Keystone組建身份管理對於使用者主要有三個概念：

• Users （使用者）
• Roles（角色）
• Tenants （租戶）
• project （專案）

下面參考OpenStack官方文件的解釋： user In OpenStack Identity, entities represent individual API consumers and are owned by a specific domain. In OpenStack Compute, a user can be associated with roles, projects, or both. role A personality that a user assumes to perform a specific set of operations. A role includes a set of rights and privileges. A user assuming that role inherits those rights and privileges. tenant A group of users; used to isolate access to Compute resources. An alternative term for a project. project Projects represent the base unit of “ownership” in OpenStack, in that all resources in OpenStack should be owned by a specific project. In OpenStack Identity, a project must be owned by a specific domain. 根據OpenStack官方文件的描述，加上我自己的理解 user（使用者）可以理解為擁有登入資訊的一個使用者，就比如我們登陸OpenStack，我們首先就是一個使用者； role（角色）可以理解為具有某些操作許可權的使用者特性，就好像登入windows系統或者手機的兒童模式，不同的使用者登入系統，有的使用者是管理員，許可權比較大，像訪客、或者具有其他操作許可權的使用者，他們可以使用的資源或者應用就會被角色屬性所限制； tenant（租戶）/project（專案），在M版之後租戶概念提的少，可以理解成就是專案：可以理解為一個使用者資源組，這個使用者資源組包含多個使用者組成的使用者組和一些可供訪問的資源集合，相應的資源集合只有這個使用者組才有許可權訪問。