手动部署OpenStack之keystone部署

news/2024/7/18 12:52:24 标签: openstack

手动部署OpenStack之keystone部署

  • 一、keystone身份服务
  • 二、keystone主要功能
  • 三、keystone相关概念
  • 四、keystone认证流程
  • 五、OpenStack-Keystone组件部署
    • 注意事项:OpenStack组件安装的顺序
    • (一)、创建数据库实例和数据库用户
    • (二)、安装、配置keystone、数据库、Apache
    • (三)、创建OpenStack 域、项目、用户和角色
  • 六、小结

一、keystone身份服务

keystone(openstack identity service)是openstack中的一个独立的提供安全认证的模块,主要负责openstack用户身份认证、令牌管理、提供访问资源的服务目录、以及基于用户角色的访问控制
keystone类似一个服务总线,或者说是整个openstack框架的注册表,其他服务通过keystone来注册其服务的Endpoint(服务访问的URL),任何服务之间相互调用,需要经过keystone的身份验证,来获得目标服务的Endpoint来找到目标服务

二、keystone主要功能

身份认证(Authentication) : 令牌的发放和校验
用户授权(Authorization) : 授予用户在一个服务中所拥有权限
用户管理(Account) : 管理用户账户
服务目录(Service Catalog) : 提供可用服务的API端点

三、keystone相关概念

User: 指使用Openstack service的用户。
Project(Tenant): 可以理解为一个人、或服务所拥有的资源集合。
Role: 用于划分权限。通过给User指定Role,使User获得Role对应操作权限
Authentication: 确定用户身份的过程。
Token: 是一个字符串表示,作为访问资源的令牌。Token包含 了在指定范围和有效时间内,可以被访问的资源。
Credentials: 用于确认用户身份的凭证。用户的用户名和密码,或者是用户名和API密钥,或者身份管理服务提供的认证令牌。
Service: Openstack service,即Openstack中运行的组件服务。如nova、swift、glance、 neutron、 cinder等。
Endpoint: 一个可以通过网络来访问和定位某个Openstack service的地址,通常是一个URL。

1、因为组件点到点的交互是通过 API 来完成的,API 由 Apache 所承载,Apache 提供了一个URL,所以 API 和 API 的对接也可以认为是 URL 和 URL 的对接。
2、OpenStack中核心、辅助组件的用户是在"yum install" 的时候创建的,OpenStack中关键的就是组件、服务之间的对接配置

四、keystone认证流程

在这里插入图片描述
创建虚拟机首先需要登录用户认证,user向keystone认证,认证没问题以后登录,user需要向nova发送请求,请求安装虚拟机的指令,nove再次向Keyston返回请求验证,验证成功,创建虚拟机是需要glance镜像资源以及neutron网络等资源,那么nova都会想keystone请求验证来获取资源,验证都无问题则会进行VM的创建,创建成功以后返回信息给user

五、OpenStack-Keystone组件部署

此组件全部部署在控制节点

注意事项:OpenStack组件安装的顺序

1、Keystone (apache)
2、glance
3、nova
4、neutron
部署openstack组件时,需先行安装认证服务(keystone),而认证服务是使用Apache运行的,安装完成后才可以创建、管理账号,然后安装镜像服务(glance)、计算服务(nova)、网络服务(neutron)
其中计算服务和网络服务分为管理端和客户端,所以需要在openstack的管理端安装计算服务和网络服务的管理端,在创建虚拟机的node节点上安装计算服务和网络服务的客户端,最后安装dashboard服务,openstack各种组件的API都是通过apache运行的;
openstack的管理端负责创建、管理虚拟机过程的调度
通过openstack管理端创建虚拟机的相关数据最终都会记录到mysql(mariadb)中;node节点没有权限往数据库中写数据,只有控制端有权限,并且node节点与控制端通讯是通过rabbitmq间接通讯,node节点会监听rabbitmq,控制端也会监听rabbitmq,控制端把创建虚拟机的指令发送到rabbitmq,由监听rabbitmq指定队列的node节点接收消息并创建虚拟机。

(一)、创建数据库实例和数据库用户

mysql -u root -p
create database keystone;
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS';
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'KEYSTONE_DBPASS';
flush privileges;
quit

