utf8_general_ci  
　　
character-set-server = utf8  
　　

　　启动数据库服务并且初始化：
　　

[iyunv@linux-node1 my.cnf.d]# systemctl enable mariadb.service　　
Created symlink from /etc/systemd/system/multi-user.target.wants/mariadb.service to /usr/lib/systemd/system/mariadb.service.
　　
[iyunv@linux-node1 my.cnf.d]# systemctl start mariadb.service
　　
[iyunv@linux-node1 my.cnf.d]# mysql_secure_installation
　　

安装消息队列
　　OpenStack 使用 message queue 协调操作和各服务的状态信息。消息队列服务一般运行在控制节点上。OpenStack支持好几种消息队列服务包括 RabbitMQ, Qpid, 和 ZeroMQ。
　　
如果生产环境比较大且对数据安全要求高，那么rabbitmq也需要做集群。
　　

[iyunv@linux-node1 ~]# yum -y install rabbitmq-server　　

　　启动服务并设置为开机自启动：
　　

[iyunv@linux-node1 my.cnf.d]# systemctl enable rabbitmq-server.service　　
[iyunv@linux-node1 my.cnf.d]# systemctl start rabbitmq-server.service
　　

　　此时服务启动的时候我这边报了这样一个错误：
　　

[iyunv@linux-node1 rabbitmq]# systemctl status rabbitmq-server.service　　
1月 27 20:39:24 linux-node1.example.com rabbitmqctl[5344]: attempted to contact: ['rabbit@linux-node1']   # 注意这个linux-node1 主机名
　　
1月 27 20:39:24 linux-node1.example.com rabbitmqctl[5344]: rabbit@linux-node1:
　　
1月 27 20:39:24 linux-node1.example.com rabbitmqctl[5344]: * unable to connect to epmd (port 4369) on linux-node1: address (cannot connect to host/port)
　　

　　找了半天的原因，发现是主机名解析的问题，我们在/etc/hosts下面写下上面报错的主机名（@符后面的）
　　

[iyunv@linux-node1 rabbitmq]# cat /etc/hosts　　
192.168.56.11    linux-node1.example.com linux-node1   # linux-node1 添加上这个
　　
192.168.56.12    linux-node2.example.com
　　

　　这样启动成功了
　　添加 openstack 用户，因为rabbitmq连接需要用户认证：
　　

[iyunv@linux-node1 my.cnf.d]# rabbitmqctl add_user openstack openstack　　

　　配置读写权限：
　　

[iyunv@linux-node1 my.cnf.d]# rabbitmqctl set_permissions openstack ".*" ".*" ".*"   # 所有域，所有读写权限　　
Setting permissions for user "openstack" in vhost "/" ...
　　

　　rabbitmq默认情况下有一个web界面监控的插件，我们可以通过rabbitmq-plugins命令查看：
　　

[iyunv@linux-node1 my.cnf.d]# rabbitmq-plugins list　　rabbitmq_management    #这个模块就是管理模块。
　　
[iyunv@linux-node1 my.cnf.d]# rabbitmq-plugins enable rabbitmq_management　　　#　启用这个模块
　　

　　
[iyunv@linux-node1 my.cnf.d]# lsof -i :5672　　　　　　#　查看这个模块是否启动成功了

　　
COMMAND    PID     USER   FD   TYPE DEVICE>　　
beam.smp 31056 rabbitmq   52u  IPv6 142556      0t0  TCP *:amqp (LISTEN)
　　

　　此时，我们可以通过web界面来访问rabbitmqweb界面了。访问地址：http://192.168.56.11:15672/，默认用户名和密码是guest/guest

Memcached
　　各类服务的身份认证机制使用Memcached缓存令牌。缓存服务memecached通常运行在控制节点。所以需要安装Memcache。
　　
安装它
　　

