OpenStack组件——Keystone身份认证

1.keystone介绍

       keystone 是OpenStack的组件之一,用于为OpenStack家族中的其它组件成员提供统一的认证服务,包括身份验证、令牌的发放和校验、服务列表、用户权限的定义等等。云环境中所有的服务之间的授权和认证都需要经过 keystone. 因此 keystone 是云平台中第一个即需要安装的服务。

作为 OpenStack 的基础支持服务,Keystone 做下面这几件事情:
    (1)管理用户及其权限
    (2)维护 OpenStack Services 的 Endpoint
    (3)Authentication(认证)和 Authorization(鉴权)

 2.keystone中的几个概念

1)User

User指任何可以使用OpenStack的实体,可以是真正的用户,可以是其他系统或服务。

User访问OpenStack时,keystone会对其进行验证。

admin:openstack平台的超级管理员,负责openstack服务的管理和访问权限

demo: 常规(非管理)任务应该使用无特权的项目和用户,所有要创建 demo 项目和 demo 用户。

除了admin和demo,OpenStack也为nova、cinder、glance、neutron服务创建了相应的User。

 

2)Credentials

Credentials是User用来证明自己身份的信息,可以是:

(1)用户名/密码

(2)Token

(3)API Key

(4)其他高级方式

 

3)Authentication

Authentication 是 Keystone 验证 User 身份的过程。User 访问 OpenStack 时向 Keystone 提交用户名和密码形式的 Credentials,Keystone 验证通过后会给 User 签发一个 Token 作为后续访问的 Credential。

 

4)Token

Token 是由数字和字母组成的字符串,User 成功 Authentication 后 Keystone 生成 Token 并分配给 User。

(1)Token 用做访问 Service 的 Credential

(2)Service 会通过 Keystone 验证 Token 的有效性

(3)Token 的有效期默认是 24 小时


5)Project

Project 用于将 OpenStack 的资源(计算、存储和网络)进行分组和隔离。根据 OpenStack 服务的对象不同,Project 可以是一个客户(公有云,也叫租户)、部门或者项目组(私有云)。

注意:

(1)资源的所有权是属于 Project 的,而不是 User。

(2)在 OpenStack 的界面和文档中,Tenant / Project / Account 这几个术语是通用的,但长期看会倾向使用 Project

(3)每个 User(包括 admin)必须挂在 Project 里才能访问该 Project 的资源。 一个User可以属于多个 Project。

(4)admin 相当于 root 用户,具有最高权限


6)Service

       OpenStack 的 Service 包括 Compute (Nova)、Block Storage (Cinder)、Object Storage (Swift)、Image Service (Glance) 、Networking Service (Neutron) 等。每个 Service 都会提供若干个 Endpoint,User 通过 Endpoint 访问资源和执行操作。

7)Endpoint

Endpoint 是一个网络上可访问的地址,通常是一个 URL。Service 通过 Endpoint 暴露自己的 API。 Keystone 负责管理和维护每个 Service 的 Endpoint。

可以使用如下命令查看Endpoint:

    openstack catalog list[root@node1 ~]# openstack catalog list+----------+----------+-----------------------------------+| Name     | Type     | Endpoints                         |+----------+----------+-----------------------------------+| keystone | identity | RegionOne                         ||          |          |   admin: http://node1:35357/v3/   ||          |          | RegionOne                         ||          |          |   public: http://node1:5000/v3/   ||          |          | RegionOne                         ||          |          |   internal: http://node1:5000/v3/ ||          |          |                                   |+----------+----------+-----------------------------------+

 

8)Role

安全包含两部分:Authentication(认证)和 Authorization(鉴权)   

Authentication 解决的是“你是谁?”的问题

Authorization 解决的是“你能干什么?”的问题

 

Keystone 借助 Role 实现 Authorization:

Keystone定义Role

可以为 User 分配一个或多个 Role,Service 决定每个 Role 能做什么事情 Service 通过各自的 policy.json 文件对 Role 进行访问控制。 下面是 Nova 服务 /etc/nova/policy.json 中的示例:

上面配置的含义是:对于 create、attach_network 和 attach_volume 操作,任何Role的 User 都可以执行; 但只有 admin 这个 Role 的 User 才能执行 forced_host 操作。

OpenStack 默认配置只区分 admin 和非 admin Role。 如果需要对特定的 Role 进行授权,可以修改 policy.json。

Openstack对User的验证除了身份验证,还需要鉴别 User 对某个Service是否有访问权限。Policy用来定义什么角色对应什么权限。对Keystone来说,Policy其实是一个JSON文件,默认是 /etc/keystone/policy.json 。通过Policy,Keystone实现了对User的权限管理。