(二)、安装、配置keystone、数据库、Apache

1、安装keystone、httpd、mod_wsgi

#mod_wsgi包的作用是让apache能够代理python程序的组件;openstack的各个组件,包括API都是用python写的,但访问的是apache,apache会把请求转发给python去处理,这些包只安装在controler节点
[root@ct ~]# yum -y install openstack-keystone httpd mod_wsgi
[root@ct ~]# cp -a /etc/keystone/keystone.conf{,.bak}
[root@ct ~]# grep -Ev "^$|#" /etc/keystone/keystone.conf.bak > /etc/keystone/keystone.conf
#通过pymysql模块访问mysql,指定用户名密码、数据库的域名、数据库名
[root@ct ~]# openstack-config --set /etc/keystone/keystone.conf database connection mysql+pymysql://keystone:KEYSTONE_DBPASS@ct/keystone
#指定token的提供者;提供者就是keystone自己本身
[root@ct ~]# openstack-config --set /etc/keystone/keystone.conf token provider fernet
Fernet:一种安全的消息传递格式

在这里插入图片描述
在这里插入图片描述
2、初始化认证服务数据库

[root@ct ~]# su -s /bin/sh -c "keystone-manage db_sync" keystone

3、初始化fernet 密钥存储库(以下命令会生成两个密钥,生成的密钥放于/etc/keystone/目录下,用于加密数据)

[root@ct keystone]# keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
[root@ct keystone]# keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

在这里插入图片描述
4、配置bootstrap身份认证服务

[root@ct ~]# keystone-manage bootstrap --bootstrap-password ADMIN_PASS \
--bootstrap-admin-url http://ct:5000/v3/ \
--bootstrap-internal-url http://ct:5000/v3/ \
--bootstrap-public-url http://ct:5000/v3/ \
--bootstrap-region-id RegionOne		#指定一个区域名称
#此步骤是初始化openstack,会把openstack的admin用户的信息写入到mysql的user表中,以及url等其他信息写入到mysql的相关表中; 
#admin-url是管理网(如公有云内部openstack管理网络),用于管理虚拟机的扩容或删除;如果共有网络和管理网是一个网络,则当业务量大时,会造成无法通过openstack的控制端扩容虚拟机,所以需要一个管理网; 
#internal-url是内部网络,进行数据传输,如虚拟机访问存储和数据库、zookeeper等中间件,这个网络是不能被外网访问的,只能用于企业内部访问 
#public-url是共有网络,可以给用户访问的(如公有云) #但是此环境没有这些网络,则公用同一个网络 
#5000端口是keystone提供认证的端口 
#需要在haproxy服务器上添加一条listen 
#各种网络的url需要指定controler节点的域名,一般是haproxy的vip的域名(高可用模式)

在这里插入图片描述
5、配置Apache HTTP服务器

[root@ct ~]# echo "ServerName controller" >> /etc/httpd/conf/httpd.conf

6、创建配置文件

#安装完mod_wsgi包后,会生成 wsgi-keystone.conf 这个文件,文件中配置了虚拟主机及监听了5000端口,mod_wsgi就是python的网关
[root@ct ~]# ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/

7、开启服务

[root@ct conf.d]# systemctl enable httpd
[root@ct conf.d]# systemctl start httpd

在这里插入图片描述8、配置管理员账户的环境变量

#这些环境变量用于创建角色和项目使用,但是创建角色和项目需要有认证信息,所以通过环境变量声明用户名和密码等认证信息,欺骗openstack已经登录且通过认证,这样就可以创建项目和角色;也就是把admin用户的验证信息通过声明环境变量的方式传递给openstack进行验证,实现针对openstack的非交互式操作
[root@ct ~]# cat >> ~/.bashrc << EOF
export OS_USERNAME=admin			#控制台登陆用户名
export OS_PASSWORD=ADMIN_PASS	#控制台登陆密码
export OS_PROJECT_NAME=admin
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_DOMAIN_NAME=Default
export OS_AUTH_URL=http://ct:5000/v3
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2
EOF
[root@ct ~]# source ~/.bashrc

在这里插入图片描述在这里插入图片描述

9、通过配置环境变量,可以使用openstack命令进行一些操作

[root@ct ~]# openstack user list

在这里插入图片描述

(三)、创建OpenStack 域、项目、用户和角色

1、创建一个项目(project),创建在指定的domain(域)中,指定描述信息,project名称为service(可使用openstack domain list 查询)

[root@ct ~]# openstack project create --domain default --description "Service Project" service 

在这里插入图片描述
2、创建角色(可使用openstack role list查看)

[root@ct ~]# openstack role create user

在这里插入图片描述3、查看openstack 角色列表

[root@ct ~]# openstack role list
# admin为管理员
# member为 租户
# user:用户

在这里插入图片描述

4、查看是否可以不指定密码就可以获取到token信息(验证认证服务)

