practice_keystone - meetbill/op_practice_book GitHub Wiki

keystone

简介

keystone 中的概念

  • User —— 使用 OpenStack Service 的的对象被称为用户，这里的用户可以是人、服务、系统。

  • Role —— 用来划分权限。给User指定Role的过程，就是给User指定权限的过程。可以简单理解为公司内部职位和职员的关系。公司职员在不同的岗位有不同的权限。在OpenStack中，Keystone返回给User的Token中包含了Role列表，被访问的Service会判断访问它的User和User提供的Token中的Role。系统默认使用 Role 是 admin(管理) 和 member(成员) 。

  • Project （Tenant）—— 可以理解为一个人或者服务所拥有的资源集合。一个Project中可以包含多个User， 每一个User都可以根据分配的权限来使用Project中的资源。比如使用Nova创建的虚拟机要被指定到某个Project中，Cinder创建的卷也要指定到某个Project中，User访问Project中的资源前，需要先与Project关联，并指定User在Project中的Role。

  • Policy —— Openstack对User的验证除了身份验证，还需要鉴别 User 对某个Service是否有访问权限。Policy用来定义什么角色对应什么权限。对Keystone来说，Policy其实是一个JSON文件，默认是 /etc/keystone/policy.json 。通过Policy，Keystone实现了对User的权限管理。

  • Token —— 令牌，使用一个字符串表示。Token中包含了在指定的范围和指定的时间内可以被访问的资源。Token一般被用户持有。

  • Credentials —— 用于确认用户身份的凭证。

  • Authentication —— 确定用户身份的过程。

  • Service —— 指Openstack中运行的组件服务。

  • EndPoint —— 一个可以通过网络来访问和定位某个OpenStack Service的地址，通常表现为一个URL。EndPoint 分三种：

    • Admin Url —— 供admin用户使用，Port：35357
    • Internal Url —— OpenStack 内部服务使用，Port： 5000
    • Public Url —— 供其他用户使用，Port： 5000

    需要注意的是，虽然这里分了三种 URL， 在使用 EndPoint 访问的时候，用户的权限是和URL无关的，用户的权限只和 Role 有关，和用户访问哪一个URL无关。

安装手册

安装中问题

(1)创建keystone身份认证服务组件失败

[root@localhost ~]# openstack service create   --name keystone --description "OpenStack Identity" identity
An unexpected error prevented the server from fulfilling your request. (HTTP 500) (Request-ID: req-bf416d0b-f752-457b-b5b4-8fda97ce93ab)

日志

[root@localhost ~]# tail -f /var/log/keystone/keystone.log 
2017-07-16 17:48:27.603 21074 ERROR keystone.common.wsgi ProgrammingError: (pymysql.err.ProgrammingError) (1146, u"Table 'keystone.service' doesn't exist") [SQL: u'INSERT INTO service (id, type, enabled, extra) VALUES (%(id)s, %(type)s, %(enabled)s, %(extra)s)'] [parameters: {'type': u'identity', 'enabled': 1, 'id': '16f0eb934de74ccd8a4352a1bc0a8e95', 'extra': '{"description": "OpenStack Identity", "name": "keystone"}'}]

解决

#keystone-manage db_sync
然后再执行
# openstack service create   --name keystone --description "OpenStack Identity" identity