 

3.准备OpenStack环境

1)安装openstack环境

    yum install python-openstackclientyum install openstack-selinux

 

2)准备数据库

    yum install mariadb mariadb-server python2-PyMySQLvim /etc/my.cnf.d/openstack.cnf[mysqld]bind-address = 192.168.52.101default-storage-engine = innodbinnodb_file_per_table = onmax_connections = 4096collation-server = utf8_general_cicharacter-set-server = utf8systemctl enable mariadb.servicesystemctl start mariadb.servicemysql_secure_installation    #进行数据库初始化

 

3)搭建消息队列服务

    yum install rabbitmq-serversystemctl restart rabbitmq-server.servicesystemctl enable rabbitmq-server.service创建openstack用户rabbitmqctl add_user openstack openstackrabbitmqctl set_permissions openstack ".*" ".*" ".*"

 

4)创建缓存服务

    yum install memcached python-memcachedvim /etc/sysconfig/memcachedOPTIONS="-l 127.0.0.1,::1,controller,node1"systemctl restart memcached.servicesystemctl enable memcached.service

 

4.部署Keystone服务

1)安装和配置

(1)登录数据库

    mysql -uroot -pMariaDB [(none)]> create database keystone;    #创建keystone数据库MariaDB [(none)]> grant all privileges on keystone.* to 'keystone'@'localhost' identified by 'KEYSTONE_DBPASS';    #授予用户权限并设置密码,允许在本机登录grant all privileges on keystone.* to 'keystone'@'%' identified by 'KEYSTONE_DBPASS';    #授予用户权限并设置密码,允许在任意主机登录

 

(2)安装keystone包并进行配置

    yum install openstack-keystone httpd mod_wsgivim /etc/keystone/keystone.conf[database]connection = mysql+pymysql://keystone:KEYSTONE_DBPASS@node1/keystone[token]provider = fernet

或者按照下列方法进行设置

    cp /etc/keystone/keystone.conf /etc/keystone/keystone.conf.bak -a    #备份配置文件
vim /etc/keystone/keystone.conf        #将配置文件中的内容全部删除并添加以下内容
[DEFAULT][assignment][auth][cache][catalog][cors][cors.subdomain][credential][database]connection = mysql+pymysql://keystone:KEYSTONE_DBPASS@controller/keystone[domain_config][endpoint_filter][endpoint_policy][eventlet_server][federation][fernet_tokens][healthcheck][identity][identity_mapping][kvs][ldap][matchmaker_redis][memcache][oauth1][oslo_messaging_amqp][oslo_messaging_kafka][oslo_messaging_notifications][oslo_messaging_rabbit][oslo_messaging_zmq][oslo_middleware][oslo_policy][paste_deploy][policy][profiler][resource][revoke][role][saml][security_compliance][shadow_users][signing][token]provider = fernet[tokenless_auth][trust]
View Code

 

(3)加载数据到数据库

    su -s /bin/sh -c "keystone-manage db_sync" keystone

 

(4)初始化fernet秘钥存储库

    keystone-manage fernet_setup --keystone-user keystone --keystone-group keystonekeystone-manage credential_setup --keystone-user keystone --keystone-group keystone

 

(5)引导认证服务

    keystone-manage bootstrap --bootstrap-password admin \> --bootstrap-admin-url http://node1:35357/v3/ \> --bootstrap-internal-url http://node1:5000/v3/ \> --bootstrap-public-url http://node1:5000/v3/ \> --bootstrap-region-id RegionOne

 

(6)配置httpd服务

    vim /etc/httpd/conf/httpd.confServerName node1    #只修改此处
ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/    #创建软链接
[root@node1 ~]# cd /etc/httpd/conf.d[root@node1 conf.d]# ls -l总用量 16-rw-r--r-- 1 root root 2926 11月  5 2018 autoindex.conf-rw-r--r-- 1 root root  366 11月  5 2018 README-rw-r--r-- 1 root root 1252 10月 30 2018 userdir.conf-rw-r--r-- 1 root root  824 10月 30 2018 welcome.conflrwxrwxrwx 1 root root   38 7月  29 14:47 wsgi-keystone.conf -> /usr/share/keystone/wsgi-keystone.confsystemctl restart httpd.servicesystemctl enable httpd.service

 

(7)设置登录信息

    vim openrcexport OS_USERNAME=adminexport OS_PASSWORD=adminexport OS_PROJECT_NAME=adminexport OS_USER_DOMAIN_NAME=Defaultexport OS_PROJECT_DOMAIN_NAME=Defaultexport OS_AUTH_URL=http://node1:35357/v3export OS_IDENTITY_API_VERSION=3source openrc在命令行模式下登入openstack

