cenos7.1 安装openstack kilo 心得之六 添加身份认证服务

注意：该部分只在控制节点

一、安装和配置
这一章描述了怎样在控制结点安装和配置Openstack身份认证服务
配置前的准备
在你配置 OpenStack 身份认证服务前，你必须创建一个数据库和管理员令牌。
1. 完成下面的步骤以创建数据库：
   a. 以 root 用户身份通过数据库客户端连接到数据库服务：
       $ mysql -u root -p

     b. 创建 keystone 数据库：
         CREATE DATABASE keystone;
    c. 为 keystone 数据库赋予恰当的访问权限：
        GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS';
        GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'KEYSTONE_DBPASS';
        将 KEYSTONE_DBPASS 替换为实际的密码。
    d. 退出数据库客户端。

          quit;
2. 生成一个随机值在初始的配置中作为管理员的令牌。
    $ openssl rand -hex 10
二、安装和配置组件
1. 运行以下命令来安装包。
   # yum install openstack-keystone python-keystoneclient
2. 编辑 /etc/keystone/keystone.conf ，并完成下列操作：
    a. 在 [DEFAULT] 段中，对管理员令牌进行配置。
        [DEFAULT]
         ...
        admin_token = ADMIN_TOKEN
        将 ADMIN_TOKEN 替换为上一步中生成的随机字符串。
    b. 在 [database] 段，配置数据库访问相关参数：
       [database]
        ...
       connection = mysql://keystone:KEYSTONE_DBPASS@控制器/keystone
       将 KEYSTONE_DBPASS 替换为实际的数据库用户的密码。
    c. 在 [token] 部分，设置 UUID 令牌的提供者和 SQL 驱动。
       [token]
       ...
       provider = keystone.token.providers.uuid.Provider
      driver = keystone.token.persistence.backends.sql.Token
    d. 在 [revoke] 部分，配置 SQL 的撤回驱动：
      [revoke]
      ...
      driver = keystone.contrib.revoke.backends.sql.Revoke

   e. (可选配置)可以在 [DEFAULT] 段中开启详细日志配置，为后期的故障排除提供帮助：

      [DEFAULT]
      ...
     verbose = True

3. 生成通用的证书和私钥文件，并修改这些文件的访问权限：
# keystone-manage pki_setup --keystone-user keystone --keystone-group keystone
# chown -R keystone:keystone /var/log/keystone
# chown -R keystone:keystone /etc/keystone/ssl
# chmod -R o-rwx /etc/keystone/ssl

4. 初始化身份认证服务的数据库：

#keystone-manage db_sync

三、完成安装
1. 启动身份认证服务，并将该服务配为系统启动时自动启动：
# systemctl enable openstack-keystone.service
# systemctl start openstack-keystone.service
2. 身份认证服务默认的情况会永久保存已经过期的身份凭证。过期凭证的累积会增加数据
库的体积甚至减低整个服务的性能，特别是在那些资源紧缺的环境中。
建议使用 cron 配置计划任务每个小时定时清理过期的身份凭证：
# (crontab -l -u keystone 2>&1 | grep -q token_flush) || echo '@hourly /usr/bin/keystone-manage token_flush >/var/log/keystone/keystone-tokenflush.log  \

2>&1' >> /var/spool/cron/keystone

四、创建租户、用户和角色

1. 配置管理员令牌：
$ export OS_SERVICE_TOKEN=ADMIN_TOKEN
将其中的 ADMIN_TOKEN 替换为您在 “安装和配置”一节 [30] 中生成的管理员令牌。例
如：
$ export OS_SERVICE_TOKEN=294a4c8a8a475f9b9836

2. 配置入口点：
$ export OS_SERVICE_ENDPOINT=http://控制器:35357/v2.0

创建租户、用户和角色
1. 创建管理员租户、用户和角色以在您的环境中执行管理员操作：
a. 创建 admin 租户：
$ keystone tenant-create --name admin --description "Admin Tenant"
+-------------+----------------------------------+
| Property | Value |
+-------------+----------------------------------+
| description | Admin Tenant |
| enabled | True |
| id | 6f4c1e4cbfef4d5a8a1345882fbca110 |
| name | admin |
+-------------+----------------------------------+

