认证服务(keystone)

Keystone职能:

         Keystone (OpenStack ldentityService)是OpenStack中的一个独立的提供安全认证的模块,主要负责openstack用户的身份认证、令牌管理、提供访问资源的服务目录(指引路径)、以及基于用户角色的访问控制

Keystone提供路径指引服务前提:

        Keystone类似一个服务总线,或者说是整个Openstack框架的注册表,其他服务通过keystone来注册其服务的Endpoint(服务访问的URL),任何服务之间相互的调用,需要经过Keystone的身份验证,来获得目标服务的Endpoint来找到目标服务。

主要功能:

       身份认证(Authentication) :令牌的发放和校验;用户授权(Authorization):授予用户在一个服务中所拥有权限;用户管理(Account) :管理用户账户;服务目录(Service Catalog):提供可用服务的API端点。

 


 

安装、配置keystone(controller)

实验环境:compute:已安装:chronyd、openstack;ip:192.168.90.100

controller:已安装:chronyd、openstack、mariadb、rabbitmq、memcached、etcd;ip:192.168.90.110;mysql密码:000000

 

一、创建keystone数据库并授权

连接数据库:mysql -uroot -p000000

新建数据库keystone:CREATE DATABASE keystone;

 

为keystone数据库用户分配权限,并设置用户keystone的密码为000000:下面两条语句把‘keystone’数据库所有表(keystone.*)所有权限(ALL PRIVILEGES)授予本地主机(‘localhost’)任意远程主机(‘%’)上的登录名为‘keystone’的用户,验证密码为‘000000

GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'kspass';
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'kspass';

退出:quit;

二、安装和配置

 

安装软件包: yum -y install openstack-keystone httpd mod_wsgi

 

编辑配置文件:/etc/keystone/keystone.conf

第1步:修改‘【database】’部分实现与数据库连接                【小技巧:esc   按\  输入要找内容    按N向下翻找查看】

 connection = mysql+pymysql://keystone:000000@controller/keystone

第2步:修改‘【token】’部分配置令牌的加密方式。取消注释。使provider = fernet  生效

初始化keystone数据库:su -s /bin/sh -c "keystone-manage db_sync" keystone

查看数据库,确保初始化成功:

 

 

 初始化令牌库:

 keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
 keystone-manage credential_setup --keystone-user keystone --keystone-group keystone
引导身份认证服务,其中设置了管理员密码为000000
keystone-manage bootstrap --bootstrap-password 000000 --bootstrap-admin-url http://controller:5000/v3 --bootstrap-internal-url 
http://controller:5000/v3 --bootstrap-public-url http://controller:5000/v3 --bootstrap-region-id RegionOne

 

 

三、配置http服务

编辑/etc/httpd/conf/httpd.conf,配置服务名称:ServerName controller

 

创建配置文件/usr/share/keystone/wsgi-keystone.conf的符号链接:ln -s /usr/share/keystone/wsgi-keystone.conf  /etc/httpd/conf.d/

重启Apache服务:systemctl enable/restart/status httpd

 

四、完成安装、模拟登陆验证

创建初始化环境变量文件:vi admin-login

 

 export OS_USERNAME=admin
 export OS_PASSWORD=000000
 export OS_PROJECT_NAME=admin
 export OS_USER_DOMAIN_NAME=Default
 export OS_PROJECT_DOMAIN_NAME=Default
 export OS_AUTH_URL=http://controller:5000/v3
 export OS_IDENTITY_API_VERSION=3

 

导入环境变量进行验证:source admin-login

export -p

五、创建域、项目、用户和角色(身份的验证是通过域、项目、用户和角色的组合来进行的。)

1、创建一个名称为example的新域:openstack domain create --description "An Example Domain" example

 

 

 

 2、新建一个名为service的新项目,属于example域:openstack project create --domain example --description "Service Project" service

 

 

 

3、 新建一个用户myuser,属于example域,密码设置为000000:openstack user create --domain example --password-prompt myuser

 

 

 

 4、新建角色myrole:openstack role create lpm

 

 

 查看现有域列表: openstack domain list

现有用户列表:openstack user list

现有项目列表:openstack project list

查看角色列表:openstack role list

 

六、验证

查看是否可以不指定密码就可以获取到token信息(验证认证服务)

openstack token issue