 

2)创建域、项目、用户、角色

    创建service项目openstack project create --domain default --description "Service Project" service+-------------+----------------------------------+| Field       | Value                            |+-------------+----------------------------------+| description | Service Project                  || domain_id   | default                          || enabled     | True                             || id          | a1710fdff32a4605a8ab549f8680dd45 || is_domain   | False                            || name        | service                          || parent_id   | default                          |+-------------+----------------------------------+创建demo项目openstack project create --domain default --description "Demo Project" demo+-------------+----------------------------------+| Field       | Value                            |+-------------+----------------------------------+| description | Demo Project                     || domain_id   | default                          || enabled     | True                             || id          | 9f4f23f099bb4da3bc41c99f7a8a4f20 || is_domain   | False                            || name        | demo                             || parent_id   | default                          |+-------------+----------------------------------+查看项目openstack project list+----------------------------------+---------+| ID                               | Name    |+----------------------------------+---------+| 7d3f0cd56a104c60a36196675f62428e | admin   || 9f4f23f099bb4da3bc41c99f7a8a4f20 | demo    || a1710fdff32a4605a8ab549f8680dd45 | service |+----------------------------------+---------+

 

(2)创建用户demo并设置密码

    openstack user create --domain default --password-prompt demo手动输入密码或:openstack user create --domain default --password=demo demo+---------------------+----------------------------------+| Field               | Value                            |+---------------------+----------------------------------+| domain_id           | default                          || enabled             | True                             || id                  | e880cc125bb541128c9bc47233d91732 || name                | demo                             || options             | {}                               || password_expires_at | None                             |+---------------------+----------------------------------+查看用户openstack user list+----------------------------------+-------+| ID                               | Name  |+----------------------------------+-------+| cd9ce1eb589b445e9b98c53a36bdc8d8 | admin || e880cc125bb541128c9bc47233d91732 | demo  |+----------------------------------+-------+

 

(3)创建角色user

    openstack role create user+-----------+----------------------------------+| Field     | Value                            |+-----------+----------------------------------+| domain_id | None                             || id        | 348324e7aee745229551eb412fd96a18 || name      | user                             |+-----------+----------------------------------+查看角色openstack role list+----------------------------------+----------+| ID                               | Name     |+----------------------------------+----------+| 348324e7aee745229551eb412fd96a18 | user     || 9fe2ff9ee4384b1894a90878d3e92bab | _member_ || c6b4ab1a75d041e298f59570bd7dd46e | admin    |+----------------------------------+----------+

 

(4)将demo项目下的demo用户设置为user角色

    openstack role add --project demo --user demo user

 

3)验证登录信息

(1)取消环境变量值

    unset OS_AUTH_URL OS_PASSWORD

 

(2)输入admin用户登录信息登录

    openstack --os-auth-url http://node1:35357/v3 \> --os-project-domain-name default \> --os-user-domain-name default \> --os-project-name admin \> --os-username admin token issuePassword:+------------+-------------------------------------------------------------------------------------------+| Field      | Value                                                                                     |+------------+-------------------------------------------------------------------------------------------+| expires    | 2019-07-29T09:44:06+0000                                                                  || id         | gAAAAABdPrHWXAwrKHKnU3CMr5odqMjYwK90C5bD6rdPEfoJzTuAh-G3YZcb0SHzr8ek8qaS5zgN4haULRxpgcrli ||            | XJ32hhKvmN8UZTSRgW58l_Nu1e1l4gjDjxXyUS25a4krWJ46brr4qpq3AvUu40_B9ccw9Z_7vjiDA_-           ||            | FTKpmqFnRNrAH-k                                                                           || project_id | 7d3f0cd56a104c60a36196675f62428e                                                          || user_id    | cd9ce1eb589b445e9b98c53a36bdc8d8                                                          |+------------+-------------------------------------------------------------------------------------------+

 

5.Troubleshoot

OpenStack排查问题的方法主要靠日志,每个service都有自己的日志文件。

Keystone主要有两个日志:keystone.log 和 keystone_access.log,保存在 /var/log/keystone 与 /var/log/httpd/ 目录中。

    vim /var/log/keystone/keystone.log 2019-07-29 14:36:47.607 43150 INFO migrate.versioning.api [-] 66 -> 67...2019-07-29 14:36:48.060 43150 INFO migrate.versioning.api [-] done2019-07-29 14:36:48.060 43150 INFO migrate.versioning.api [-] 67 -> 68...2019-07-29 14:36:48.065 43150 INFO migrate.versioning.api [-] done2019-07-29 14:36:48.065 43150 INFO migrate.versioning.api [-] 68 -> 69...2019-07-29 14:36:48.069 43150 INFO migrate.versioning.api [-] done2019-07-29 14:36:48.069 43150 INFO migrate.versioning.api [-] 69 -> 70...2019-07-29 14:36:48.073 43150 INFO migrate.versioning.api [-] done