b. 创建 admin 用户：
$ keystone user-create --name admin --pass ADMIN_PASS --email EMAIL_ADDRESS
+----------+----------------------------------+
| Property | Value |
+----------+----------------------------------+
| email | [e-mail] |
| enabled | True |
| id | ea8c352d253443118041c9c8b8416040 |
| name | admin |
| username | admin |
+----------+----------------------------------+
将其中的 ADMIN_PASS 替换为您要设置的一个合适的密码，其中的 EMAIL_ADDRESS
替换为合适的 e-mail 地址。

c. 创建 admin 角色：
$ keystone role-create --name admin
+----------+----------------------------------+
| Property | Value |
+----------+----------------------------------+
| id | bff3a6083b714fa29c9344bf8930d199 |
| name | admin |
+----------+----------------------------------+
d. 将 admin 角色赋予给 admin 租户和用户：
$ keystone user-role-add --user admin --tenant admin --role admin

2. 创建一个 demo 租户和用户，用于环境中的一般操作：
a. 创建 demo 租户：
$ keystone tenant-create --name demo --description "Demo Tenant"
+-------------+----------------------------------+
| Property | Value |
+-------------+----------------------------------+
| description | Demo Tenant |
| enabled | True |
| id | 4aa51bb942be4dd0ac0555d7591f80a6 |
| name | demo |
+-------------+----------------------------------+

b. 在 demo 租户下创建 demo 用户：
$ keystone user-create --name demo --tenant demo --pass DEMO_PASS --email EMAIL_ADDRESS
+----------+----------------------------------+
| Property | Value |
+----------+----------------------------------+
| email | [e-mail] |
| enabled | True |
| id | 7004dfa0dda84d63aef81cf7f100af01 |
| name | demo |
| tenantId | 4aa51bb942be4dd0ac0555d7591f80a6 |
| username | demo |
+----------+----------------------------------+
将其中的 DEMO_PASS 替换为您要设置的一个合适的密码，其中的 EMAIL_ADDRESS 替
换为合适的 e-mail 地址。

3. OpenStack 服务也需要租户、用户和角色来与其他服务交互。每个服务一般需要在
service 租户下创建一个或多个用户，并赋予 admin 的角色。
• 创建 service 租户：

$ keystone tenant-create --name service --description "Service Tenant"
+-------------+----------------------------------+
| Property | Value |
+-------------+----------------------------------+
| description | Service Tenant |
| enabled | True |
| id | 6b69202e1bf846a4ae50d65bc4789122 |
| name | service |
+-------------+----------------------------------+

创建服务实体和 API 端点
创建好租户、用户和角色后，您必须为身份认证服务创建 service 实体和 API 端点。
配置前的准备
• 如 “创建租户、用户和角色”一节 [32] 中所描述的内容，设置 OS_SERVICE_TOKEN 和
OS_SERVICE_ENDPOINT 环境变量。
创建服务实体和 API 端点
1. 身份认证服务管理了一个关于您 OpenStack 环境中的服务的目录。服务使用这个目录来
查找您环境中的其他服务。
创建服务实体和身份认证服务：

$ keystone service-create --name keystone --type identity --description "OpenStack Identity"
+-------------+----------------------------------+
| Property | Value |
+-------------+----------------------------------+
| description | OpenStack Identity |
| enabled | True |
| id | 15c11a23667e427e91bc31335b45f4bd |
| name | keystone |
| type | identity |
+-------------+----------------------------------+

2. 身份认证服务管理了一个与您环境相关的 API 端点的目录。服务使用这个目录来决定如
何与您环境中的其他服务进行通信。

创建身份认证服务的 API 端点：
$ keystone endpoint-create --service-id $(keystone service-list | awk '/ identity / {print $2}') --publicurl http://控制器:5000/v2.0 --internalurl http://控制器:5000/v2.0 \
--adminurl http://控制器:35357/v2.0 --region regionOne
+-------------+----------------------------------+
| Property | Value |
+-------------+----------------------------------+
| adminurl | http://controller:35357/v2.0 |
| id | 11f9c625a3b94a3f8e66bf4e5de2679f |
| internalurl | http://controller:5000/v2.0 |
| publicurl | http://controller:5000/v2.0 |
| region | regionOne |
| service_id | 15c11a23667e427e91bc31335b45f4bd |
+-------------+----------------------------------+

