Openstack (keystone 身份認證)

keystone簡介

keystone 是OpenStack的元件之一，用于為OpenStack家族中的其它元件成員提供統一的認證服務，包括身份驗證、令牌的發放和校驗、服務清單、使用者權限的定義等等。雲環境中所有的服務之間的授權和認證都需要經過 keystone

keystone工作

1. 管理使用者及其權限
2. 維護 OpenStack Services 的 Endpoint
3. Authentication（認證）和 Authorization（鑒權）

服務

#主節點（keystone服務依靠httpd）

# systemctl enable httpd.service
# systemctl start httpd.service
           

基本名詞解釋

user

User 指代任何使用 OpenStack 的實體，可以是真正的使用者，其他系統或者服務。

[[email protected] log]# openstack user list
+----------------------------------+-----------+
| ID                               | Name      |
+----------------------------------+-----------+
| 0d1172ac468c4b7185bc6aef48e9f97d | admin     |
| 2cdcf92000894eed971389af8bcc18df | cinder    |
| 44197ea8943b4940bf26bda9e2019a25 | glance    |
| 9b9baaf5f4e54d8b84c2c18fc0360bea | placement |
| a0cc358d272b44c8807672c0cc0faa27 | nova      |
| bb8a918057084a278a3d5b7107e7e8a6 | neutron   |
| c06816b1bde24dd5a84f7cf53f9fb197 | demo      |
+----------------------------------+-----------+
           

• admin：openstack平台的超級管理者，負責openstack服務的管理和通路權限
• demo： 正常（非管理）任務應該使用無特權的項目和使用者，所有要建立 demo 項目和 demo 使用者
• 除了 admin 和 demo，OpenStack 也為 nova、cinder、glance、neutron 服務建立了相應的 User，admin 也可以管理這些 User。

credentials

Credentials 是 User 用來證明自己身份的資訊，可以是：

1. 使用者名/密碼
2. Token
3. API Key
4. 其他進階方式

authentication

Authentication 是 Keystone 驗證 User 身份的過程。User 通路 OpenStack 時向 Keystone 送出使用者名和密碼形式的 Credentials，Keystone 驗證通過後會給 User 簽發一個 Token 作為後續通路的 Credential。

token

Token 是由數字和字母組成的字元串，User 成功 Authentication 後 Keystone 生成 > Token 并配置設定給 User。

1. Token 用做通路 Service 的 Credential
2. Service 會通過 Keystone 驗證 Token 的有效性
3. Token 的有效期預設是 24 小時

project

Project 用于将 OpenStack 的資源（計算、存儲和網絡）進行分組和隔離。

根據 OpenStack 服務的對象不同，Project 可以是一個客戶（公有雲，也叫租戶）、部門或者項目組（私有雲）

注意：

1. 資源的所有權是屬于 Project 的，而不是 User。
2. 在 OpenStack 的界面和文檔中，Tenant / Project / Account 這幾個術語是通用的，但長期看會傾向使用 Project
3. 每個 User（包括 admin）必須挂在 Project 裡才能通路該 Project 的資源。 一個User可以屬于多個 Project。
4. admin 相當于 root 使用者，具有最高權限

[[email protected] log]# openstack project list
+----------------------------------+---------+
| ID                               | Name    |
+----------------------------------+---------+
| 0e5426ebfffb4581b85dce45436576cc | admin   |
| 8e5b458ff7914270a78b290a74cac742 | service |
| d5765818b47d4bfb999d7710453a5c8a | demo    |
+----------------------------------+---------+
           

service

OpenStack 的 Service 包括 Compute (Nova)、Block Storage (Cinder)、Object Storage (Swift)、Image Service (Glance) 、Networking Service (Neutron) 等。每個 Service 都會提供若幹個 Endpoint，User 通過 Endpoint 通路資源和執行操作

[[email protected] log]# openstack service list
+----------------------------------+-----------+-----------+
| ID                               | Name      | Type      |
+----------------------------------+-----------+-----------+
| 1c31129027c94ac9aedbde8d679927a1 | keystone  | identity  |
| 2aeb7a8d97f8477ab6da3a38d04636a5 | placement | placement |
| 3cae0bffa0304c05a4ee2dcde525eb98 | neutron   | network   |
| 52b89010650a4ee9b68776b5c76a6d7b | glance    | image     |
| 9cd96bdd4404416a97a7d25b472f7bcb | cinderv3  | volumev3  |
| b03e2059becf4acea1e2717b9ccc0f55 | nova      | compute   |
| c1c27c7b77704a9387ab08b21841d396 | cinderv2  | volumev2  |
+----------------------------------+-----------+-----------+
           

endpoint

Endpoint 是一個網絡上可通路的位址，通常是一個 URL。Service 通過 Endpoint 暴露自己的 API。 Keystone 負責管理和維護每個 Service 的 Endpoint。

