安装与配置Keystone

一、keystone简介

keystone为openstack安全认证服务组件,提供了用户信息管理和完成各个模块认证服务。

    认证服务:登录认证,各个组件API的权限控制。

    用户信息管理:user/tenant基本信息,tenant管理;

为了能够理解Openstack的认证服务,我们必须了解如下概念:

租户

用于组成或隔离资源的容器,租户会组成或隔离身份对象。一个租户会映射到一个客户,一个账户,一个组织或一个项目。

用户

如果租户映射到单位,那么用户就是单位中的人,身份认证服务会验证那些生成调用的用户发过来的请求,用户登录且被赋予令牌以访问资源。

凭证

用户身份的确认数据,例如,用户名和密码,用户名和API密钥,或者是一个有身份服务提供的授权令牌。

认证

确认用户身份的流程,OpenStack身份服务确认过来的请求,即验证由用户提供的凭证。
这些凭证通常是用户名和密码,或者是用户名和API密钥。当用户的凭证被验证通过,OpenStack身份服务给他一个认证令牌,令牌可以为用户提供随后的请求。

令牌

一个字母数字混合的文本字符串,用户访问OpenStack API和资源,令牌可以随时撤销,以及有一定的时间期限。在Keystone中Token有两种格式PKI 、UUID

服务

计算Nova、存储Swift、镜像管理Glance等都是Openstack中的服务,一个服务能提供一个或多个端点供用户访问

端点

一个当用户访问服务时用到的可访问的网络地址,通常是一个URL地址。如果用户为模板而使用扩展,一个端点可以被创建,它表示模板是为所有可用的跨region的可消费的服务。

角色

定义了一组用户权限的用户,可赋予其执行某些特定的操作。
在身份服务中,一个令牌所携带用户信息包含了角色列表。服务在被调用是会看用户是什么样的角色,这个角色赋予的权限能够操作什么资源。

下图展示Keystone认证流程  


二、安装与配置Keystone

1、为keystone创建与配置数据库

登陆控制节点,使用mysql客户端连接数据库,用户名root,密码123456

mysql -u root -p 123456

创建keystone数据库

create database keystone;

为keystone用户授予本地与远程登陆时的所有权限

grant all privileges on keystone.* to 'keystone'@'%' identified by '123456';
grant all privileges on keystone.* to 'keystone'@'localhost' identified by '123456';

2、安装keystone前准备

安装相关依赖

yum install -y python-pip git python-setuptools gettext python-virtualenv python-lxml python-greenlet-devel python-ldap sqlite-devel openldap-devel python-devel libxslt-devel openssl-devel libffi-devel

安装开发包

yum group install "Development Tools"

升级到最新的pip

pip install --upgrade pip

3、安装keystoneclient,keystonemiddleware,python-openstackclient开发环境

安装keystoneclient

git clone git://git.openstack.org/openstack/python-keystoneclient
cd python-keystoneclient
pip install -r requirements.txt 
pip install -r test-requirements.txt 
python setup.py install && cd ..

安装keystonemiddleware

git clone git://git.openstack.org/openstack/keystonemiddleware
cd keystonemiddleware
pip install -r requirements.txt
pip install -r test-requirements.txt
python setup.py install && cd ..

安装python-glanceclient

git clone git://git.openstack.org/openstack/python-glanceclient
cd python-glanceclient
pip install -r requirements.txt
pip install -r test-requirements.txt
python setup.py install && cd ..

安装python-novaclient

git clone git://git.openstack.org/openstack/python-novaclient
cd python-novaclient
pip install -r requirements.txt
pip install -r test-requirements.txt
python setup.py install && cd ..

安装python-cinderclient

git clone git://git.openstack.org/openstack/python-cinderclient
cd python-cinderclient
pip install -r requirements.txt
pip install -r test-requirements.txt
python setup.py install && cd ..

安装python-neutronclient

git clone git://git.openstack.org/openstack/python-neutronclient
cd python-neutronclient
pip install -r requirements.txt
pip install -r test-requirements.txt
python setup.py install && cd ..

安装python-openstackclient

git clone git://git.openstack.org/openstack/python-openstackclient
cd python-openstackclient/
pip install -r requirements.txt
pip install -r test-requirements.txt 
python setup.py install && cd ..

