目錄

Keystone 認證流程

1. User 使用憑證(username/password) 到 keystone 驗證並獲得一個臨時的 Token 和 Generic catalog(全域性目錄)，臨時的 Token 會儲存在 keystone-client(cache UUID locally) 和 keystone-backend 中。
2. User 使用這個臨時 Token 傳送給 keystone 並獲得一個該 User 能訪問的 Tenants 列表
3. User 再跟 keystone 傳送一個請求，表明希望訪問的 Tenants
4. keystone 就會向 User 傳送一個管理這個 Tenants 的 Services 列表和允許訪問這個 Tenants 的 Token (Tenants Token)
5. User 會通過這個 Services 和 Generic catalog(全域性目錄) 對映找到 Services 的 endpoint，並通過 endpoint 找到實際 Services 元件的位置
6. 然後 User 再拿著 Tenant Token 和 endpoint 來訪問實際上的 Service 組
7. Service 元件會拿著這個 User-Tennat Token 對到 keystone 做進一步的驗證(Openstack 要保證每一步操作都是安全的)
8. 如果通過了 7. 的驗證的話，keystone 會返回一系列的確認資訊和附加資訊(User 希望操作的內容)給 Services
9. 最後 Services 執行一系列的操作

讓 Keystone 為一個新的專案 Service 提供驗證功能

• 在新專案的配置檔案中指定使用 Keytone 認證方式

[keystone_authtoken]

auth_uri = http://<keystone_service_ip>:5000
project_domain_id = default
project_name = service
user_domain_id = default
password = fanguiju
username = <new_service_name>
auth_url = http://<keystone_service_ip>:35357
 

auth_plugin = password

該配置項的意義:
Because most OpenStack services must access the Identity Service, you must configure the IP address of the keystone server to be able to access it. You must also configure the admin_tenant_name, admin_user, and admin_password options for each service to work.

簡而言之, 就是讓每個不同的 Openstack Service 都使用一個特定的註冊在 Keystone 中的 User 去訪問 Keystone Service 並請求獲得驗證服務. 並且該配置項還指定了該專案屬於的 Project(資源), 也就是早期版本中的 Tenant. 這裡設定的是: 該專案屬於 Tenant service. 這個在之後我們會使用到.

• 所以, 我們首先需要為這個新的專案在 Keystone 中註冊一個使用者.

[email protected]:~/devstack$ keystone user-create --name <new_service_name> --pass fanguiju --enabled true

[email protected]:~/devstack$ openstack user list
+----------------------------------+----------+
| ID                               | Name     |
+----------------------------------+----------+
| 135b2cb86962401c82044fd4ca9daae4 | admin    |
| 40d75aebc9c34978b23081f8c8ca9af5 | <new_service_name>     |
| 626110b81b2b4509becafc1964121b7f | nova     |
| 85c6b9fa9127439880276f070c60dad6 | demo     |
| 887a5e92599847698c1f601d0f337421 | glance   |
| 9dc44b1518184c2cacecb2d2f9f8b050 | alt_demo |
| b340851dd5a24eb39a2383bb3f1ff36c | cinder   |
+----------------------------------+----------+

• 因為新的專案的Service 屬於 Tenant service, 所以需要在這個 Tenant 中註冊該專案的 Service

[email protected]:~/devstack$ openstack service create --name <new_service_name> --description "<new_service_name> Service" recovery
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | <new_service_name> Service                     |
| enabled     | True                             |
| id          | c22ebcb4cdd24114a2d581ce18cdd0ca |
| name        | <new_service_name>                             |
| type        | recovery                         |
+-------------+----------------------------------+

[email protected]:~/devstack$ openstack service list
+----------------------------------+-------------+----------------+
| ID                               | Name        | Type           |
+----------------------------------+-------------+----------------+
| 1cfc85bed3e84f2b93c5a9b9c293e1ed | cinder      | volume         |
| 348c1b372deb4c3fa817d340b439728b | ec2         | ec2            |
| 3fa397c2b5d647389edae03515c64583 | nova        | compute        |
| 41cfab784e6942189c8dc48fbda59c4e | glance      | image          |
| 7b534b13bd024a04b44f6eeee882208a | keystone    | identity       |
| 9b8de3d592054fc9b6b992be056ffd0a | nova_legacy | compute_legacy |
| aed90494567e4deababddd494fc33338 | cinderv2    | volumev2       |
| c22ebcb4cdd24114a2d581ce18cdd0ca | <new_service_name>        | recovery       |
+----------------------------------+-------------+----------------+

NOTE: Name 是用於顯示的標識, 實際在 Servces 之間生效的是 Type .

