目錄

• 一、OpenStack安裝Keystore組件
• • Keystone認證流程
  • 1、OpenStack組件安裝的順序
  • 2、創建數據庫實例和數據庫用戶
  • 3、安裝、配置keystone、數據庫、Apache
  • 4、創建OpenStack 域、項目、用戶和角色
• 二、總結

一、OpenStack安裝Keystore組件

Keystone認證流程

1、OpenStack組件安裝的順序

1、Keystone (apache)
2、glance
3、nova
4、neutron

• 部署openstack組件時，需先行安裝認證服務（keystone），而認證服務是使用Apache運行的，安裝完成后才可以創建、管理賬號，然后安裝鏡像服務（glance）、計算服務（nova）、網絡服務（neutron）
• 其中計算服務和網絡服務分為管理端和客戶端，所以需要在openstack的管理端安裝計算服務和網絡服務的管理端，在創建虛擬機的node節點上安裝計算服務和網絡服務的客戶端，最后安裝dashboard服務，openstack各種組件的API都是通過apache運行的；
• openstack的管理端負責創建、管理虛擬機過程的調度
• 通過openstack管理端創建虛擬機的相關數據最終都會記錄到mysql（mariadb）中；node節點沒有權限往數據庫中寫數據，只有控制端有權限，并且node節點與控制端通訊是通過rabbitmq間接通訊，node節點會監聽rabbitmq，控制端也會監聽rabbitmq，控制端把創建虛擬機的指令發送到rabbitmq，由監聽rabbitmq指定隊列的node節點接收消息并創建虛擬機；

接OpenStack 的部署（一）——基礎環境配置繼續配置，為openstack安裝keystone組件，全部在控制節點上操作

2、創建數據庫實例和數據庫用戶

mysql -u root -p create database keystone;GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS'; GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'KEYSTONE_DBPASS'; flush privileges; exit

3、安裝、配置keystone、數據庫、Apache

• 安裝keystone、httpd、mod_wsgi

mod_wsgi包的作用是讓apache能夠代理python程序的組件；openstack的各個組件，包括API都是用python寫的，但訪問的是apache，apache會把請求轉發給python去處理,這些包只安裝在controler節點

yum -y install openstack-keystone httpd mod_wsgicp -a /etc/keystone/keystone.conf{,.bak} grep -Ev "^$|#" /etc/keystone/keystone.conf.bak > /etc/keystone/keystone.conf

通過pymysql模塊訪問mysql，指定用戶名密碼、數據庫的域名、數據庫名 openstack-config --set /etc/keystone/keystone.conf database connection mysql+pymysql://keystone:KEYSTONE_DBPASS@ct/keystone指定token的提供者；提供者就是keystone自己本身 openstack-config --set /etc/keystone/keystone.conf token provider fernet Fernet：一種安全的消息傳遞格式

初始化認證服務數據庫

su -s /bin/sh -c "keystone-manage db_sync" keystone

初始化fernet 密鑰存儲庫

(以下命令會生成兩個密鑰，生成的密鑰放于/etc/keystone/目錄下，用于加密數據）

keystone-manage fernet_setup --keystone-user keystone --keystone-group keystonekeystone-manage credential_setup --keystone-user keystone --keystone-group keystone

配置bootstrap身份認證服務

keystone-manage bootstrap --bootstrap-password ADMIN_PASS \ --bootstrap-admin-url http://ct:5000/v3/ \ --bootstrap-internal-url http://ct:5000/v3/ \ --bootstrap-public-url http://ct:5000/v3/ \ --bootstrap-region-id RegionOne