[iyunv@linux-node1 ~]# yum -y install memcached python-memcached　　

　　编辑配置文件：
　　

[iyunv@linux-node1 keystone]# cat /etc/sysconfig/memcached　　
PORT="11211"
　　
USER="memcached"
　　
MAXCONN="1024"
　　
CACHESIZE="64"    # 内存使用，单位为M
　　
OPTIONS="-l 192.168.56.11,::1"    # 这里改为本地IP，不然只监听127.0.0.1
　　

　　启动服务：
　　

[iyunv@linux-node1 keystone]# systemctl enable memcached.service　　
[iyunv@linux-node1 keystone]# systemctl start memcached.service
　　

　　检测端口是否存活：
　　

[iyunv@linux-node1 keystone]# netstat -lntp |grep 11211　　
tcp        0      0 192.168.56.11:11211     0.0.0.0:*               LISTEN      35087/memcached
　　

安装keystone服务
　　keystone有2个重要功能：


  • 用户认证　　


  • 服务目录（api,端口）
　　用户认证四个概念：


  • User(用户) 即用户，用一个ID代表Openstack云服务的一个人，系统或服务。
  • project(项目)
  • tenant(租户) 通俗来说一个用户组，严谨点它就是各个服务中的一些资源可以访问的资源集合或者叫资源组。它是一个容器，用于组织和隔离资源，或标识对象
  • Token(令牌) 用户认证成功后，keystone发一个令牌给请求者，请求者在这个令牌有效期内可以不在请求keystone了。
  • Role(角色) 也就是权限，在一个项目里的权限，
　　user可以任意添加一个全局的或者项目内的角色。在全局的role中，用户的role权限作用于所有的租户，即可以对所有哦的租户执行role规定的权限；在租户内的role中，用户仅能在当前用户内执行role规定的权限。

租户和用户的关系：


  • 一个租户可以有多个用户
  • 一个用户可以属于一个多个租户
  • 用户对租户和操作权限由用户在租户中担任的角色来决定。
　　服务目录2个概念


  • Service(服务) 比如Nova，glance都是服务，在keystone创建一个服务，需要申明是什么服务，什么类型的服务。老的Openstack版本是这样的：创建一个服务后获取这个服务ID去创建endpoint，现在版本是创建一个服务自动创建一个endpoint，所以创建一个服务不能多，不能少，不能错，不然就出错。一个服务可以确认当前用户是否具有访问其资源的权限。但是一个user尝试访问其租户内的service时，他必须知道这个service是否存在以及如何访问这个servic。
  • Endpoint(端点) 我们可以理解它是一个服务暴露出来的访问点，如果需要访问一个服务，则必须知道他的endpoint。endpoint的每个URL都对应这个服务实例的访问地址，并且具有public，priavte和admin这三种权限。public rul可以完全被全局访问，private url只能被局域网访问，admin url被从常规的访问中分离。
　　创建数据库信息和授权用户，提前把所有数据库给创建好来，避免待会又得创建：
　　

[iyunv@linux-node1 my.cnf.d]# mysql -uroot -p   # 登陆数据库　　

　　
# 先创建库
　　
MariaDB [(none)]> CREATE DATABASE keystone;
　　
MariaDB [(none)]> CREATE DATABASE glance;
　　
MariaDB [(none)]> CREATE DATABASE nova;
　　
MariaDB [(none)]> CREATE DATABASE nova_api;
　　
MariaDB [(none)]> CREATE DATABASE neutron;
　　
MariaDB [(none)]> CREATE DATABASE cinder;
　　
# 授权用户

