keystone部署及操做

目錄

一  版本信息

二  部署keystone

三  keystone操做

四  驗證

五  建立腳本

六  keystone使用套路總結

 

1、版本信息 

官網http://docs.openstack.org/newton/install-guide-rdo/keystone.html

咱們按照Newton這個版原本部署，其實跟你們講，openstack基本保持每6個月更新一個版本，面對如此快的版本更迭，咱們其實瞅準了一個版本深刻研究下去就好，深刻到什麼層次，爲社區提交代碼。

 

2、部署keystone

參考官網http://docs.openstack.org/newton/install-guide-rdo/

 

系統信息

 

[root@localhost ~]# cat /etc/redhat-release 

CentOS Linux release 7.0.1406 (Core) 

[root@localhost ~]# uname -r

3.10.0-123.el7.x86_64

step 1：準備階段

 

yum -y install centos-release-openstack-newton #安裝官方yum源

yum -y upgrade #更新

yum -y install python-openstackclient #安裝工具

yum -y install openstack-selinux #安裝openstack-selinux包自動管理openstack組件的安全策略

step 2：部署mariadb

 

安裝

 

'''

keystone支持ldap和mysql做爲後端Driver,用來存放用戶相關信息，catalog等，這裏咱們選用mariadb

'''

yum -y install mariadb mariadb-server python2-PyMySQL 

配置：/etc/my.cnf.d/openstack.cnf

 

 

[mysqld]

bind-address = 192.168.31.57 #本機管理網絡ip

 

default-storage-engine = innodb

innodb_file_per_table

max_connections = 4096

collation-server = utf8_general_ci

character-set-server = utf8

 

啓動服務且設置開機啓動

 

systemctl start mariadb.service

systemctl enable mariadb.service

初始化數據庫（無關緊要）

 

mysql_secure_installation

step 3：部署keystone

 

keystone關於數據庫的操做

 

 

mysql -u root -p #登入數據庫

CREATE DATABASE keystone; #新建庫keystone

GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' \

  IDENTIFIED BY '123'; #新建本地訪問keystone庫的帳號

GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' \

  IDENTIFIED BY '123'; #新建遠程訪問keystone庫的帳號

 

安裝軟件包

 

#keystone軟件包名openstack-keystone

#安裝httpd和mod_wsgi的緣由是，社區主推apache+keystone

#openstack-keystone本質就是一款基於wsgi協議的web app,而httpd本質就是一個兼容wsgi協議的web server，因此咱們須要爲httpd安裝mod_wsgi模塊

yum -y install openstack-keystone httpd mod_wsgi

配置：/etc/keystone/keystone.conf

 

 

#讓openstack-keystone可以知道如何鏈接到後端的數據庫keystone

#mysql+pymysql：pymysql是一個python庫，使用python能夠操做mysql原生sql

[database]

connection = mysql+pymysql://keystone:123@192.168.31.57/keystone

[token]

provider = fernet #fernet爲生成token的方式

 

初始化數據庫keystone

 

#之因此要初始化，是由於python的orm對象關係映射，須要初始化來生成數據庫表結構

su -s /bin/sh -c "keystone-manage db_sync" keystone

初始化的時候可能會報錯

 

初始化Fernet key倉庫

 

keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone

keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

step 4：配置web server整合keystone

 

修改本機主機名

 

hostnamectl set-hostname controller

配置/etc/hosts

 

192.168.31.57 controller

配置/etc/httpd/conf/httpd.conf

 

ServerName controller

爲mod_wsgi模塊添加配置文件

 

#直接拷貝模塊文件或者作軟鏈接均可以

ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/

啓動httpd服務且設置開機自啓

 

systemctl start httpd.service

systemctl enable httpd.service

 

3、keystone操做

 

part 1：建立keystone的catalog

 

配置/etc/keystone/keystone.conf 

 

[DEFAULT]

admin_token = 123

設置環境變量

 

 

#OS_TOKEN=配置文件中的admin_token

#會在filter過濾過程當中被admin_token_auth中間間設置is_admin=True

#誰有這個admin_token誰就是管理員了。

 

export OS_TOKEN=123 #等於keystone.conf中admin_token的值

export OS_URL=http://192.168.31.57:35357/v3

export OS_IDENTITY_API_VERSION=3

 

爲keystone建立catalog

 

 

#基於上一步給的權限，建立認證服務實體

openstack service create \

  --name keystone --description "OpenStack Identity" identity

 

#基於上一步創建的服務實體，建立訪問該實體的三個api端點

openstack endpoint create --region RegionOne \

  identity public http://192.168.31.57:5000/v3

  

openstack endpoint create --region RegionOne \

  identity internal http://192.168.31.57:5000/v3

  

openstack endpoint create --region RegionOne \

  identity admin http://192.168.31.57:35357/v3

 

part 2：建立域，租戶，用戶，角色，把四個元素關聯到一塊兒

 

The Identity service provides authentication services for each OpenStack service. The authentication service uses a combination of domains, projects, users, and roles.