验证操作
这个部分描述如何验证身份认证服务的操作。
1. 取消 OS_SERVICE_TOKEN 和 OS_SERVICE_ENDPOINT 临时环境变量的设置：
$ unset OS_SERVICE_TOKEN OS_SERVICE_ENDPOINT
2. 使用admin 租户和用户，需要一个认证的令牌：
$ keystone --os-tenant-name admin --os-username admin --os-password ADMIN_PASS--os-auth-url http://controller:35357/v2.0 token-get
+-----------+----------------------------------+
| Property | Value |
+-----------+----------------------------------+
| expires | 2014-10-10T12:50:12Z |
| id | 8963eb5ccd864769a894ec316ef8f7d4 |
| tenant_id | 6f4c1e4cbfef4d5a8a1345882fbca110 |
| user_id | ea8c352d253443118041c9c8b8416040 |
+-----------+----------------------------------+
将其中的 ADMIN_PASS 替换为您在身份认证服务中为 admin 用户设置的密码。如果包含
特殊字符，您可能需要使用单引号 (') 将密码引用。

3. 使用 admin 租户和用户，列出租户以验证 admin 租户和用户能够执行只有管理员才能执
行的命令行，且身份认证服务包含您在 “创建租户、用户和角色”一节 [32] 中创建的
租户：
$ keystone --os-tenant-name admin --os-username admin --os-password ADMIN_PASS --os-auth-url http://controller:35357/v2.0 tenant-list

+----------------------------------+----------+---------+
| id | name | enabled |
+----------------------------------+----------+---------+
| 6f4c1e4cbfef4d5a8a1345882fbca110 | admin | True |
| 4aa51bb942be4dd0ac0555d7591f80a6 | demo | True |
| 6b69202e1bf846a4ae50d65bc4789122 | service | True |
+----------------------------------+----------+---------+

4. 使用 admin 租户和用户，列出用户以验证身份认证服务包含您在 “创建租户、用户和
角色”一节 [32] 中创建的用户：
$ keystone --os-tenant-name admin --os-username admin --os-password ADMIN_PASS \
--os-auth-url http://controller:35357/v2.0 user-list
+----------------------------------+---------+---------+---------------------+
| id | name | enabled | email |
+----------------------------------+---------+---------+---------------------+
| ea8c352d253443118041c9c8b8416040 | admin | True | [e-mail] |
| 7004dfa0dda84d63aef81cf7f100af01 | demo | True | [e-mail] |
+----------------------------------+---------+---------+---------------------+
5. 使用 admin 租户和用户，列出角色以验证 身份认证服务包含您在 “创建租户、用户和
角色”一节 [32] 中创建的角色：
$ keystone --os-tenant-name admin --os-username admin --os-password ADMIN_PASS \
--os-auth-url http://controller:35357/v2.0 role-list
+----------------------------------+----------+
| id | name |
+----------------------------------+----------+
| 9fe2ff9ee4384b1894a90878d3e92bab | _member_ |
| bff3a6083b714fa29c9344bf8930d199 | admin |
+----------------------------------+----------+

将其中的 DEMO_PASS 替换为您在身份认证服务中为 demo 用户所设置的密码。

7. 使用 demo 租户和用户，尝试列出用户以验证您不能执行只有管理员才能执行的命令
行：
$ keystone --os-tenant-name demo --os-username demo --os-password DEMO_PASS \
--os-auth-url http://controller:35357/v2.0 user-list
You are not authorized to perform the requested action, admin_required. (HTTP 403)

创建 OpenStack 客户端环境脚本

1. 编辑 admin-openrc.sh 文件并添加下列内容：
export OS_TENANT_NAME=admin
export OS_USERNAME=admin
export OS_PASSWORD=ADMIN_PASS
export OS_AUTH_URL=http://控制器:35357/v2.0
将其中的 ADMIN_PASS 替换为您在身份认证服务中为 admin 用户设置的密码。
2. 编辑 demo-openrc.sh 文件并添加下列内容：
export OS_TENANT_NAME=demo
export OS_USERNAME=demo
export OS_PASSWORD=DEMO_PASS
export OS_AUTH_URL=http://控制器:5000/v2.0
将其中的 DEMO_PASS 替换为您在身份认证服务中为 demo 用户设置的密码。

加载客户端环境脚本
• 使用特定租户和用户运行客户端，您可以在运行之前简单地加载相关客户端脚本。例
如，加载身份认证服务的位置和 admin 租户及用户的凭证：
$ source admin-openrc.sh