OpenStack学习笔记2017-11-16



 1、OpenStack的基本概念

OpenStack（OpenStack云计算管理平台）是一个由NASA（美国国家航空航天局）和Rackspace合作研发并发起的，以Apache许可证授权的自由软件和开放源代码项目。

OpenStack是一个开源的云计算管理平台项目，由几个主要的组件组合起来完成具体工作。OpenStack支持几乎所有类型的云环境，项目目标是提供实施简单、可大规模扩展、丰富、标准统一的云计算管理平台。OpenStack通过各种互补的服务提供了基础设施即服务（IaaS）的解决方案，每个服务提供API以进行集成。

OpenStack是一个旨在为公共及私有云的建设与管理提供软件的开源项目。它的社区拥有超过130家企业及1350位开发者，这些机构与个人都将OpenStack作为基础设施即服务（IaaS）资源的通用前端。OpenStack项目的首要任务是简化云的部署过程并为其带来良好的可扩展性。

OpenStack云计算平台，帮助服务商和企业内部实现类似于 Amazon EC2 和 S3 的云基础架构服务(Infrastructure as a Service, IaaS)。OpenStack 包含两个主要模块：Nova 和 Swift，前者是 NASA 开发的虚拟服务器部署和业务计算模块；后者是 Rackspace开发的分布式云存储模块，两者可以一起用，也可以分开单独用。OpenStack除了有 Rackspace 和 NASA 的大力支持外，还有包括 Dell、Citrix、 Cisco、 Canonical等重量级公司的贡献和支持，发展速度非常快，有取代另一个业界领先开源云平台 Eucalyptus 的态势。

2、运用范围

OpenStack是IaaS(基础设施即服务)组件，让任何人都可以自行建立和提供云端运算服务。此外，OpenStack也用作建立防火墙内的“私有云”（Private Cloud），提供机构或企业内各部门共享资源。

3、技术资料

以Python编程语言编写，整合Tornado 网页服务器、Nebula运算平台，使用Twisted软件框架，遵循Open Virtualization Format、AMQP、SQLAlchemy等标准，虚拟机器软件支持包括：KVM、Xen、VirtualBox、QEMU、 LXC 等。

4、项目

核心项目

OpenStack覆盖了网络、虚拟化、操作系统、服务器等各个方面。它是一个正在开发中的云计算平台项目，根据成熟及重要程度的不同，被分解成核心项目、孵化项目，以及支持项目和相关项目。每个项目都有自己的委员会和项目技术主管，而且每个项目都不是一成不变的，孵化项目可以根据发展的成熟度和重要性，转变为核心项目。截止到Icehouse版本，下面列出了10个核心项目（即OpenStack服务）。

计算（Compute）：Nova。一套控制器，用于为单个用户或使用群组管理虚拟机实例的整个生命周期，根据用户需求来提供虚拟服务。负责虚拟机创建、开机、关机、挂起、暂停、调整、迁移、重启、销毁等操作，配置CPU、内存等信息规格。自Austin版本集成到项目中。

对象存储（Object Storage）：Swift。一套用于在大规模可扩展系统中通过内置冗余及高容错机制实现对象存储的系统，允许进行存储或者检索文件。可为Glance提供镜像存储，为Cinder提供卷备份服务。自Austin版本集成到项目中

镜像服务（Image Service）：Glance。一套虚拟机镜像查找及检索系统，支持多种虚拟机镜像格式（AKI、AMI、ARI、ISO、QCOW2、Raw、VDI、VHD、VMDK），有创建上传镜像、删除镜像、编辑镜像基本信息的功能。自Bexar版本集成到项目中。

身份服务（Identity Service）：Keystone。为OpenStack其他服务提供身份验证、服务规则和服务令牌的功能，管理Domains、Projects、Users、Groups、Roles。自Essex版本集成到项目中。

网络&地址管理（Network）：Neutron。提供云计算的网络虚拟化技术，为OpenStack其他服务提供网络连接服务。为用户提供接口，可以定义Network、Subnet、Router，配置DHCP、DNS、负载均衡、L3服务，网络支持GRE、VLAN。插件架构支持许多主流的网络厂家和技术，如OpenvSwitch。自Folsom版本集成到项目中。