　　
MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' >
　　
MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%'   >
　　
MariaDB [(none)]> GRANT ALL PRIVILEGES ON glance.* TO 'glance'@'%'   >
　　
MariaDB [(none)]> GRANT ALL PRIVILEGES ON glance.* TO 'glance'@'localhost'   >
　　
MariaDB [(none)]> GRANT ALL PRIVILEGES ON nova.* TO 'nova'@'localhost'   >
　　
MariaDB [(none)]> GRANT ALL PRIVILEGES ON nova.* TO 'nova'@'%'   >
　　
MariaDB [(none)]> GRANT ALL PRIVILEGES ON nova_api.* TO 'nova'@'%'   >
　　
MariaDB [(none)]> GRANT ALL PRIVILEGES ON nova_api.* TO 'nova'@'localhost'   >
　　
MariaDB [(none)]> GRANT ALL PRIVILEGES ON neutron.* TO 'neutron'@'localhost'   >
　　
MariaDB [(none)]> GRANT ALL PRIVILEGES ON neutron.* TO 'neutron'@'%'   >
　　
MariaDB [(none)]> GRANT ALL PRIVILEGES ON cinder.* TO 'cinder'@'%'   >
　　
MariaDB [(none)]> GRANT ALL PRIVILEGES ON cinder.* TO 'cinder'@'localhost'   >　　
MariaDB [(none)]> show databases;
　　
+--------------------+
　　
| Database           |
　　
+--------------------+
　　
| cinder             |
　　
| glance             |
　　
| information_schema |
　　
| keystone           |
　　
| mysql              |
　　
| neutron            |
　　
| nova               |
　　
| nova_api           |
　　
| performance_schema |
　　
+--------------------+
　　

　　

　　此时需要安装keystone服务了在控制节点上
　　

[iyunv@linux-node1 ~]# yum install openstack-keystone httpd mod_wsgi　　

　　编辑配置文件/etc/keystone/keystone.conf，修改数据库部分,在[database]下面配置：
　　

[iyunv@linux-node1 keystone]# grep ^connection /etc/keystone/keystone.conf　　
[database]
　　
connection = mysql+pymysql://keystone:keystone@192.168.56.11/keystone
　　

　　配置完数据库后，那么就初始化数据库，
　　
一定要切换成keystone用户，如果不切换，那么keystone服务启动时会有问题，比如日志会写不了，因为你用root初始化数据库，日志最初有root创建，启用程序的时候使用keystone启动，那么keystone会因为权限的问题无法写入。
　　

[iyunv@linux-node1 keystone]# su -s /bin/sh -c "keystone-manage db_sync" keystone　　
[iyunv@linux-node1 keystone]# mysql -h 192.168.56.11 -ukeystone -pkeystone -e "use keystone;show tables;"    # 检查下是否有这么多个表
　　
+------------------------+
　　
| Tables_in_keystone     |
　　
+------------------------+
　　
| access_token           |
　　
| assignment             |
　　
| config_register        |
　　
| consumer               |
　　
| credential             |
　　
| endpoint               |
　　
| endpoint_group         |
　　
| federated_user         |
　　
| federation_protocol    |
　　
| group                  |

　　
|>
　　
|>
　　
|>　　
| implied_role           |
　　
| local_user             |
　　
| mapping                |
　　
| migrate_version        |
　　
| nonlocal_user          |
　　
| password               |
　　
| policy                 |
　　
| policy_association     |
　　
| project                |
　　
| project_endpoint       |
　　
| project_endpoint_group |
　　
| region                 |
　　
| request_token          |
　　
| revocation_event       |
　　
| role                   |
　　
| sensitive_config       |
　　
| service                |
　　
| service_provider       |
　　
| token                  |
　　
| trust                  |
　　
| trust_role             |
　　
| user                   |
　　
| user_group_membership  |
　　
| whitelisted_config     |
　　
+------------------------+
　　
[iyunv@linux-node1 keystone]# mysql -h 192.168.56.11 -ukeystone -pkeystone -e "use keystone;show tables;" |wc -l   # 共38行
　　
38
　　

　　继续在/etc/keystone/keystone.conf 下配置
　　
在[token]部分，配置Fernet UUID令牌的提供者
　　

provider = fernet   # 在2657 行附近，一定要在token部分下面　　
driver = memcache  # 在2668 行附近，也要在token下面，这里表示token放在Memcache中。所以下面也需要配置memccache
　　

　　配置Memcache，,在[memcache]下面配置
　　

[iyunv@linux-node1 keystone]# grep ^server /etc/keystone/keystone.conf　　
servers = 192.168.56.11:11211   
　　