 

    vim /var/log/httpd/keystone_access.log192.168.52.101 - - [29/Jul/2019:15:01:40 +0800] "GET /v3 HTTP/1.1" 200 245 "-" "osc-lib/1.3.1 keystoneauth1/2.18.0 python-requests/2.11.1 CPython/2.7.5"192.168.52.101 - - [29/Jul/2019:15:01:42 +0800] "POST /v3/auth/tokens HTTP/1.1" 201 1082 "-" "osc-lib/1.3.1 keystoneauth1/2.18.0 python-requests/2.11.1 CPython/2.7.5"192.168.52.101 - - [29/Jul/2019:15:02:21 +0800] "GET /v3 HTTP/1.1" 200 245 "-" "osc-lib/1.3.1 keystoneauth1/2.18.0 python-requests/2.11.1 CPython/2.7.5"192.168.52.101 - - [29/Jul/2019:15:02:23 +0800] "POST /v3/auth/tokens HTTP/1.1" 201 1082 "-" "osc-lib/1.3.1 keystoneauth1/2.18.0 python-requests/2.11.1 CPython/2.7.5"

 

如果需要得到详细的日志信息可以将配置文件中的debug选项打开

    vim /etc/keystone/keystone.conf[DEFAULT]debug=True

 

转载于:https://www.cnblogs.com/Agnostida-Trilobita/p/11263074.html

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/482667.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

1_RabbitMQ初入门入门Hello消费者+生产者

文章目录1_RabbitMQ初入门1.RabbitMQ的介绍1.工作原理&发送/接收消息的流程2. 为什么要使用消息队列?3.使用了消息队列有什么缺点?2.安装RabbitMQ3.入门程序Hello_消费者&生产者_1.导入依赖2.生产者1.设置连接信息2.获取connection(连…

《Nature》:衰老后的核糖体发生了哪些致病变化

来源:生物通研究发现,产生蛋白质的细胞装配线会随着年龄的增长而停滞,从而引发雪球效应,增加错误折叠蛋白质的产量。在人类中,成堆的错误折叠蛋白质会导致与年龄相关的阿尔茨海默病和帕金森病。衰老会损害核糖体有效合…

[转载]eXeScope 6.50本地溢出分析

作 者: humourkyo时 间: 2009-03-30,21:03链 接: http://bbs.pediy.com/showthread.php?t84975无聊逛了下http://www.milw0rm.com 看最近有什么ODAY没,顺便挑一个分析下玩玩。于是就看到了这个http://www.milw0rm.com/exploits/8270是eXeScope 6.50 Local Buffer O…

饶毅:中国脑计划是我见过的最差科学经费管理,中国猴计划应该缓行

左:饶毅 右:蒲慕明来源:饶议科学 作者:饶毅原标题:中国猴计划应该缓行在我国上上下下左左右右普遍对支持科学研究有广泛共识,在我国具备一定支持科学研究的经济条件的情况下,科技部正在推动最大…

2_RabbitMQ工作模式_Work queues_Publish/Subscribe_Routing_Topics_HeaderRpc

文章目录2_RabbitMQ工作模式1.Work queues2.Publish/Subscribe1.工作模式2.代码1.生产者1.指定消息队列相关消息2.建立连接&绑定队列3.发送消息完整代码:2.消费者1.指定消息队列相关消息2.建立连接&绑定队列3.实现消费方法&监听消息完整代码3.小结3.Rou…

1000亿美元!英特尔要在美国建世界最大芯片厂,美520 亿美元芯片法案接近敲定...