此步驟是初始化openstack，會把openstack的admin用戶的信息寫入到mysql的user表中，以及url等其他信息寫入到mysql的相關表中；
admin-url是管理網(如公有云內部openstack管理網絡)，用于管理虛擬機的擴容或刪除；如果共有網絡和管理網是一個網絡，則當業務量大時，會造成無法通過openstack的控制端擴容虛擬機，所以需要一個管理網；
internal-url是內部網絡，進行數據傳輸，如虛擬機訪問存儲和數據庫、zookeeper等中間件，這個網絡是不能被外網訪問的，只能用于企業內部訪問
public-url是共有網絡，可以給用戶訪問的(如公有云) #但是此環境沒有這些網絡，則公用同一個網絡
5000端口是keystone提供認證的端口
以下部分指的是openstack多節點的配置
#需要在haproxy服務器上添加一條listen
#各種網絡的url需要指定controler節點的域名，一般是haproxy的vip的域名（高可用模式）

配置Apache HTTP服務器

echo "ServerName controller" >> /etc/httpd/conf/httpd.conf

創建配置文件，開啟服務

安裝完mod_wsgi包后，會生成 wsgi-keystone.conf 這個文件，文件中配置了虛擬主機及監聽了5000端口，mod_wsgi就是python的網關

ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/ systemctl enable httpd systemctl start httpd

配置管理員賬戶的環境變量

這些環境變量用于創建角色和項目使用，但是創建角色和項目需要有認證信息，所以通過環境變量聲明用戶名和密碼等認證信息，欺騙openstack已經登錄且通過認證，這樣就可以創建項目和角色；也就是把admin用戶的驗證信息通過聲明環境變量的方式傳遞給openstack進行驗證，實現針對openstack的非交互式操作

cat >> ~/.bashrc << EOF export OS_USERNAME=admin export OS_PASSWORD=ADMIN_PASS export OS_PROJECT_NAME=admin export OS_USER_DOMAIN_NAME=Default export OS_PROJECT_DOMAIN_NAME=Default export OS_AUTH_URL=http://ct:5000/v3 export OS_IDENTITY_API_VERSION=3 export OS_IMAGE_API_VERSION=2 EOFsource ~/.bashrc#通過配置環境變量，可以使用openstack命令進行一些操作 openstack user list

4、創建OpenStack 域、項目、用戶和角色

創建一個項目（project），創建在指定的domain（域）中，指定描述信息，project名稱為service（可使用openstack domain list 查詢）

openstack project create --domain default --description "Service Project" service#查看openstack 項目列表 openstack project list

創建角色（可使用openstack role list查看）

openstack role create user

查看openstack 角色列表

openstack role list# admin為管理員 # member為 租戶 # user：用戶

查看是否可以不指定密碼就可以獲取到token信息（驗證認證服務）

openstack token issue

二、總結

Keystone認證流程

舉例：比我們用戶需要創建實例
1、登錄進入（需要認證）
2、keystone指引到達控制臺
3、web界面發出創建實例的請求
4、向nova發出請求（我要創建一臺實例）
5、nova分別向glance、neutron發出調用資源的請求
6、nova拿到所需要的的資源后，創建實例，同時將結果返回給user
在每一步，加入keystone認證、授權（token）的過程
用戶/組件，持著令牌（token）再去找其他組件

• Keystone 組件是作為OpenStack 集群中統一認證、授權的模塊，其核心功能就是針對于User（用戶）、Tenant（租戶）、Role（角色）、Token（令牌/憑證）的控制（手工編譯部署即圍繞此功能展開的）
• User：使用 openstack 的用戶。
• Tenant：租戶,可以理解為一個人、項目或者組織擁有的資源的合集。在一個租戶中可以擁有很多個用戶，這些用戶可以根據權限的劃分使用租戶中的資源。
• Role：角色，用于分配操作的權限。角色可以被指定給用戶，使得該用戶獲得角色對應的操作權限。
• Token：指的是一串比特值或者字符串，用來作為訪問資源的記號。Token 中含有可訪問資源的范圍和有效時間，token 是用戶的一種憑證，需要使用正確的用戶名和密碼向 Keystone 服務申請才能得到 token。

使用手動部署的模式搭建OpenStack——keystone的思路

• 1、創建數據庫實例和數據庫用戶
• 2、安裝、配置keystone、數據庫、Apache
• 3、創建OpenStack 域、項目、用戶和角色

總結

以上是生活随笔為你收集整理的OpenStack 的部署T版（二）——Keystone组件的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。