初始化Fernet key
　　下面两条命令执行完以后没有任何显示。
　　

[iyunv@linux-node1 keystone]# keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone　　
[iyunv@linux-node1 keystone]# keystone-manage credential_setup --keystone-user keystone --keystone-group keystone
　　

　　初始化身份认证,创建admin用户，以及endpoint分配等等：
　　

[iyunv@linux-node1 keystone]# keystone-manage bootstrap --bootstrap-password admin \　　
>   --bootstrap-admin-url http://192.168.56.11:35357/v3/ \
　　
>   --bootstrap-internal-url http://192.168.56.11:35357/v3/ \
　　
>   --bootstrap-public-url http://192.168.56.11:5000/v3/ \
　　
>   --bootstrap-region-id RegionOne
　　

　　可以在数据库mysql里面看看：
　　

MariaDB [(none)]> use keystone;　　
MariaDB [keystone]> select * from user;
　　
MariaDB [keystone]> select * from role
　　
MariaDB [keystone]> select * from endpoint;
　　

　　配置并启动apache
　　

[iyunv@linux-node1 keystone]# vim /etc/httpd/conf/httpd.conf　　
ServerName 192.168.56.11:80   #配置``ServerName`` 选项为控制节点：
　　
[iyunv@linux-node1 keystone]# ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/    #创建一个链接到``/usr/share/keystone/wsgi-keystone.conf``文件
　　

　　启动 Apache HTTP 服务并配置其随系统启动：
　　

[iyunv@linux-node1 keystone]#systemctl enable httpd.service　　
[iyunv@linux-node1 keystone]#systemctl start httpd.service
　　

　　apache启动完成后，不需要启动keystone，因为我们可以看到配置文件/usr/share/keystone/wsgi-keystone.conf，这里就开启了5000和35357端口，两个端口都是keystone所占用的。
　　配置环境变量：
　　
为什么要创建环境变量：如果没有环境变量，我们无法使用Openstack这些命令查询信息，因为这些Openstack的命令会去系统环境变量上获取参数。等价与我们使用Openstack添加了这些参数一样
　　

[iyunv@linux-node1 keystone]# export OS_USERNAME=admin　　
[iyunv@linux-node1 keystone]# export OS_PASSWORD=admin
　　
[iyunv@linux-node1 keystone]# export OS_PROJECT_NAME=admin
　　
[iyunv@linux-node1 keystone]# export OS_USER_DOMAIN_NAME=default   #相当于公有云的分区
　　
[iyunv@linux-node1 keystone]# export OS_PROJECT_DOMAIN_NAME=default
　　
[iyunv@linux-node1 keystone]# export OS_AUTH_URL=http://192.168.56.11:35357/v3
　　
[iyunv@linux-node1 keystone]# export OS_IDENTITY_API_VERSION=3   # keystone验证版本
　　
[iyunv@linux-node1 keystone]# openstack user list
　　
+----------------------------------+-------+

　　
|>　　
+----------------------------------+-------+
　　
| 54f2e8a7f28b42178692ae39f7ed9b37 | admin |
　　
+----------------------------------+-------+
　　

　　
###
　　
export OS_USERNAME=admin
　　
export OS_PASSWORD=admin
　　
export OS_PROJECT_NAME=admin
　　
export OS_USER_DOMAIN_NAME=default   #相当于公有云的分区
　　
export OS_PROJECT_DOMAIN_NAME=default
　　
export OS_AUTH_URL=http://192.168.56.11:35357/v3
　　
export OS_IDENTITY_API_VERSION=3   # keystone验证版本
　　
###
　　

创建域、项目、用户和角色
　　创建domain和服务。
　　
创建一个default domain 和 service
　　
创建一个default domain 和 demo
　　

[iyunv@linux-node1 keystone]# openstack project create --domain default   --description "Service Project" service　　
openstack project create --domain default \
　　
>   --description "Demo Project" demo
　　

　　创建用户：
　　

[iyunv@linux-node1 keystone]# openstack user create --domain default \　　
>   --password-prompt demo
　　