来源:新智元编辑:桃子 拉燕 时光1000亿美元芯片计划,要重振英特尔往日雄风!路透称,英特尔将投资200亿美元建设2家芯片制造工厂,并计划最终投资多达1000亿美元。新工厂的建设将于今年晚些时候开始&#xff0…

Vue 组件间通信六种方式

前言 组件是 vue.js最强大的功能之一,而组件实例的作用域是相互独立的,这就意味着不同组件之间的数据无法相互引用。一般来说,组件可以有以下几种关系: 如上图所示,A 和 B、B 和 C、B 和 D 都是父子关系,C …

vue-day01-vue模板语法

文章目录Vue 是什么?使用Vue将helloworld 渲染到页面上指令v-cloakv-textv-htmlv-pre**v-once**双向数据绑定v-modelmvvmv-onv-on事件函数中传入参数事件修饰符按键修饰符自定义按键修饰符别名小案例-简单计算器v-bind绑定对象绑定class绑定对象和绑定数组 的区别绑…

IEEE Spectrum调查:AI 的 6 种最坏情况

来源:AI科技评论编译:辛西娅审核:维克多对于人类社会,人工智能(AI)带来的最大威胁是什么?好莱坞科幻电影的“想象”提供了答案:它逐渐进化,获得人类思考能力,…

212页PPT详解MEMS微传感器的工作原理(深入全面!)

来源:传感器专家网本文是关于MEMS微传感器的工作原理最全面的内容,分为两部分,共计212页PPT内容。主要讲解了MEMS微传感器的概念、分类,基本敏感原理介绍,MEMS微传感器实例、MEMS微执行器分类、基本致动方式介绍、微执…

Lucene-01 全文检索基本介绍

文章目录课程计划什么是全文检索数据分类结构化数据搜索非结构化数据查询方法如何实现全文检索全文检索的应用场景Lucene实现全文检索的流程索引和搜索流程图创建索引获得原始文档创建文档对象分析文档创建索引查询索引用户查询接口创建查询执行查询渲染结果全文检索技术Lucene…

为何生命进化的方向是衰老,而不是永生?

来源:科学的乐园永生似乎是全世界各种文化里都在追求的一种状态,为此古代的人们发展出了宗教,用来寄托死亡带来的遗憾。而人类也在想尽一切办法抑制衰老,各种护肤品、保养品相继问世。当然人类在这条追求永生的道路上也吃了很多苦…

vue-day02-vue常用特性

文章目录Vue常用特性表单基本操作表单修饰符自定义指令Vue.directive 注册全局指令Vue.directive 注册全局指令 带参数自定义指令局部指令计算属性 computed侦听器 watch过滤器过滤器中传递参数生命周期常用的 钩子函数数组变异方法替换数组动态数组响应式数据图书列表案例1、 …

2022年,哪些科技趋势将持续改变世界?这里有一份来自百度研究院的预测

来源:数学中国编辑部弹指之间,2021 年已经远去。这一年,新冠疫情全球经济和社会生活带来诸多挑战,同时,科学技术的力量得以持续显现。技术进步与产业发展的速度进一步加快,数字技术、智能技术为人们的生活带…

CSS每日学习笔记(1)

7.30.2019 1.CSS 文本属性 属性 描述 color 设置文本颜色 direction 设置文本方向。 line-height 设置行高。 letter-spacing 设置字符间距。 text-align 对齐元素中的文本。 text-decoration 向文本添加修饰。 text-indent 缩进元素中文本的首行。 text-shado…

vue-day03-vue组件化开发

文章目录组件组件注册全局注册组件基础用组件注意事项局部注册Vue 调试工具Vue组件之间传值父组件向子组件传值子组件向父组件传值兄弟之间的传递组件插槽匿名插槽具名插槽作用域插槽购物车案例1. 实现组件化布局2、实现 标题和结算功能组件3. 实现列表组件删除功能4. 实现组件…

智源发布《人工智能的认知神经基础白皮书》,一览“AI×脑科学”前沿

图. 智源研究院《人工智能的认知神经基础白皮书》(2021年)来源:智源研究院智源研究院发布 2021 年度《人工智能的认知神经基础白皮书》,兼具专业性与科普性,是人工智能学者探寻“AI脑科学”交叉学科研发创新的导览之作…

VR视觉健康标准在穗发布 专家:VR使用不要超过45分钟

来源:VR每日必看近期,“元宇宙”新兴概念备受关注,虚拟现实(下称“VR”)技术也被国内外媒体评为“第四次工业革命的钥匙之一”。但是,有不少人对VR眼镜等设备感到担忧:使用它会损害视力吗&#…

vue-day04-vue前端交互

文章目录接口调用方式异步promise基于Promise发送Ajax请求Promise 基本API实例方法.then().catch().finally()静态方法.all().race()fetch概览fetch请求参数(图片记录)fetch API 中的 HTTP 请求fetchAPI 中 响应格式axiosaxios基础用法axios的响应结果ax…

用数学范畴定义生命的尝试

来源:CreateAMind介绍一篇关于生命构建的论文Polynomial Life: the Structure of Adaptive Systems Toby St. Clere Smithe Topos Institute tobytopos.institute关键词:精确地形式化概念;是什么赋予了物理系统生命;贝叶斯、 信念…