 

創建一個公共的域名：

 

openstack domain create --description "Default Domain" default 

建立管理員信息：

 

 

#建立admin項目

openstack project create --domain default \

  --description "Admin Project" admin 

#建立admin用戶

openstack user create --domain default \

  --password-prompt admin

#建立admin角色

openstack role create admin

#建立上述三者的關聯

openstack role add --project admin --user admin admin

 

part 3：使用Bootstrap完成part1和part2兩者的工做

 

Bootstrap the Identity service：

 

 

#本質就是在爲keystone建立catalog

keystone-manage bootstrap --bootstrap-password 123 \

  --bootstrap-admin-url http://192.168.31.57:35357/v3/ \

  --bootstrap-internal-url http://192.168.31.57:35357/v3/ \

  --bootstrap-public-url http://192.168.31.57:5000/v3/ \

  --bootstrap-region-id RegionOne

 

設置環境變量（is_admin不會被設置成True，admin用戶會得到一個Token）

 

 

export OS_USERNAME=admin

export OS_PASSWORD=123 #就是keystone-manage中設定的--bootstrap-password

export OS_PROJECT_NAME=admin

export OS_USER_DOMAIN_NAME=Default

export OS_PROJECT_DOMAIN_NAME=Default

export OS_AUTH_URL=http://192.168.31.57:35357/v3

export OS_IDENTITY_API_VERSION=3

 

part 4：建立用於後期測試用的項目，用戶，租戶，創建關聯

 

建立project名爲demo

 

openstack project create --domain default \

  --description "Demo Project" demo

 

 

建立普通用戶demo

 

openstack user create --domain default \

  --password-prompt demo

建立普通用戶的角色即user

 

openstack role create user

創建關聯

 

openstack role add --project demo --user demo user

part 5：爲後續的服務建立統一租戶service

 

解釋：後面每搭建一個新的服務都須要在keystone中執行四種操做：1.建項目 2.建用戶 3.建角色 4.作關聯

 

#後面全部的服務公用一個項目service，都是管理員角色admin

#因此實際上後續的服務安裝關於keysotne的操做只剩2，4

openstack project create --domain default \

  --description "Service Project" service

 

 

四 驗證

 

part 1：準備

 

出於安全考慮，須要關閉臨時令牌認證機制（配置文件中的admin_token和keystone-manage的--bootstrap-password都是基於該機制）

 

該機制會將用戶的請求設置is_admin=True，源碼分析中會介紹，先暫且理解到這裏

 

 

編輯/etc/keystone/keystone-paste.ini

將

[pipeline:public_api]

[pipeline:admin_api]

[pipeline:api_v3] 

中的admin_token_auth都去掉

 

取消一切設置的環境變量，如

 

unset OS_AUTH_URL OS_PASSWORD

part 2：驗證操做方法一

 

管理員用戶admin申請token

 

 

openstack --os-auth-url http://controller:35357/v3 \

--os-identity-api-version 3  \

--os-project-domain-name default \

--os-user-domain-name default   \

--os-project-name admin \

--os-username admin \

token issue

 

注意：必定要加上--os-identity-api-version 3

 

普通用戶demo申請token

 

 

openstack --os-auth-url http://controller:5000/v3 \

--os-identity-api-version 3  \

--os-project-domain-name default \

--os-user-domain-name default   \

--os-project-name demo \

--os-username demo \

token issue

 

 

part 3：驗證操做方法二

 

 

curl -i \

-H "Content-Type: application/json" \

-d '

{

    "auth": {

        "identity": {

            "methods": [

                "password"

            ],

            "password": {

                "user": {

                    "domain":{

                        "name": "default"

                     },

                    "name": "admin",

                    "password": "123"

                }

            }

         },

         "scope": {

            "project": {

                "domain": {

                        "name":"default"

                },

               "name": "admin"

            }

         }

     }

}' \

 

http://127.0.0.1:5000/v3/auth/tokens

 

五 建立腳本

 