　　

　　创建角色：
　　

[iyunv@linux-node1 keystone]# openstack role create user　　

　　添加 user角色到demo 项目和用户：
　　

[iyunv@linux-node1 keystone]# openstack role add --project demo --user demo user　　

　　上面的命令是说把demo用户添加到demo项目里，并赋予user角色。
　　现在为了后续的方便，先把所有用户一次性创建完成：
　　

#添加glance用户　　
[iyunv@linux-node1 keystone]# openstack user create --domain default   --password-prompt glance   # 密码为glance
　　
[iyunv@linux-node1 keystone]# openstack role add --project service --user glance  admin  # 把glance用户添加到service项目里并赋予admin权限
　　

　　
# 添加nova用户
　　
[iyunv@linux-node1 keystone]# openstack user create --domain default   --password-prompt nova
　　
[iyunv@linux-node1 keystone]# openstack role add --project service --user nova admin
　　

　　
# 添加neutron
　　

　　
[iyunv@linux-node1 keystone]# openstack user create --domain default   --password-prompt neutron
　　
[iyunv@linux-node1 keystone]# openstack role add --project service --user neutron admin
　　

　　

　　
# 添加cinder
　　
[iyunv@linux-node1 keystone]# openstack user create --domain default --password-prompt cinder
　　
[iyunv@linux-node1 keystone]# openstack role add --project service --user cinder admin
　　

　　
#创建完后查看下状态：
　　
[iyunv@linux-node1 keystone]# openstack user list
　　
+----------------------------------+---------+

　　
|>　　
+----------------------------------+---------+
　　
| 00f8c9ca79f542d7b4a8e0582f2351b7 | glance  |
　　
| 1077bb04680840a688b62e10b0d58a7e | neutron |
　　
| 1b24326bb39249bb9bec94f6fa63a12f | cinder  |
　　
| 54f2e8a7f28b42178692ae39f7ed9b37 | admin   |
　　
| 6895ff530fd24df08e289810fbce482b | demo    |
　　
| 8e4927503d1340a6aa3ca23bd91b08bf | nova    |
　　
+----------------------------------+---------+
　　
[iyunv@linux-node1 keystone]# openstack project list
　　
+----------------------------------+---------+

　　
|>　　
+----------------------------------+---------+
　　
| 56e47b93480d4d169bca387817d99e43 | demo    |
　　
| 6197e636277d41ce8b0a835fbca4f87a | admin   |
　　
| e145c7d7baa249e9b8fde5865ff50fee | service |
　　
+----------------------------------+---------+
　　
[iyunv@linux-node1 keystone]# openstack role list
　　
+----------------------------------+-------+

　　
|>　　
+----------------------------------+-------+
　　
| 2d8454e77ffb405c9a489d67ae700a20 | admin |
　　
| c0fa2079f4924a6da71ef6b4b9df042e | user  |
　　
+----------------------------------+-------+
　　

验证操作
　　因为安全性的原因，关闭临时认证令牌机制，同时取消刚才设置的系统变量
　　
首先使用admin用户去访问
　　

[iyunv@linux-node1 keystone]# unset OS_AUTH_URL OS_PASSWORD　　
[iyunv@linux-node1 keystone]#  openstack --os-auth-url http://192.168.56.11:35357/v3   --os-project-domain-name default --os-user-domain-name default   --os-project-name admin --os-username admin token issue
　　
Password:     # 输入admin用户的密码
　　
+------------+-------------------------------------------------------------------------------------------------------------------------------------------------------------------+
　　
| Field      | Value                                                                                                                                                             |
　　
+------------+-------------------------------------------------------------------------------------------------------------------------------------------------------------------+
　　
| expires    | 2017-01-02 15:22:14+00:00                                                                                                                                         |

　　
|>　　
|            | Q94JrG2nOQOTr3L6VlGyHBez0GqxrkxHobJ_IKNhiN3pdNsBBzZbRi6DLEfcwZoTKluF3ae6BvVz2wOJ7Ohn2piZ3yVjv50Hzgg2ls92RuEun4zTO7HeIt-lfJ6Hxs5Lo                                 |
　　
| project_id | 6197e636277d41ce8b0a835fbca4f87a                                                                                                                                  |
　　
| user_id    | 54f2e8a7f28b42178692ae39f7ed9b37                                                                                                                                  |
　　
+------------+-------------------------------------------------------------------------------------------------------------------------------------------------------------------+
　　