• 在 Tenant service 中註冊完之後, 還需要建立 endpoint 記錄, 讓不同專案的 Services 之間可以定位到該新專案的服務

[email protected]:~/devstack$ openstack endpoint create --region RegionOne <new_service_name> --publicurl 'http://<new_service_ip>:8760/v1/$(tenant_id)s' --internalurl 'http://<new_service_ip>:8760/v1/$(tenant_id)s' --adminurl 'http://<new_service_ip>:8760/v1/$(tenant_id)s'
+--------------+------------------------------------------+
| Field        | Value                                    |
+--------------+------------------------------------------+
| adminurl     | http://<new_service_ip>:8760/v1/$(tenant_id)s |
| id           | 3c35ecc67e7444648dd079d5c0562f5b         |
| internalurl  | http://<new_service_ip>:8760/v1/$(tenant_id)s |
| publicurl    | http://<new_service_ip>:8760/v1/$(tenant_id)s |
| region       | RegionOne                                |
| service_id   | 513308f8e46944ac8baf1c9758062660         |
| service_name | <new_service_name>                                     |
| service_type | recovery                                 |
+--------------+------------------------------------------+

到目前為止, 其實還沒有完成新專案 Service 的新增, 因為現在為止在 Keystone 中新註冊的 User 是沒有許可權訪問這個 Tenant 的, 那麼自然也無法獲取 Tenant 中的 Services 列表. 所以無法為新專案完成驗證的功能.

• 將 User 繫結到 Tenant 和 Role 中

# 先獲取 <new_service_id>/<service_id>/<member_id>
openstack user list     # <new_service_id>
keystone tenant-list    # <service_id>
openstack role list     # <member_id>

# 將使用者繫結到 Relo admin 和 Tenant service 中 
keystone user-role-add --user <new_service_id> --role <member_id> --tenant <service_id>
keystone user-role-add --user <new_service_id> --role <admin_id> --tenant <service_id>

• 驗證 User 的許可權

[email protected]fanguiju:~/devstack$ source openrc <new_user> service
[email protected]fanguiju:~/devstack$ keystone user-list
+----------------------------------+----------+---------+----------------------+
|                id                |   name   | enabled |        email         |
+----------------------------------+----------+---------+----------------------+
| 135b2cb86962401c82044fd4ca9daae4 |  admin   |   True  |                      |
| 9dc44b1518184c2cacecb2d2f9f8b050 | alt_demo |   True  | [email protected] |
| b340851dd5a24eb39a2383bb3f1ff36c |  cinder  |   True  |                      |
| 85c6b9fa9127439880276f070c60dad6 |   demo   |   True  |   [email protected]   |
| 40d75aebc9c34978b23081f8c8ca9af5 |   <new_service_user>   |   True  |                      |
| 887a5e92599847698c1f601d0f337421 |  glance  |   True  |                      |
| 626110b81b2b4509becafc1964121b7f |   nova   |   True  |                      |
+----------------------------------+----------+---------+----------------------+

使用 <new_user> 也能夠訪問完全的 User list, 表示該 User 具有了 admin 的許可權.

最後

小結:
1. Openstack Service 需要一個註冊在 Keystone 中的 User 來訪問 Keystone service
2. Openstack Service 應該屬於 Tenant service 中, 屬於服務資源.
3. 這個 User 對 Tenant service 應該具有 admin 或者 member 許可權, 所以需要將 User/ Tenant service/Role admin 繫結到一起.
4. 為了 Openstack services 之間可以相互訪問, 需要在 service 的 URL 註冊到 endpoint 中.