OpenStack Victoria搭建（五） Keystone认证服务

keystone是用户与云平台交互的第一个服务，一旦认证通过，用户就会使用自己的身份来访问其他的opnestack服务，同样，被访问的openstack服务会去跟keystone再次确认用户(不能只能用户的片面之词)并且通过 keystone可以发现其他服务(catalog的原因)，keystone的还可以整合其他的用户管理系统，比如LDAP
在这里插入图片描述

keystone工作 流程 详解

User从Keystone获取令牌以及服务列表；
User访问服务时，亮出自己的令牌。
相关的服务向Keystone求证令牌的合法性。

在这里插入图片描述

用户ali ce 登录 keystone系统（password或者token的方式），获取一个临时的token和catalog服务目录（v3版本登录时，如果没有指定 scope，project或者domain，获取的临时token没有任何权限，不能查询 project或者catalog）。
ali ce 通过临时token 获取自己的所有的project 列表。
ali ce选定一个project，然后指定project重新登录，获取一个正式的token，同时获得服务列表的end point，用户选定一个end point，在HTTP消息头中携带token，然后发送请求（如果用户知道 project name或者project id可以直接第3步登录）。
消息到达end point之后，由服务端（nova）的keystone中间件（pipeline中的filter：authtoken）向keystone发送一个验证token的请求。（token 类型：uuid 需要在keystone验证token，pk i 类型的token本身是包含用户详细信息的加密串，可以在服务端完成验证）
keystone验证token成功之后，将token对应用户的详细信息，例如：role，username，userid等，返回给服务端（nova）。
服务端（nova）完成请求，例如：创建虚拟机。
服务端返回请求结果给ali ce。

安装和配置

本节介绍如何在控制器节点上安装和配置 OpenStack Identity 服务，代号为 keystone。出于可扩展性目的，此配置部署了 Fernet 令牌和 Apache HTTP 服务器来处理请求。

配置 数据库

使用数据库访问客户端以root用户身份连接数据库服务器：
```
mysql -u root -p
```

创建keystone数据库：

MariaDB [(none)]&gt; CREATE DATABASE keystone;

授予对keystone数据库的适当访问权限：

MariaDB [(none)]&gt; GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' 
IDENTIFIED BY 'KEYSTONE_DBPASS';
MariaDB [(none)]&gt; GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' 
IDENTIFIED BY 'KEYSTONE_DBPASS';

替换KEYSTONE_DBPASS为合适的密码。

退出数据库访问客户端。

安装和配置组件

✔ 笔记
 默认配置文件因发行版而异。您可能需要添加这些部分和选项，而不是修改现有的部分和选项。此外，配置片段中的省略号 ( …) 表示您应该保留的潜在默认配置选项。

运行以下命令来安装软件包：
```
yum install openstack-keystone httpd python3-mod_wsgi
```
✔ 笔记
对于 RHEL7/Centos7 及以上安装包 mod _wsgi。
编辑/etc/keystone/keystone.conf 文件并完成以下操作：
- 在该[database]部分中，配置数据库访问：
```
[database]
#  ...
connection = mysql+pymysql://keystone:KEYSTONE_DBPASS@controller/keystone
```
  替换KEYSTONE_DBPASS为您为数据库选择的密码。
  
  笔记
   注释掉或删除 connect ion该部分中的任何其他选项 [database]。
  
  笔记
  在此示例中，主机 controller必须是可解析的。
- 在该[token]部分中，配置 Fernet 令牌提供程序：
```
[token]
# ...
provider = fernet
```

填充身份服务数据库：

su -s /bin/sh -c "keystone-manage db_sync" keystone

初始化 Fernet 密钥存储库：

笔记
和标志用于指定将用于运行 keystone 的操作系统的用户/组–keystone-user。–keystone-group提供这些是为了允许在另一个操作系统用户/组下运行 keystone。在下面的示例中，我们调用 user & g ro up keystone。
```
keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
keystone-manage credential_setup --keystone-user keystone --keystone-group keystone
```
引导身份服务：