　　返回结果说明正常，如果返回是401错误，那是说明身份验证出错。
　　再次使用demo普通用户访问，普通用户通过5000端口访问 ：
　　

[iyunv@linux-node1 keystone]# openstack --os-auth-url http://192.168.56.11:5000/v3 \　　
>   --os-project-domain-name default --os-user-domain-name default \
　　
>   --os-project-name demo --os-username demo token issue
　　
Password:
　　
+------------+---------------------------------------------------------------------------------------------------------------------------------------------------------------------+
　　
| Field      | Value                                                                                                                                                               |
　　
+------------+---------------------------------------------------------------------------------------------------------------------------------------------------------------------+
　　
| expires    | 2017-01-02 15:26:28+00:00                                                                                                                                           |

　　
|>　　
|            | KjKXn6qg9CHBWXb22pyYDt7ms                                                                                                                                           |
　　
| project_id | 56e47b93480d4d169bca387817d99e43                                                                                                                                    |
　　
| user_id    | 6895ff530fd24df08e289810fbce482b                                                                                                                                    |
　　
+------------+---------------------------------------------------------------------------------------------------------------------------------------------------------------------
　　

　　返回结果说明正常。

创建Openstack客户端环境脚本：
　　为了简化我们输入命令的长度，我们可以把刚才那些参数写入脚本里面，这样在执行的时候直接source下脚本，然后执行命令openstack token issue就可以获取token了。如下所示：
　　
先看脚本内容：
　　

[iyunv@linux-node1 ~]# cat admin_openrc　　
export OS_PROJECT_DOMAIN_NAME=default
　　
export OS_USER_DOMAIN_NAME=default
　　
export OS_PROJECT_NAME=admin
　　
export OS_USERNAME=admin
　　
export OS_PASSWORD=admin
　　
export OS_AUTH_URL=http://192.168.56.11:35357/v3
　　
export OS_IDENTITY_API_VERSION=3
　　
export OS_IMAGE_API_VERSION=2
　　

　　
[iyunv@linux-node1 ~]# cat demo_openrc
　　
export OS_PROJECT_DOMAIN_NAME=default
　　
export OS_USER_DOMAIN_NAME=default
　　
export OS_PROJECT_NAME=demo
　　
export OS_USERNAME=demo
　　
export OS_PASSWORD=demo
　　
export OS_AUTH_URL=http://192.168.56.11:5000/v3
　　
export OS_IDENTITY_API_VERSION=3
　　
export OS_IMAGE_API_VERSION=2
　　

　　

　　再看在这脚本基础之上执行命令openstack token issue：
　　

[iyunv@linux-node1 ~]# source admin_openrc　　
[iyunv@linux-node1 ~]# openstack token issue
　　
+------------+---------------------------------------------------------------------------------------------------------------------------------------------------------------------+
　　
| Field      | Value                                                                                                                                                               |
　　
+------------+---------------------------------------------------------------------------------------------------------------------------------------------------------------------+
　　
| expires    | 2017-01-02 15:34:11+00:00                                                                                                                                           |

