OpenStack_Keystone部署(t版)

布满荆棘的人生 2021-07-26 17:46 557阅读 0赞

### keystone ###

*  一.概述
 *   *   *  1.keystone
     *  2.主要功能
     *   *  3.相关名词
         *  4.keystone认证流程
     *  二.Openstack-keystone部署
     *   *  1.创建数据库实例和数据库用户
         *  2.安装、配置keystone、数据库、Apache
         *   *  1)安装keystone、httpd、mod\_wsgi
             *  2)通过pymysql模块访问mysql，指定用户名密码、数据库的域名、数据库名
             *  3) 初始化认证服务数据库
             *  4)初始化fernet 密钥存储库(以下命令会生成两个密钥，生成的密钥放于/etc/keystone/目录下，用于加密数据）
             *   *  5)配置bootstrap身份认证服务
             *  6)配置Apache HTTP服务器
             *   *  7）创建配置文件
                 *   *  8）开启服务
                 *  9）配置管理员账户的环境变量
     *  3.创建OpenStack 域、项目、用户和角色
     *   *   *  1）创建角色（可使用openstack role list查询）
             *  2）查看是否可以不指定密码就可以获取到token信息（验证认证服务）
             *  总结：
             *   *  keystone

# 一.概述 #

### 1.keystone ###

openstack是一个SOA架构，各个项目独立提供先关的服务，且互不依赖，如nova提供计算服务，glance提供镜像服务等。
    而Keystone是openstack中的一个独立的安全认证的模块，也可以说是openstack框架的注册表。

*  多方式认证授权(token）、提供可访问的资源集合
 *  1.提供认证(多角色的权限控制),颁发，管理令牌
 *  2.认证完成后，指定后端endpoint（具体位置，API位置)

## 2.主要功能 ##

身份认证：令牌的发放和校验  
用户授权：授予用户在一个服务中所拥有权限  
用户管理:管理用户账号  
服务目录:提供可用服务的API端点

### 3.相关名词 ###

<table> 
 <thead> 
  <tr> 
   <th>User</th> 
   <th>指使用Openstack service的用户</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>Project(tenant)</td> 
   <td>可以理解为一个人、或服务所拥有的资源集合</td> 
  </tr> 
  <tr> 
   <td>Role</td> 
   <td>用于划分权限、通过user指定role,使User获得Role对应操作权限</td> 
  </tr> 
  <tr> 
   <td>Authentication</td> 
   <td>确定用户身份的过程</td> 
  </tr> 
  <tr> 
   <td>Token</td> 
   <td>是一个字符串表示，作为访问资源的令牌，token包含了指定范围和有效时间内，可以被访问的资源</td> 
  </tr> 
  <tr> 
   <td>Credentials</td> 
   <td>用于确认用户身份和凭证，期户的用户名和密码或者是用户名和API密钥，或者身份管理服务提供的认证令牌</td> 
  </tr> 
  <tr> 
   <td>Service</td> 
   <td>Openstack service，即Openstack中运行的组件服务。如nova、swift、glance、neutron、cinder等。</td> 
  </tr> 
  <tr> 
   <td>Endpoint</td> 
   <td>一个可以通过网络来访问和定位某个Openstack service的地址，通常是一个URL。</td> 
  </tr> 
 </tbody> 
</table>

### 4.keystone认证流程 ###

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center]

keyston认证流程，创建实例过程  
user角色用户，组件间的相互调用，全局认证(keystone）  
nova、glance neutron 创建必须的组件

1.登录(认证)  
2.到达控制台(keystone指引)  
3.web页面发出创建实例请求  
4.访问nova，发出请求  
5.nova分别向glance、neutron发出调用资源的申请  
6.nova拿到所需要的资源后，创建虚拟机，同时将结果返回给用户  
每一步加入keystone认证、授权(token)的过程  
用户/组件，持着令牌(token）再去找其他组件

## 二.Openstack-keystone部署 ##

*  接着Openstack部署
 *  为openstack安装keystone组件，全部在控制节点上操作

### 1.创建数据库实例和数据库用户 ###

mysql -u root -p
    
    create database keystone;
    GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS';
    GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'KEYSTONE_DBPASS';
    flush privileges;
    exit

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 1]

### 2.安装、配置keystone、数据库、Apache ###

#### 1)安装keystone、httpd、mod\_wsgi ####

*  mod\_wsgi包的作用是让apache能够代理python程序的组件；openstack的各个组件，包括API都是用python写的，但访问的是apache，apache会把请求转发给python去处理,这些包只安装在controler节点

yum -y install openstack-keystone httpd mod_wsgi
    cp -a /etc/keystone/keystone.conf{ ,.bak}
    
    grep -Ev "^$|#" /etc/keystone/keystone.conf.bak > /etc/keystone/keystone.conf

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 2]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 3]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 4]

#### 2)通过pymysql模块访问mysql，指定用户名密码、数据库的域名、数据库名 ####

openstack-config --set /etc/keystone/keystone.conf database connection mysql+pymysql://keystone:KEYSTONE_DBPASS@ct/keystone
    
    openstack-config --set /etc/keystone/keystone.conf token provider fernet

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 5]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 6]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 7]

#### 3) 初始化认证服务数据库 ####

su -s /bin/sh -c "keystone-manage db_sync" keystone

![在这里插入图片描述][20210520145451208.png_pic_center]

#### 4)初始化fernet 密钥存储库(以下命令会生成两个密钥，生成的密钥放于/etc/keystone/目录下，用于加密数据） ####

keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
    
    keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 8]

