Keystone是OpenStack中的身份驗證服務，同時它也同Nova, Cinder, Glance，Neutron一樣是OpenStack的核心元件。Keystone為其他元件提供統一的身份驗證以及服務授權。Keystone的API目前有v2.0和v3.0兩個版本，官方目前推薦使用v3.0的版本。由於Keystone中涉及很多的概念，例如 domain，project，user等等，本文旨在介紹相關的概念及其之間在組織結構上的關係。

域（Domains）：域是Keystone中的一個全域性概念，域的名字在Keystone中必須是全域性唯一的，Keystone提供一個名為‘Default’的預設域。域可以包括多個Projects（專案／租戶），Users（使用者），Groups（組），Roles（角色）。

Projects（專案／租戶）：Keystone在v3.0的版本開始將v2.0中的Tenant（租戶）改為了Project（專案），我認為這更符合我們在實際使用中的認知。專案必須屬於某個域，所以在域內的專案名稱必須是唯一的，但是不同的域內可以有相同名稱的專案名。如果專案沒有分配指定域，那麼會自動分配到預設域中。專案是資源的集合，也就是說可以對專案所能使用的資源進行限制，包括vCPU，Memory，vDisk，Floating IP等等。

使用者（Users）：即最終Keystone的使用者，可以是人，服務或者系統，使用者必須屬於某個特定的域。

組（Groups）：組是使用者的集合，可以把使用者歸類到某個組，這樣就可以方便的對整個組進行角色分配。同樣的組必須屬於特定的域。

角色（Roles）：角色也是Keystone中的一個全域性的概念。角色可以分配給使用者以及組，不同角色的使用者擁有不同的API訪問許可權。

下圖表明瞭這些概念的結構關係：

圖中可以看到角色的分配可以基於單個使用者，也可以直接分配給一個組。同時我們也可以把某個使用者組分配給特定的專案。

現在公司開發部門的某個組要開發AnyRender這款產品，需要在公司的私有云建立相應的專案來進行軟體的開發，測試，釋出等等流程。

這裡我們可以在Default域中建立三個projects， 分別是anyrender-testing, anyrender-staging, anyrender-production.

$ openstack project create --domain default --description "AnyRender Testing Project" anyrender-testing
$ openstack project create --domain default --description "AnyRender Staging Project" anyrender-staging
$ openstack project create --domain default --description "AnyRender Production Project" anyrender-production
 

$ openstack project list
+----------------------------------+------------------------------------------------------------------+
| ID                               | Name                                                             |
+----------------------------------+------------------------------------------------------------------+
| 0b1781d22cc14d859d111d93ebadfb47 | admin                                                            |
| 31bc0459173345878993337f7545234f | anyrender-production                                             |
| 5025515db0af42729e7591ff50c1c8b3 | demo                                                             |
| 6b6a1344e56741dabec2714e935bd179 | anyrender-staging                                                |
| 97d3a4f8293b48b1bb219806ce1b3a14 | service                                                          |
| 994d02a6f492412289f496c1e08af9b4 | anyrender-testing                                                |
+----------------------------------+------------------------------------------------------------------+
$ 

接下來我們可以建立使用者：

$ openstack user create --password-prompt jinrui
User Password:
Repeat User Password:
+---------------------+----------------------------------+
| Field               | Value                            |
+---------------------+----------------------------------+
| domain_id           | default                          |
| enabled             | True                             |
| id                  | 91cde2f4ab944021991152cfed807c7b |
| name                | jinrui                           |
| options             | {}                               |
| password_expires_at | None                             |
+---------------------+----------------------------------+

雖然建立了使用者jinrui，但是因為沒有指定project，仍然無法通過Dashboard訪問OpenStack或者通過Keystone認證。我們需要建立role分配給此使用者並且新增到project中：

$ openstack role create engineer
+-----------+----------------------------------+
| Field     | Value                            |
+-----------+----------------------------------+
| domain_id | None                             |
| id        | 1d2998c4c6a743a32d8ad2acf556eaa1 |
| name      | engineer                         |
+-----------+----------------------------------+
$ openstack role add --project anyrender-testing --user jinrui engineer
$ 

我們可以通過以下命令檢視結果：

$ openstack role assignment list --names --user jinrui
+----------+----------------+-------+---------------------------+--------+-----------+
| Role     | User           | Group | Project                   | Domain | Inherited |
+----------+----------------+-------+---------------------------+--------+-----------+
| engineer | [email protected] |       | [email protected] |        | False     |
+----------+----------------+-------+---------------------------+--------+-----------+
$ 

同時我們可以把jinrui新增到其他project中，例如anyrender-staging，並且在另外的project中jinrui可以是其他的角色例如developer。

一個使用者在不同的project中可以是不同的角色，同時一個使用者在一個project中也可以有多種角色。

參考引用