　　
|>　　
|            | 28cZgfA_5PIeAY2YgganfFpaM7i3XP0I1RwBdfixZb_0oT4rx78yqtcGnzAaQmx9KzwdrvOzEUtdd7LC3-Ld3MKfVQbe3WyNuIUMOhYWRnZuYF4bqm6Dk                                               |
　　
| project_id | 6197e636277d41ce8b0a835fbca4f87a                                                                                                                                    |
　　
| user_id    | 54f2e8a7f28b42178692ae39f7ed9b37                                                                                                                                    |
　　
+------------+---------------------------------------------------------------------------------------------------------------------------------------------------------------------+
　　
[iyunv@linux-node1 ~]# source demo_openrc
　　
[iyunv@linux-node1 ~]# openstack token issue
　　
+------------+---------------------------------------------------------------------------------------------------------------------------------------------------------------------+
　　
| Field      | Value                                                                                                                                                               |
　　
+------------+---------------------------------------------------------------------------------------------------------------------------------------------------------------------+
　　
| expires    | 2017-01-02 15:34:25+00:00                                                                                                                                           |

　　
|>　　
|            | uaCLPYTzFDSNM37okCm4                                                                                                                                                |
　　
| project_id | 56e47b93480d4d169bca387817d99e43                                                                                                                                    |
　　
| user_id    | 6895ff530fd24df08e289810fbce482b                                                                                                                                    |
　　
+------------+---------------------------------------------------------------------------------------------------------------------------------------------------------------------+
　　

运维网声明 1、欢迎大家加入本站运维交流群:群②:261659950 群⑤:202807635 群⑦870801961 群⑧679858003
2、本站所有主题由该帖子作者发表，该帖子作者与运维网享有帖子相关版权
3、所有作品的著作权均归原作者享有，请您和我们一样尊重他人的著作权等合法权益。如果您对作品感到满意，请购买正版
4、禁止制作、复制、发布和传播具有反动、淫秽、色情、暴力、凶杀等内容的信息，一经发现立即删除。若您因此触犯法律，一切后果自负，我们对此不承担任何责任
5、所有资源均系网友上传或者通过网络收集，我们仅提供一个展示、介绍、观摩学习的平台，我们不对其内容的准确性、可靠性、正当性、安全性、合法性等负责，亦不承担任何法律责任
6、所有作品仅供您个人学习、研究或欣赏，不得用于商业或者其他用途，否则，一切后果均由您自己承担，我们对此不承担任何法律责任
7、如涉及侵犯版权等问题，请您及时通知我们，我们将立即采取措施予以解决
8、联系人Email：admin@iyunv.com 网址：www.yunweiku.com

所有资源均系网友上传或者通过网络收集,我们仅提供一个展示、介绍、观摩学习的平台,我们不对其承担任何法律责任,如涉及侵犯版权等问题,请您及时通知我们,我们将立即处理,联系人Email:kefu@iyunv.com,QQ:1061981298 本贴地址：https://www.yunweiku.com/thread-387850-1-1.html 上篇帖子： 系统管理员资源大全 下篇帖子： Linux网络协议栈【转载】
回复

使用道具 举报

返回列表
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

扫码加入运维网微信交流群X

扫码加入运维网微信交流群

扫描二维码加入运维网微信交流群，最新一手资源尽在官方微信交流群！快快加入我们吧...

扫描微信二维码查看详情

客服 E-mail:iyunvcom@gmail.com

本站由青云提供云计算服务

运维网--中国最专业的运维工程师交流社区

豫ICP备20007574号-1 Copyright © 2012-2025

关于我们

发展历程

联系我们

关注我们

广告服务

广告案例

隐私条款

免责声明

用户登录

用户注册

版主守则

申请版主

手机版

金币获取

帮助中心

每日签到

Good Good

Study

Day Day

UP


客服E-mail:kefu@iyunv.com 客服QQ：1061981298


QQ群⑦：运维网交流群⑦ QQ群⑧：运维网交流群⑧ k8s群：运维网kubernetes交流群


提醒：禁止发布任何违反国家法律、法规的言论与图片等内容；本站内容均来自个人观点与网络等信息，非本站认同之观点.


本站大部分资源是网友从网上搜集分享而来，其版权均归原作者及其网站所有，我们尊重他人的合法权益，如有内容侵犯您的合法权益，请及时与我们联系进行核实删除！



合作伙伴: 青云cloud

快速回复 返回顶部 返回列表