爲了避免寫一長串的用戶信息，能夠把他們定義成腳本的方式

 

admin-openrc

 

 

export OS_PROJECT_DOMAIN_NAME=Default

export OS_USER_DOMAIN_NAME=Default

export OS_PROJECT_NAME=admin

export OS_USERNAME=admin

export OS_PASSWORD=123

export OS_AUTH_URL=http://192.168.31.57:35357/v3

export OS_IDENTITY_API_VERSION=3

export OS_IMAGE_API_VERSION=2

 

demo-openrc

 

 

export OS_PROJECT_DOMAIN_NAME=Default

export OS_USER_DOMAIN_NAME=Default

export OS_PROJECT_NAME=demo

export OS_USERNAME=demo

export OS_PASSWORD=123

export OS_AUTH_URL=http://192.168.31.57:35357/v3

export OS_IDENTITY_API_VERSION=3

export OS_IMAGE_API_VERSION=2

 

針對不一樣的業務應該有不一樣的用戶信息，也都應該定義成腳本形式，方便管理

 

咱們的申請token操做簡化成

 

source admin-openrc

openstack token issue

 

 

 

六 keystone使用套路總結

 

（1）user歸屬於一個或多個Project，而且在每一個項目中充當一個角色。因此咱們須要建立Project，建立User，建立Role，並將User和Project、Role關聯起來；

 

 

建立域，租戶，用戶，角色，把四個元素關聯到一塊兒

創建一個公共的域名：

openstack domain create --description "Default Domain" default

 

管理員：admin

openstack project create --domain default \

  --description "Admin Project" admin

  

openstack user create --domain default \

  --password-prompt admin

 

openstack role create admin

 

openstack role add --project admin --user admin admin

 

普通用戶：demo

openstack project create --domain default \

  --description "Demo Project" demo

  

openstack user create --domain default \

  --password-prompt demo

 

openstack role create user

 

openstack role add --project demo --user demo user

 

 

（2）Keystone本質是提供Identity服務的，因此它的實現或者提供的機制也是基於用戶來設計的。爲了提供服務目錄，配置Keystone的時候建立了一個特殊的ServiceProject，爲每一個服務建立對應的用戶(Nova, Swift, cinder...)，而且都歸屬於ServiceProject。而後配置、設置相應的Endpoint。

 

爲後續的服務建立統一租戶service，全部的服務公用一個租戶service

openstack project create --domain default \

  --description "Service Project" service

 

 

創建服務實體service

openstack service create --name glance \

  --description "OpenStack Image" image

  

建端點endpoint

openstack endpoint create --region RegionOne \

  image public http://controller01:9292

  

 

openstack endpoint create --region RegionOne \

  image internal http://controller01:9292

 

openstack endpoint create --region RegionOne \

  image admin http://controller01:9292

六 建立腳本

 

爲了避免寫一長串的用戶信息，能夠把他們定義成腳本的方式

 

admin-openrc

 

 

export OS_PROJECT_DOMAIN_NAME=Default

export OS_USER_DOMAIN_NAME=Default

export OS_PROJECT_NAME=admin

export OS_USERNAME=admin

export OS_PASSWORD=123

export OS_AUTH_URL=http://192.168.31.57:35357/v3

export OS_IDENTITY_API_VERSION=3

export OS_IMAGE_API_VERSION=2

 

demo-openrc

 

 

export OS_PROJECT_DOMAIN_NAME=Default

export OS_USER_DOMAIN_NAME=Default

export OS_PROJECT_NAME=demo

export OS_USERNAME=demo

export OS_PASSWORD=123

export OS_AUTH_URL=http://192.168.31.57:35357/v3

export OS_IDENTITY_API_VERSION=3

export OS_IMAGE_API_VERSION=2

 

針對不一樣的業務應該有不一樣的用戶信息，也都應該定義成腳本形式，方便管理

 

咱們的申請token操做簡化成

 

source admin-openrc

openstack token issue

 

 

 

七 keystone使用套路總結

 

（1）user歸屬於一個或多個Project，而且在每一個項目中充當一個角色。因此咱們須要建立Project，建立User，建立Role，並將User和Project、Role關聯起來；

 

 （2）Keystone本質是提供Identity服務的，因此它的實現或者提供的機制也是基於用戶來設計的。爲了提供服務目錄，配置Keystone的時候建立了一個特殊的ServiceProject，爲每一個服務建立對應的用戶(Nova, Swift, cinder...)，而且都歸屬於ServiceProject。而後配置、設置相應的Endpoint。