块存储 (Block Storage)：Cinder。为运行实例提供稳定的数据块存储服务，它的插件驱动架构有利于块设备的创建和管理，如创建卷、删除卷，在实例上挂载和卸载卷。自Folsom版本集成到项目中。

UI 界面 (Dashboard)：Horizon。OpenStack中各种服务的Web管理门户，用于简化用户对服务的操作，例如：启动实例、分配IP地址、配置访问控制等。自Essex版本集成到项目中。

测量 (Metering)：Ceilometer。像一个漏斗一样，能把OpenStack内部发生的几乎所有的事件都收集起来，然后为计费和监控以及其它服务提供数据支撑。自Havana版本集成到项目中。

部署编排 (Orchestration)：Heat^[2]  。提供了一种通过模板定义的协同部署方式，实现云基础设施软件运行环境（计算、存储和网络资源）的自动化部署。自Havana版本集成到项目中。

数据库服务（Database Service）：Trove。为用户在OpenStack的环境提供可扩展和可靠的关系和非关系数据库引擎服务。自Icehouse版本集成到项目中。

社区项目（14个）

负载均衡：Atlas-LB（Rackspace）

消息队列：Burrow（Piston）

云管理工具：Clanavi（Drupal）

自动部署：Crowbar（Dell）

服务部署：Juju（Ubuntu）

关系型数据库：RedDwarf（Rackspace） 等。

5、内容详解

创建虚拟机（VM）需要各种服务的交互和配合工作。下图展示了OpenStack典型环境架构，各个服务之间的交互和职能。

OpenStack因Open而开放，因组件而灵活，因包容而博大。有计算、网络、对象存储、块存储、身份、镜像服务、门户、测量、部署编排、数据库服务等等组件，有的组件可以根据需要选择安装，组网结构也很灵活、多样。实现了支持接入多种主流虚拟机软件：KVM、LXC、QEMU、Hyper-V、VMware、XenServer，也可以自行开发插件接入其他的虚拟化软件。

OpenStack Compute (Nova)是一套控制器，用于为单个用户或使用群组启动虚拟机实例。它同样能够用于为包含着多个实例的特定项目设置网络。OpenStack Compute在公共云处理方面堪与Amazon EC2相提并论；而在私有云方面也毫不逊色于VMware的产品。在公共云中，这套管理机制将提供预制的镜像或是为用户创建的镜像提供存储机制，这样用户就能够将镜像以虚拟机的形式启动。

OpenStack 对象存储(Swift)是一套用于在大规模可扩展系统中通过内置冗余及容错机制实现对象存储的系统。这些对象能够通过一个REST API或是像Cyberduck这样可以对接对象存储API的客户端加以恢复。

OpenStack镜像服务 (Glance)是一套虚拟机镜像查找及检索系统。它能够以三种形式加以配置：利用OpenStack对象存储机制来存储镜像；利用Amazon的简单存储解决方案（简称S3）直接存储信息；或者将S3存储与对象存储结合起来，作为S3访问的连接器。OpenStack镜像服务支持多种虚拟机镜像格式，包括VMware（VMDK）、Amazon镜像（AKI、ARI、AMI）以及VirtualBox所支持的各种磁盘格式。镜像元数据的容器格式包括Amazon的AKI、ARI以及AMI信息，标准OVF格式以及二进制大型数据。

OpenStack的开发周期是每年固定发布两个新版本，并且每一个新版软件发布时，开发者与项目技术领导者已经在规划下一个版本的细节。这些开发者来自全球70多个组织，超过1600人。他们采用高级的工具与开发方式，进行代码查看、持续的集成、测试与开发架构，让版本在快速成长的同时也能确保稳定性。

6、OpenStack架构图

下表描述了构成OpenStack架构的OpenStack服务:

OpenStack ServicesServiceCode NameDescriptionIdentity ServiceKeystoneUser ManagementCompute ServiceNovaVirtual Machine ManagementImage ServiceGlanceManages Virtual image like kernel image or disk imageDashboardHorizonProvides GUI console via Web browserObject StorageSwiftProvides Cloud StorageBlock StorageCinderStorage Management for Virtual MachineNetwork ServiceNeutronVirtual Networking ManagementOrchestration ServiceHeatProvides Orchestration function for Virtual MachineMetering ServiceCeilometerProvides the function of Usage measurement for accountingDatabase ServiceTroveDatabase resource ManagementData Processing ServiceSaharaProvides Data Processing functionBare Metal ProvisioningIronicProvides Bare Metal Provisioning functionMessaging ServiceZaqarProvides Messaging Service functionShared File SystemManilaProvides File Sharing ServiceDNS ServiceDesignateProvides DNS Server ServiceKey Manager ServiceBarbican

Provides Key Management Service

7、OpenStack服务之间的关系:

8、OpenStack包含一些独立的部分，称作OpenStack服务。所有服务授权认证都是通过Identity服务。单个服务通过公共APIs与其他服务进行交互，特权管理员用户命令除外。在内部,OpenStack服务是由几个进程组成。所有服务至少有一个API进程，用来监听API请求，预处理它们并传递它们到其他服务。除了Identity服务外,其他服务实际工作是由不同的进程完成。对于一个服务之间的进程通信，使用AMQP消息块。这些服务状态存储在一个数据库中。当部署和配置你的OpenStack云，你可以选择不同的消息队列服务和数据库服务，如RabbitMQ、MySQL、MariaDB和SQLite。 

9、大多数通用的OpenStack云：

10、构建私有云

第一步是设置正确的硬件和网络环境。尽管OpenStack允许在一个单一的平面网络上部署一切，从安全的角度来看并不安全。取决于你所使用的管理程序以及虚拟网络接口，它会允许guest虚拟机嗅探管理流量。建议至少使用两个网络：一个用来管理流量，一个用来进行虚拟机之间的对话。这意味着所有的云计算结点中你需要两个网卡（一个运行实例）和网络管理者。这些应该运行在不同的IP范围中。计算结点和实例的网络也需要支持VLAN标记，因为这是在“项目”之间隔绝流量所使用的机制。一个项目等价于你的亚马逊EC2账户，除了你不能按照你所希望的数目创建和分配之外。每一个项目都有自己的管理员和用户，在既定项目中的所有实例可以彼此通信。通过指派每一个项目自己的VLAN以及内部和外部的IP地址池来执行。

一旦硬件和网络设置好，下一步就是确定在哪里部署所有的OpenStack组件。标准部署应有一个控制器和一系列计算结点。控制器运行消息服务器，数据库和其他的组件来编排云，同时计算结点运行实例。但是你也可以分解控制器为地理的部分，从而改善性能，像把MySQL放在不同的物理盒中。对于安全而言，最关键的是确保每一部分都安装在安全的主机上，你只需要将其附加在网络上，让云运转即可。

只有两部分需要暴露给外面的世界（即使那只是你的企业网络）：API服务器/Web 控制台（如果开启）和网络管理者。这些服务器需要过硬，你甚至可以使用第三方网络接口来隔离后端管理用户连接产生的流量。

如果你遵循默认安装说明书，可能这些部分并不如他们应该的那样安全。下面是一些具体的改变：

* MySQL服务器使用指定的用户账户，不是根MySQL管理账户。这个账户和密码将会暴露在每一个云结点上，即使使用基于证书的认证，因此所有结点需要访问这个数据库服务器。

* MySQL配置文件中，限制访问服务器，OpenStack用户账户为唯一授权IP地址。

* 移除任何不需要的OS组件并确保你所设置的服务器只支持通过SSH的基于密钥的登陆。

* 默认MySQL和RabbitMQ（消息服务器）流量不加密。如果你隔离了管理网络和坚固的主机，这就不应该是一个很糟糕的风险。如果你的云网络易于嗅探（例如，它和其他服务器共享网络），你需要加密流量。你可以使用OpenSSL来进行MySQL 和RabbitMQ处理。（我个人还没进行测试，因此配置可能有点难。）

下一步，记住如果支持Web管理控制台，默认不适用SSL。