2、OpenStack—keystone組件介紹與安裝

1、Keystone介紹

　　keystone 是OpenStack的組件之一，用於爲OpenStack家族中的其它組件成員提供統一的認證服務，包括身份驗證、令牌的發放和校驗、服務列表、用戶權限的定義等等。雲環境中全部的服務之間的受權和認證都須要通過 keystone. 所以 keystone 是雲平臺中第一個即須要安裝的服務。

做爲 OpenStack 的基礎支持服務，Keystone 作下面這幾件事情：
　　1.管理用戶及其權限
　　2.維護 OpenStack Services 的 Endpoint
　　3.Authentication（認證）和 Authorization（鑑權）

學習 Keystone，得理解下面這些概念：

 

User：
　　1.User 指代任何使用 OpenStack 的實體，能夠是真正的用戶，其餘系統或者服務。
　　2.當 User 請求訪問 OpenStack 時，Keystone 會對其進行驗證。Horizon 在Identity->Users 管理 User
　　3.除了 admin 和 demo，OpenStack 也爲 nova、cinder、glance、neutron 服務建立了相應的 User。 admin 也能夠管理這些 User。

Credentials：
　　Credentials 是 User 用來證實本身身份的信息，能夠是：
　　1. 用戶名/密碼
　　2. Token
　　3. API Key
　　4. 其餘高級方式

Authentication：
　　Authentication 是 Keystone 驗證 User 身份的過程。User 訪問 OpenStack 時向 Keystone 提交用戶名和密碼形式的 Credentials，Keystone 驗證經過後會給 User 簽發一個 Token 做爲後續訪問的 Credential。

Token：
　　Token 是由數字和字母組成的字符串，User 成功 Authentication 後 Keystone 生成 Token 並分配給 User。
　　1.Token 用作訪問 Service 的 Credential
　　2.Service 會經過 Keystone 驗證 Token 的有效性
　　3.Token 的有效期默認是 24 小時

Project：
　　Project 用於將 OpenStack 的資源（計算、存儲和網絡）進行分組和隔離。

　　根據 OpenStack 服務的對象不一樣，Project 能夠是一個客戶（公有云，也叫租戶）、部門或者項目組（私有云）
　　這裏請注意：
　　1.資源的全部權是屬於 Project 的，而不是 User。
　　2.在 OpenStack 的界面和文檔中，Tenant / Project / Account 這幾個術語是通用的，但長期看會傾向使用 Project
　　3.每一個 User（包括 admin）必須掛在 Project 裏才能訪問該 Project 的資源。 一個User能夠屬於多個 Project。
　　4.admin 至關於 root 用戶，具備最高權限

Service：
　　OpenStack 的 Service 包括 Compute (Nova)、Block Storage (Cinder)、Object Storage (Swift)、Image Service (Glance) 、Networking Service (Neutron) 等。每一個 Service 都會提供若干個 Endpoint，User 經過 Endpoint 訪問資源和執行操做。

Endpoint：
　　Endpoint 是一個網絡上可訪問的地址，一般是一個 URL。Service 經過 Endpoint 暴露本身的 API。 Keystone 負責管理和維護每一個 Service 的 Endpoint。

Role：

　　安全包含兩部分：Authentication（認證）和 Authorization（鑑權）
　　Authentication 解決的是「你是誰？」的問題
　　Authorization 解決的是「你能幹什麼？」的問題
　　Keystone 藉助 Role 實現 Authorization：

2、Keystone基本架構

 

Token： 用來生成和管理token

Catalog：用來存儲和管理service/endpoint

Identity：用來管理tenant/user/role和驗證

Policy：用來管理訪問權限

3、Keystone（認證服務）安裝

一、條件：在安裝和配置Identity服務以前，必須建立數據庫
　　1）登陸數據庫
　　# mysql -uroot -proot
　　2）建立keystone數據庫：
　　MariaDB [(none)]> CREATE DATABASE keystone;
　　3）授予對keystone數據庫的適當訪問權限：　　

MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS';
MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%'  IDENTIFIED BY 'KEYSTONE_DBPASS';
# 將KEYSTONE_DBPASS密碼設置爲本身認爲合適的密碼

 　　4）退出數據庫訪問客戶端，exit

二、安裝和配置組件
　　1）運行如下命令以安裝軟件包
　　　　# yum install openstack-keystone httpd mod_wsgi
　　2）編輯/etc/keystone/keystone.conf文件並完成如下操做

[DEFAULT]

[assignment]

[auth]

[cache]

[catalog]

[cors]

[cors.subdomain]

[credential]

[database]
connection = mysql+pymysql://keystone:KEYSTONE_DBPASS@node1/keystone#數據庫用戶，用戶密碼，主機名，數據庫名

[domain_config]

[endpoint_filter]

[endpoint_policy]

[eventlet_server]

[federation]

[fernet_tokens]

[healthcheck]

[identity]

[identity_mapping]

[kvs]

[ldap]

[matchmaker_redis]

[memcache]

[oauth1]

[oslo_messaging_amqp]

[oslo_messaging_kafka]

[oslo_messaging_notifications]

[oslo_messaging_rabbit]

[oslo_messaging_zmq]

[oslo_middleware]

[oslo_policy]

[paste_deploy]

[policy]

[profiler]

[resource]

[revoke]

[role]

[saml]

[security_compliance]

[shadow_users]

[signing]

[token]
provider = fernet

[tokenless_auth]

[trust]

　　3）同步Identity服務數據庫

　　# su -s /bin/sh -c "keystone-manage db_sync" keystone

　　4）初始化Fernet密鑰存儲庫　　

# keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone#爲keystone服務建立一個keystone用戶
# keystone-manage credential_setup --keystone-user keystone --keystone-group keystone#爲keystone用戶設置身份信息

 

　　5）引導身份服務

# keystone-manage bootstrap --bootstrap-password ADMIN_PASS \#設置keystone用戶的密碼
--bootstrap-admin-url http://node1:35357/v3/ \#管理地址端點
--bootstrap-internal-url http://node1:5000/v3/ \#私網地址端點
--bootstrap-public-url http://node1:5000/v3/ \#公網地址端點
--bootstrap-region-id RegionOne#地址的域爲RegionOne
# 替換ADMIN_PASS爲管理用戶的合適密碼

三、配置Apache HTTP服務器

　　1）編輯/etc/httpd/conf/httpd.conf文件
　　ServerName node1 #（本地主機名）
　　2）建立/usr/share/keystone/wsgi-keystone.conf文件的連接
　　# ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/

四、完成安裝
　　1）啓動Apache HTTP服務並將其配置爲在系統引導時啓動
　　# systemctl enable httpd.service
　　# systemctl start httpd.service
　　2）配置管理賬戶
# vim openrc

export OS_USERNAME=admin#登陸的用戶名
export OS_PASSWORD=ADMIN_PASS#keystone用戶的密碼
export OS_PROJECT_NAME=admin#項目的名稱
export OS_USER_DOMAIN_NAME=Default#用戶的默認池
export OS_PROJECT_DOMAIN_NAME=Default#項目的默認池
export OS_AUTH_URL=http://node1:35357/v3#管理的端點地址
export OS_IDENTITY_API_VERSION=3#api接口的版本爲3
# 替換ADMIN_PASS爲keystone-install-configure命令中使用的密碼 。keystone-manage bootstrap