##### 5)配置bootstrap身份认证服务 #####

keystone-manage bootstrap --bootstrap-password ADMIN_PASS \
    --bootstrap-admin-url http://ct:5000/v3/ \
    --bootstrap-internal-url http://ct:5000/v3/ \
    --bootstrap-public-url http://ct:5000/v3/ \
    --bootstrap-region-id RegionOne		#指定一个区域名称
    
    #--------模块和参数解释----------------------------------------------------------
    #此步骤是初始化openstack，会把openstack的admin用户的信息写入到mysql的user表中，以及url等其他信息写入到mysql的相关表中； 
    #admin-url是管理网(如公有云内部openstack管理网络)，用于管理虚拟机的扩容或删除；如果共有网络和管理网是一个网络，则当业务量大时，会造成无法通过openstack的控制端扩容虚拟机，所以需要一个管理网； 
    #internal-url是内部网络，进行数据传输，如虚拟机访问存储和数据库、zookeeper等中间件，这个网络是不能被外网访问的，只能用于企业内部访问 
    #public-url是共有网络，可以给用户访问的(如公有云) #但是此环境没有这些网络，则公用同一个网络 
    #5000端口是keystone提供认证的端口 
    #需要在haproxy服务器上添加一条listen 
    #各种网络的url需要指定controler节点的域名，一般是haproxy的vip的域名（高可用模式）

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 9]

#### 6)配置Apache HTTP服务器 ####

echo "ServerName controller" >> /etc/httpd/conf/httpd.conf

![在这里插入图片描述][20210520151357895.png_pic_center]

##### 7）创建配置文件 #####

*  安装完mod\_wsgi包后，会生成 wsgi-keystone.conf 这个文件，文件中配置了虚拟主机及监听了5000端口，mod\_wsgi就是python的网关

ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/

![在这里插入图片描述][20210520151612906.png_pic_center]

###### 8）开启服务 ######

systemctl enable httpd
    systemctl start httpd

![在这里插入图片描述][20210520151802325.png_pic_center]

##### 9）配置管理员账户的环境变量 #####

这些环境变量用于创建角色和项目使用，但是创建角色和项目需要有认证信息，所以通过环境变量声明用户名和密码等认证信息，欺骗openstack已经登录且通过认证，这样就可以创建项目和角色；也就是把admin用户的验证信息通过声明环境变量的方式传递给openstack进行验证，实现针对openstack的非交互式操作

cat >> ~/.bashrc << EOF
    export OS_USERNAME=admin
    export OS_PASSWORD=ADMIN_PASS
    export OS_PROJECT_NAME=admin
    export OS_USER_DOMAIN_NAME=Default
    export OS_PROJECT_DOMAIN_NAME=Default
    export OS_AUTH_URL=http://ct:5000/v3
    export OS_IDENTITY_API_VERSION=3
    export OS_IMAGE_API_VERSION=2
    EOF
    
    source ~/.bashrc
    
    #通过配置环境变量，可以使用openstack命令进行一些操作
    openstack user list

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 10]

## 3.创建OpenStack 域、项目、用户和角色 ##

*  创建一个项目（project），创建在指定的domain（域）中，指定描述信息，project名称为service（可使用openstack project list 查询）

openstack project create --domain default --description "Service Project" service
    
    #查看openstack 项目列表
    openstack project list

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 11]

#### 1）创建角色（可使用openstack role list查询） ####

openstack role create user
    
    #查看openstack 角色列表
    openstack role list
    
    # admin为管理员
    # member为 租户
    # user：用户

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 12]

#### 2）查看是否可以不指定密码就可以获取到token信息（验证认证服务） ####

openstack token issue

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 13]

#### 总结： ####

##### keystone #####

*  keystone:是openstack中的一个独立的安全认证模块
 *  负责openstack用户的身份认证，令牌管理，提供访问资源的服务目录，用户角色的访问控制

主要功能：

*  身份认证：令牌的发放和校验
 *  用户授权:授予用户在一个服务中所拥有权限
 *  用户管理;管理用户账户
 *  服务目录;提供可用服务的API端点

keyston认证流程

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center]: /images/20210726/165b8fac3ef74b3c98c88502bbca18e8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20210726/c3a85318297a460f9f343ab6d48f9026.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20210726/28ab1d72a0cb439498e7e19a02b75f5f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20210726/62439bababb342a991134034589a2152.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20210726/977d01035c1d406caf8cac272be9f594.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20210726/e108770bf7c642ba874debec96893203.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 6]: /images/20210726/b1be6569b1e8422aacf2b24a6d25853e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 7]: /images/20210726/861f5212cb5d4fbd850a54ac030b6389.png
[20210520145451208.png_pic_center]: /images/20210726/e231e522091f444e9f6468e543087e06.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 8]: /images/20210726/9857f69e4e984ccb98e6305766d60723.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 9]: /images/20210726/b3fd5a111ec44ef685c9a82764403d24.png
[20210520151357895.png_pic_center]: /images/20210726/dcd104085be04737a5e2858be1b7c2f0.png
[20210520151612906.png_pic_center]: /images/20210726/c0b9004beb924503a3601588d2e2f3a4.png
[20210520151802325.png_pic_center]: /images/20210726/2ceb6c3caefd4302a2835af785d4b200.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 10]: /images/20210726/843efafd37164e1e8afbd1af5c55c93d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 11]: /images/20210726/c8af07261f3c4ee5bdee44d7475f4688.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 12]: /images/20210726/092f62655aa145d3befb02b501137a26.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L1dzeHlp_size_16_color_FFFFFF_t_70_pic_center 13]: /images/20210726/5734ea85b3404dafb2670b3ff1a995f6.png