keystone - Identity Federation介紹

Keystone在OpenStack中的做用

一、Service Provider(SP) 爲終端用戶提供服務

二、Identity Provider(IdP) 存儲用戶和組信息的服務

經典受權方式

包括用戶、項目和角色。針對用戶關聯的某個特定項目執行身份認證身份認證成功後會返回一個持有人token其中包含該用戶在這個項目上的角色該用戶要求Openstack組件表明它執行一個操做的時候該組件會調用本身的policy引擎檢查該token及其包含的角色確認用戶是否有權限執行該操做。

利用Federation支持的受權方式

用戶信息再也不存儲在keystone中直接從身份提供程序中獲取用戶信息不存在keystone中不能再經過一個項目來關聯用戶和角色的方法來獲取了。keystone的實現是使用組來支持利用與用戶關聯的身份提供程序對用戶進行身份驗證時身份提供程序返回和用戶關聯的屬性經過一條規則基於這些屬性將用戶映射到一個keystone組。

如今支持的兩種federation協議SAML和OpenID。

參考連接

http://www.ibm.com/developerworks/cn/cloud/library/cl-keystone-tfim/

http://docs.openstack.org/developer/keystone/configure_federation.html

https://www.openstack.org/assets/presentation-media/os-federation-final.pdf