[[email protected] log]# openstack catalog list
+-----------+-----------+------------------------------------------------------------------+
| Name      | Type      | Endpoints                                                        |
+-----------+-----------+------------------------------------------------------------------+
| keystone  | identity  | RegionOne                                                        |
|           |           |   public: http://yun2:5000/v3/                                   |
|           |           | RegionOne                                                        |
|           |           |   admin: http://yun2:35357/v3/                                   |
|           |           | RegionOne                                                        |
|           |           |   internal: http://yun2:5000/v3/                                 |
|           |           |                                                                  |
| placement | placement | RegionOne                                                        |
|           |           |   public: http://yun2:8778                                       |
|           |           | RegionOne                                                        |
|           |           |   admin: http://yun2:8778                                        |
|           |           | RegionOne                                                        |
|           |           |   internal: http://yun2:8778                                     |
|           |           |                                                                  |
| neutron   | network   | RegionOne                                                        |
|           |           |   internal: http://yun2:9696                                     |
|           |           | RegionOne                                                        |
|           |           |   public: http://yun2:9696                                       |
|           |           | RegionOne                                                        |
|           |           |   admin: http://yun2:9696                                        |
|           |           |                                                                  |
| glance    | image     | RegionOne                                                        |
|           |           |   public: http://yun2:9292                                       |
|           |           | RegionOne                                                        |
|           |           |   admin: http://yun2:9292                                        |
|           |           | RegionOne                                                        |
|           |           |   internal: http://yun2:9292                                     |
|           |           |                                                                  |
| cinderv3  | volumev3  | RegionOne                                                        |
|           |           |   admin: http://yun2:8776/v3/0e5426ebfffb4581b85dce45436576cc    |
|           |           | RegionOne                                                        |
|           |           |   public: http://yun2:8776/v3/0e5426ebfffb4581b85dce45436576cc   |
|           |           | RegionOne                                                        |
|           |           |   internal: http://yun2:8776/v3/0e5426ebfffb4581b85dce45436576cc |
|           |           |                                                                  |
| nova      | compute   | RegionOne                                                        |
|           |           |   internal: http://yun2:8774/v2.1                                |
|           |           | RegionOne                                                        |
|           |           |   public: http://yun2:8774/v2.1                                  |
|           |           | RegionOne                                                        |
|           |           |   admin: http://yun2:8774/v2.1                                   |
|           |           |                                                                  |
| cinderv2  | volumev2  | RegionOne                                                        |
|           |           |   admin: http://yun2:8776/v2/0e5426ebfffb4581b85dce45436576cc    |
|           |           | RegionOne                                                        |
|           |           |   public: http://yun2:8776/v2/0e5426ebfffb4581b85dce45436576cc   |
|           |           | RegionOne                                                        |
|           |           |   internal: http://yun2:8776/v2/0e5426ebfffb4581b85dce45436576cc |
|           |           |                                                                  |
+-----------+-----------+------------------------------------------------------------------+
           

防火牆

firewall-cmd --add-port=3306/tcp --permanent
firewall-cmd --add-port=80/tcp --permanent
firewall-cmd --add-port=123/udp --permanent
firewall-cmd --add-port=22/tcp --permanent
firewall-cmd --add-port=35357/tcp --permanent
firewall-cmd --add-port=5000/tcp 
firewall-cmd --add-port=5000/tcp --permanent
firewall-cmd --add-port=9292/tcp --permanent
firewall-cmd --add-port=9696/tcp --permanent
firewall-cmd --add-port=8778/tcp --permanent
firewall-cmd --add-port=8776/tcp --permanent
firewall-cmd --add-port=8774/tcp --permanent
firewall-cmd --reload
           

role

安全包含兩部分：

1. Authentication（認證）--->解決的是“你是誰？”的問題
2. Authorization（鑒權）--->解決的是“你能幹什麼？”的問題. keystone 借助 role 實作 Authorization

[[email protected] log]# openstack role list
+----------------------------------+----------+
| ID                               | Name     |
+----------------------------------+----------+
| 9fe2ff9ee4384b1894a90878d3e92bab | _member_ |
| aa2d974d95b14ecd92e2a5bdf20f2605 | admin    |
| c5d4fd60f60f4fe58a2ad9295ee180cc | user     |
+----------------------------------+----------+
           

keystone基本架構

• Token： 用來生成和管理token
• Catalog：用來存儲和管理service ,endpoint
• Identity：用來管理tenant ,user,role和驗證
• Policy：用來管理通路權限

轉載于:https://www.cnblogs.com/du-z/p/11277374.html