keystone管理認(rèn)證用戶

4.

云平臺(tái)系統(tǒng)安裝基礎(chǔ)工作2學(xué)習(xí)目標(biāo)了解Keystone的基本概念。理解Keystone的服務(wù)流程。掌握租戶、用戶的不同創(chuàng)建方法。掌握不同的綁定權(quán)限的方法。34keystone管理認(rèn)證用戶任務(wù)要求小李是某公司云計(jì)算助理工程師，在公司已經(jīng)部署好的云計(jì)算平臺(tái)下，小李要學(xué)習(xí)如何配置keystone認(rèn)證服務(wù)，并學(xué)習(xí)為公司員工創(chuàng)建用戶賬號，管理用戶權(quán)限。具體要求如下：配置并啟用認(rèn)證服務(wù)創(chuàng)建用戶賬號alice創(chuàng)建租戶acme，用于管理一組賬戶創(chuàng)建角色compute-user，用于用戶權(quán)限的管理綁定用戶和租戶的權(quán)限44keystone管理認(rèn)證用戶相關(guān)概念是確認(rèn)允許一個(gè)用戶訪問的進(jìn)程。為了確認(rèn)請求，OpenStackIdentity會(huì)為訪問用戶提供證書，起初，這些證書是用戶名和密碼，或用戶名和APIkey。當(dāng)OpenStackIdentity認(rèn)證體系接受了用戶的請求之后，它會(huì)發(fā)布一個(gè)認(rèn)證令牌（token），用戶在隨后的請求中使用這個(gè)令牌去訪問資源中其他應(yīng)用。認(rèn)證（Authentication）54keystone管理認(rèn)證用戶相關(guān)概念用于確認(rèn)用戶身份的數(shù)據(jù)。例如，用戶名、密碼或者APIkey，或認(rèn)證服務(wù)提供的認(rèn)證令牌。證書（Credentials）通常指的是一串比特值或者字符串，用來作為訪問資源的記號。Token中含有可訪問資源的范圍和有效時(shí)間，一個(gè)令牌是一個(gè)任意比特的文本，用于與其它OpenStack服務(wù)來共享信息，Keystone以此來提供一個(gè)centrallocation，以驗(yàn)證訪問OpenStack服務(wù)的用戶。令牌的有效期是有限的，可以隨時(shí)被撤回。令牌（Token）64keystone管理認(rèn)證用戶相關(guān)概念Tenant即租戶，早期版本又稱為project，它是各個(gè)服務(wù)中的一些可以訪問的資源集合。比如通過nova創(chuàng)建虛擬機(jī)時(shí)要指定到某個(gè)租戶中，在cinder創(chuàng)建卷也要指定到某個(gè)租戶中，用戶訪問租戶的資源前，必須與該租戶關(guān)聯(lián)，并且指定該用戶在該租戶下的角色。租戶（Tenant）74keystone管理認(rèn)證用戶相關(guān)概念使用服務(wù)的用戶，可以是人，服務(wù)或系統(tǒng)使用OpenStack相關(guān)服務(wù)的一個(gè)組織。例如一個(gè)租戶映射到一個(gè)Nova的“project-id”，在對象存儲(chǔ)中，一個(gè)租戶可以有多個(gè)容器。根據(jù)不同的安裝方式，一個(gè)租戶可以代表一個(gè)客戶、帳號、組織或項(xiàng)目。用戶通過KeystoneIdentity認(rèn)證登陸系統(tǒng)并調(diào)用資源。用戶可以被分配到特定項(xiàng)目并執(zhí)行項(xiàng)目相關(guān)操作。需要特別提出的是，OpenStack通過注冊相關(guān)服務(wù)用戶來管理服務(wù)，例如Nova服務(wù)注冊nova用戶來管理相應(yīng)的服務(wù)。對于管理員來說，需要通過keystone來注冊管理用戶。用戶（User）84keystone管理認(rèn)證用戶相關(guān)概念Role即角色，Role代表一組用戶可以訪問的資源權(quán)限，例如Nova中的虛擬機(jī)、Glance中的鏡像。Users可以被添加到任意一個(gè)全局的role或租戶內(nèi)的role中。在全局的role中，用戶的role權(quán)限作用于所有的租戶，即可以對所有的租戶執(zhí)行role規(guī)定的權(quán)限，在租戶內(nèi)的role中，用戶僅能在當(dāng)前租戶內(nèi)執(zhí)行role規(guī)定的權(quán)限。角色（Role）94keystone管理認(rèn)證用戶相關(guān)概念使用云服務(wù)的用戶不局限與是人也可以是系統(tǒng)或者服務(wù)。用戶可以通過指定的令牌登陸系統(tǒng)并調(diào)用資源。用戶可以被分配到特定項(xiàng)目并執(zhí)行項(xiàng)目相關(guān)操作。在平臺(tái)構(gòu)建完畢之后系統(tǒng)會(huì)創(chuàng)建_member_、admin兩個(gè)用戶權(quán)限，在系統(tǒng)中_member_表示系統(tǒng)的普通用戶的權(quán)限，擁有系統(tǒng)的正常使用和對當(dāng)前租戶的管理權(quán)限。admin角色是代表系統(tǒng)的管理員身份，對系統(tǒng)有絕對的管理權(quán)限。104keystone管理認(rèn)證用戶認(rèn)證服務(wù)流程服務(wù)申請認(rèn)證機(jī)制流程114keystone管理認(rèn)證用戶配置keystone應(yīng)用環(huán)境驗(yàn)證服務(wù)在安裝Keystone服務(wù)之前需要指定一個(gè)用戶名和密碼通過認(rèn)證服務(wù)來進(jìn)行身份認(rèn)證，在開始階段是沒有創(chuàng)建任何的用戶，所以必須使用授權(quán)令牌和服務(wù)的訪問接口來創(chuàng)建特定的用來做身份認(rèn)證的用戶，之后需要?jiǎng)?chuàng)建一個(gè)管理用戶的環(huán)境變量（admin-openrc.sh）來管理最終的憑證和終端。

