openstack装B之路------Keystone部署以及操作

lipeng

1.准备阶段
　　查看系统信息



[iyunv@localhost ~]# cat /etc/redhat-release

　　查看内核版本



[iyunv@localhost ~]# uname -r

　　安装官方yum源



[iyunv@localhost ~]# yum -y install centos-release-openstack-newton
　　更新yum包



[iyunv@localhost ~]# yum -y upgrade
　　安装工具



[iyunv@localhost ~]# yum -y install python-openstackclient
　　安装openstack-selinux包自动管理openstack组件的安全策略



[iyunv@localhost ~]# yum -y install openstack-selinux
部署mariadb
　　安装
　　keystone支持ldap和mysql作为后端Driver,用来存放用户相关信息，catalog等，这里我们选用mariadb，MariaDB数据库管理系统是MySQL的一个分支



yum -y install mariadb mariadb-server python2-PyMySQL

　　编辑配置文件：



vim /etc/my.cnf.d/openstack.cnf

　　写入如下内容：
　　注意：bind-address对应的一定是本机管理IP



[mysqld]
bind-address = 192.168.1.109
default-storage-engine = innodb
innodb_file_per_table
max_connections = 4096
collation-server = utf8_general_ci
character-set-server = utf8

　　启动服务且设置开机启动



systemctl start mariadb.service
systemctl enable mariadb.service

2.部署keystone
　　keystone关于数据库的操作



mysql -u root -p #登入数据库
CREATE DATABASE keystone; #新建库keystone
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' \
IDENTIFIED BY '123'; #新建本地访问keystone库的账号
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' \
IDENTIFIED BY '123'; #新建远程访问keystone库的账号

安装软件包
　　keystone软件包名openstack-keystone ；安装httpd和mod_wsgi的原因是，社区主推apache+keystone #openstack-keystone本质就是一款基于wsgi协议的web app,而httpd本质就是一个兼容wsgi协议的web server，所以我们需要为httpd安装mod_wsgi模块



yum -y install openstack-keystone httpd mod_wsgi
　　编辑keystone配置文件：



vim /etc/keystone/keystone.conf
　　找到database这一行：



[database]
connection = mysql+pymysql://keystone:123@192.168.1.109/keystone
　　让openstack-keystone能够知道如何连接到后端的数据库keystone ；mysql+pymysql：pymysql是一个python库，使用python可以操作mysql原生sql
　　注意：密码123 一定不要加引号，否则报错
　　
　　找到token这一行：



[token]
provider = fernet
　　fernet为生成token的方式

　　初始化数据库keystone



keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

　　如果有报错，请检查密码是否加了引号
　　初始化Fernet key仓库



keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

3.配置web server整合keystone
　　修改本机主机名



vim /etc/hosts

　　写入：



192.168.1.109 controller

　　编辑Apache配置文件：



vim /etc/httpd/conf/httpd.conf

　　找到ServerName，写入



ServerName controller

　　为mod_wsgi模块添加配置文件



ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/

　　启动httpd服务且设置开机自启



systemctl start httpd.service
systemctl enable httpd.service

4.keystone操作
　　（1）创建keystone的catalog
　　编辑配置文件



vim /etc/keystone/keystone.conf

　　在开头插入：



[DEFAULT]
admin_token = 123
　　设置环境变量：



export OS_TOKEN=123 #等于keystone.conf中admin_token的值
export OS_URL=http://192.168.1.109:35357/v3
export OS_IDENTITY_API_VERSION=3
　　OS_TOKEN=配置文件中的admin_token，会在filter过滤过程中被admin_token_auth中间间设置is_admin=True，谁有这个admin_token谁就是管理员了。
　　为keystone创建catalog

基于上一步给的权限，创建认证服务实体


openstack service create \
--name keystone --description "OpenStack Identity" identity

基于上一步建立的服务实体，创建访问该实体的三个api端点


openstack endpoint create --region RegionOne \
identity public http://192.168.31.57:5000/v3
openstack endpoint create --region RegionOne \
identity internal http://192.168.31.57:5000/v3
openstack endpoint create --region RegionOne \
identity admin http://192.168.31.57:35357/v3

　　（2）创建域，租户，用户，角色，把四个元素关联到一起
　　建立一个公共的域名：



openstack domain create --description "Default Domain" default

　　创建管理员信息：



openstack project create --domain default \
--description "Admin Project" admin 　　#创建Admin项目

openstack user create --domain default \
--password-prompt admin            #创建Admin用户

openstack role create admin                  #创建admin角色

openstack role add --project admin --user admin admin   创建角色 用户 项目三者之间的关联

　　使用Bootstrap完成part1和part2二者的工作
　　为keystone创建catalog



keystone-manage bootstrap --bootstrap-password 123 \
--bootstrap-admin-url http://192.168.1.109:35357/v3/ \
--bootstrap-internal-url http://192.168.1.109:35357/v3/ \
--bootstrap-public-url http://192.168.1.109:5000/v3/ \
--bootstrap-region-id RegionOne

　　设置环境变量（is_admin不会被设置成True，admin用户会获得一个Token）



export OS_USERNAME=admin
export OS_PASSWORD=123 #就是keystone-manage中设定的--bootstrap-password
export OS_PROJECT_NAME=admin
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_DOMAIN_NAME=Default
export OS_AUTH_URL=http://192.168.1.109:35357/v3
export OS_IDENTITY_API_VERSION=3

　　注意：如果catalog显示不出来。断开Xshell重连一次 再加载一次环境变量即可

　　创建用于后期测试用的项目，用户，租户，建立关联
　　创建project名为demo



openstack project create --domain default \
--description "Demo Project" demo

　　创建普通用户demo



openstack user create --domain default \
--password-prompt demo

　　创建普通用户的角色即user



openstack role create user

　　建立三者之间的关联



openstack role add --project demo --user demo user

　　为后续的服务创建统一租户service
　　解释：后面每搭建一个新的服务都需要在keystone中执行四种操作：1.建项目 2.建用户 3.建角色 4.做关联
　　后面所有的服务公用一个项目service，都是管理员角色admin ；所以实际上后续的服务安装关于keysotne的操作只剩2，4



openstack project create --domain default \
--description "Service Project" service

五 验证
　　part 1：准备
　　出于安全考虑，需要关闭临时令牌认证机制（配置文件中的admin_token和keystone-manage的--bootstrap-password都是基于该机制）
　　该机制会将用户的请求设置is_admin=True，源码分析中会介绍，先暂且理解到这里