✔ 笔记
在 Queens 发布之前，keystone 需要在两个单独的端口上运行以适应 Identity v2 API，后者通常在端口 35357 上运行单独的仅管理员服务。删除 v2 API 后，keystone 可以在同一端口上运行所有接口。
```
 keystone-manage bootstrap --bootstrap-password ADMIN_PASS 
  --bootstrap-admin-url http://controller:5000/v3/ 
  --bootstrap-internal-url http://controller:5000/v3/ 
  --bootstrap-public-url http://controller:5000/v3/ 
  --bootstrap-region-id RegionOne
```
替换ADMIN_PASS为适合管理用户的密码。

配置 Apache HTTP 服务器

编辑/etc/httpd/conf/httpd.conf 文件并配置 ServerName选项以引用控制器节点：
```
ServerName controller
```
如果该ServerName条目尚不存在，则需要添加该条目。

创建/usr/share/keystone/wsgi-keystone.conf 文件的链接：

ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/

SSL

安全部署应将 Web 服务器配置为使用 SSL 或在 SSL 终结器后面运行。

完成安装

启动 Apache HTTP 服务并将其配置为在系统启动时启动：
```
systemctl enable httpd.service
systemctl start httpd.service
```

通过设置适当的环境变量来配置管理帐户：

export OS_USERNAME=admin
export OS_PASSWORD=ADMIN_PASS
export OS_PROJECT_NAME=admin
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_DOMAIN_NAME=Default
export OS_AUTH_URL=http://controller:5000/v3
export OS_IDENTITY_API_VERSION=3

此处显示的这些值是从创建的默认值。keystone-manage bootstrap
替换为keystone-install–configure-rdo中命令中ADMIN_PASS使用的密码。keystone-manage bootstrap

创建域、项目、用户和角色

Identity 服务为每个 OpenStack 服务提供身份验证服务。身份验证服务使用域、项目、用户和角色的组合。

创建域

openstack domain create --description "An Example Domain" example

在这里插入图片描述

创建服务

openstack project create --domain default 
  --description "Service Project" service

在这里插入图片描述

创建项目

openstack project create --domain default --description "Demo Project" demo

在这里插入图片描述

创建用户

openstack user create --domain default  --password-prompt demo

创建角色

openstack role create demo

在这里插入图片描述

将role角色添加到demo项目和demo用户

openstack role add --project demo --user demo demo

验证

取消设置临时变量OS_AUTH_URL和OS_PASSWORD 环境变量：
```
unset OS_AUTH_URL OS_PASSWORD
```

作为admin用户，请求一个身份验证令牌：

openstack --os-auth-url http://controller:5000/v3 
  --os-project-domain-name Default --os-user-domain-name Default 
  --os-project-name admin --os-username admin token issue

在这里插入图片描述

作为user在上面创建的用户，请求一个身份验证令牌：

openstack --os-auth-url http://controller:5000/v3 
  --os-project-domain-name Default --os-user-domain-name Default 
  --os-project-name demo --os-username demo token issue

在这里插入图片描述

创建 OpenStack 客户端 环境 脚本

前面的部分使用环境变量和命令选项的组合通过 open stack 客户端与身份服务进行交互。为了提高客户端操作的效率，OpenStack 支持简单的客户端环境脚本，也称为 OpenRC 文件。这些脚本通常包含所有客户端的通用选项，但也支持独特的选项。

创建脚本

为项目和用户admin创建客户端环境脚本。

创建并编辑admin_open rc 文件并添加以下内容：

export OS_PROJECT_DOMAIN_NAME=Default
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_NAME=admin
export OS_USERNAME=admin
export OS_PASSWORD=ADMIN_PASS
export OS_AUTH_URL=http://controller:5000/v3
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2

替换为您在身份服务中ADMIN_PASS为用户admin 选择的密码。

创建并编辑 demo_open rc文件并添加以下内容：

export OS_PROJECT_DOMAIN_NAME=Default
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_NAME=demo
export OS_USERNAME=demo
export OS_PASSWORD=DEMO_PASS
export OS_AUTH_URL=http://controller:5000/v3
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2