在安裝Keystone服務(wù)之后，產(chǎn)生的主配置文件存放在/etc/keystone目錄，名為keystone.conf，在配置文件中需要配置初始的token值和數(shù)據(jù)庫的連接地址。124keystone管理認(rèn)證用戶配置keystone應(yīng)用環(huán)境驗(yàn)證服務(wù)Keystone服務(wù)安裝完畢之后，可以通過請求身份令牌來驗(yàn)證服務(wù)。具體命令如下：$keystone--os-username=admin--os-password=000000--os-auth-url=0:35357/v2.0token-get//以admin用戶訪問0:35357/v2.0地址獲取token值134keystone管理認(rèn)證用戶管理認(rèn)證用戶創(chuàng)建用戶創(chuàng)建一個(gè)名稱為“alice”賬戶，密碼為“mypassword123”、郵箱為“alice@”。命令如下：$keystoneuser-create--name=alice--pass=mypassword123--email=alice@144keystone管理認(rèn)證用戶管理認(rèn)證用戶創(chuàng)建租戶創(chuàng)建一個(gè)名為“acme”租戶：$keystonetenant-create--name=acme從上面操作可以看出，創(chuàng)建租戶需要租戶名等相關(guān)信息。具體操作格式如下：$keystonetenant-create--name<tenant-name>[--description<tenant-description>][--enabled<true|false>]154keystone管理認(rèn)證用戶管理認(rèn)證用戶創(chuàng)建角色角色限定了用戶的操作權(quán)限。如下創(chuàng)建一個(gè)角色“compute-user”：$keystonerole-create--name=compute-user從上面操作可以看出創(chuàng)建角色需要角色名稱信息。具體命令格式如下：$keystonerole-create--name<role-name>164keystone管理認(rèn)證用戶管理認(rèn)證用戶綁定用戶和租戶權(quán)限添加的用戶需要分配一定的權(quán)限，這就需要把用戶關(guān)聯(lián)綁定到對應(yīng)的租戶和角色。比如給用戶“alice”分配“acme”租戶下的“compute-user”角色，命令如下：$keystoneuser-role-add--user=alice--role=compute-user--tenant-id=7542b75f42014c1485edbddb2c1cab37174keystone管理認(rèn)證用戶管理認(rèn)證用戶綁定用戶和租戶權(quán)限從上面操作可以看出，綁定用戶權(quán)限需要用戶名稱、角色名稱和租戶名稱等信息。具體命令格式如下：$keystoneuser-role-add--user<user>--role<role>[--tenant<tenant>]184keystone管理認(rèn)證用戶管理認(rèn)證用戶圖形化用戶管理圖形化界面操作以管理員身份登錄到dashbo