[root@ct ~]#  openstack token issue

在这里插入图片描述

六、小结

Keystone 组件是作为OpenStack 集群中统一认证、授权的模块,其核心功能就是针对于User(用户)、Tenant(租户)、Role(角色)、Token(令牌/凭证)的控制(手工编译部署即围绕此功能展开的)
User:使用 openstack 的用户。
Tenant:租户,可以理解为一个人、项目或者组织拥有的资源的合集。在一个租户中可以拥有很多个用户,这些用户可以根据权限的划分使用租户中的资源。
Role:角色,用于分配操作的权限。角色可以被指定给用户,使得该用户获得角色对应的操作权限。
Token:指的是一串比特值或者字符串,用来作为访问资源的记号。Token 中含有可访问资源的范围和有效时间,token 是用户的一种凭证,需要使用正确的用户名和密码向 Keystone 服务申请才能得到 token。
使用手动部署的模式搭建OpenStack的思路:
1、分模块部署
2、部署keystone模块的基础环境(下载依赖包、组件包、第三方工具/插件)
3、创建、开启此模块的功能(以keystone为例,创建并初始化认证数据库、修改配置文件、初始化密钥-fernet格式、配置身份认证服务)
4、验证


http://www.niftyadmin.cn/n/1074947.html

相关文章

手动部署OpenStack之glance部署

手动部署OpenStack之glance部署一、glance镜像服务&#xff08;一&#xff09;、镜像服务简介&#xff08;二&#xff09;、Images API的版本&#xff08;三&#xff09;、镜像格式1、虚拟机镜像文件磁盘格式2、镜像文件容器格式&#xff08;四&#xff09;、镜像状态&#xff…

Apache--网页优化--理论+实验详解--网页压缩、配置网页缓存时间、隐藏版本信息与配置防盗链

文章目录一、Apache网页优化1.概述2.优化内容3.gzip介绍4.Apache的压缩模块5.配置网页压缩功能5.1 检查是否安装 mod_deflate 模块5.2 若没有安装&#xff0c;则重新编译安装 Apache 并添加该模块5.3 配置 mod_deflate 模块启用5.4 检查安装情况&#xff0c;启动服务5.5 测试 m…

手动部署OpenStack之placement部署

手动部署OpenStack之placement部署一、创建数据库实例和数据库用户二、创建Placement服务用户和API的endpoint三、小结一、创建数据库实例和数据库用户 [rootct ~]# mysql -uroot -p MariaDB [(none)]> CREATE DATABASE placement; MariaDB [(none)]> GRANT ALL PRIVILE…

Docker 启动不了容器的问题

今天在运行 docker 的时候&#xff0c;就是执行 docker exec 命令的时候&#xff0c;发现一直报错。具体的报错信息如下: Error response from daemon: Container XXX is not running 正常情况下,执行 docker ps 就可以看到运行的容器了,如下&#xff1a; docker ps CONTAINE…

Shell 脚本攻略--Apache httpd 服务(一键部署)

文章目录准备工作shell脚本验证准备工作 建议可以粗略看下我之前的博客攻略&#xff0c;传送门&#xff1a;部署 lamp平台–Linux、Apache、MySQL 与 PHP–源码编译安装首先需要将安装Apache所需软件包传至/opt目录下软件包百度云链接&#xff1a;https://pan.baidu.com/s/1sY…

初步了解Docker容器

初步了解Docker容器一、认识Docker&#xff08;一&#xff09;、什么是Docker&#xff08;二&#xff09;、Docker与虚拟机的区别&#xff08;三&#xff09;、Docker的使用场景二、Docker核心概念三、CentOS安装Docker的两种方式四、安装Docker五、Docker基础操作&#xff08;…

python-flask-SQLAlchemy-Utils组件

SQLAlchemy-Utils&#xff0c;提供choice功能定义&#xff1a;# pip3 install sqlalchemy-utilsfrom sqlalchemy_utils import ChoiceTypeBase declarative_base()class Xuan(Base):__tablename__ xuantypes_choices ((1,欧美),(2,日韩),(3,老男孩),)id Column(Integer,pri…

Nginx 服务--服务基础、访问控制与虚拟主机

文章目录一、Nginx 服务基础1.编译安装 Nginx 服务2.配置文件nginx.conf3.访问状态统计二、Nginx访问控制1.基于授权的访问控制2.基于客户端的访问控制三、Nginx虚拟主机1.基于域名的虚拟主机2.基于IP的虚拟主机3.基于端口的虚拟主机在各种网站服务器软件中&#xff0c;除了 Ap…