4、安装keystone

git clone git://git.openstack.org/openstack/keystone
cd keystone
pip install -r requirements.txt
pip install -r test-requirements.txt
python setup.py install


5、配置keystonton

I、新建/etc/keystone文件夹,

mkdir -p /etc/keystone

将在第4步时从github中克隆过来的keystone/etc文件夹的配置文件拷贝到/etc/keystone文件夹,然后在/etc/keystone中将keystone.conf.example复制一份为keystone.conf,相关命令如下

cd ./etc
cp * /etc/keystone
cd /etc/keystone
cp keystone.conf.sample keystone.conf

II、编辑 /etc/keystone/keystone.conf ,并完成下列操作:

    首先,若/var/log/keystone文件夹不存在,则新建

mkdir -p /var/log/keystone

     并且将其改为keystone用户 keystone用户组,若keystone用户不存在,则创建

useradd keystone

chown keystone:keystone -R /var/log/keystone

在 [DEFAULT] 段中,对管理员令牌进行配置,配置log_file

[DEFAULT] 
... 
admin_token = ADMIN_TOKEN 
...
 log_file = /var/log/keystone/keystone.log

为了安全起见,使用openssl rand -hex 10命令生产一个随机数代替ADMIN_TOKEN

  1. 在 [database] 段,配置数据库访问相关参数:

    [database]
    ...
    connection = mysql://keystone:KEYSTONE_DBPASS@控制器/keystone

    将 KEYSTONE_DBPASS 替换为实际的数据库用户的密码。

  2. 在 [memcache] 部分,配置Memcache服务:

    [memcache]
    ...
    servers = localhost:11211

  3. 在 [token] 部分,设置 UUID 令牌的提供者和 Memcached 驱动:

    [token]
    ...
    provider = keystone.token.providers.uuid.Provider
    driver = keystone.token.persistence.backends.memcache.Token

  4. 在 [revoke] 部分,配置 SQL 的撤回驱动:

    [revoke]
    ...
    driver = keystone.contrib.revoke.backends.sql.Revoke

  5. (可选配置)可以在 [DEFAULT] 段中开启详细日志配置,为后期的故障排除提供帮助

        

[DEFAULT]
...
verbose = True

     7. 运行命令grep ‘^[a-z]’ /etc/keystone/keystone.conf的结果为

[root@localhost keystone]# grep '^[a-z]' /etc/keystone/keystone.conf
admin_token = ADMIN_TOKEN
verbose = true
log_file = /var/log/keystone.log
connection = mysql://keystone:123456@controller/keystone
servers = localhost:11211
driver = keystone.contrib.revoke.backends.sql.Revoke
provider = keystone.token.providers.uuid.Provider
driver = keystone.token.persistence.backends.memcache.Token

其中ADMIN_TOKEN为用户自己的值

III、新建keystone用户,然后初始化keystone数据库

初始化keystone数据库

su -s /bin/sh -c "keystone-manage db_sync" keystone

输入如下命令应该能查看数据库中的表项

mysql -h controller -ukeystone -p123456 -e 'use keystone;show tables'

查看的结果如下

+------------------------+
| Tables_in_keystone     |
+------------------------+
| access_token           |
| assignment             |
| config_register        |
| consumer               |
| credential             |
| domain                 |
| endpoint               |
| endpoint_group         |
| federation_protocol    |
| group                  |
| id_mapping             |
| identity_provider      |
| idp_remote_ids         |
| mapping                |
| migrate_version        |
| policy                 |
| policy_association     |
| project                |
| project_endpoint       |
| project_endpoint_group |
| region                 |
| request_token          |
| revocation_event       |
| role                   |
| sensitive_config       |
| service                |
| service_provider       |
| token                  |
| trust                  |
| trust_role             |
| user                   |
| user_group_membership  |
| whitelisted_config     |
+------------------------+

6、安装配置 Apache HTTP 服务器

若没有http服务器,则安装

yum install -y httpd

若没有安装Python在apache服务器中的WSGI接口,则安装mod_wsgi.x86_64

yum -y install mod_wsgi

编辑/etc/httpd/conf/httpd.conf 文件,参考控制节点配置ServerName 选项:

ServerName controller

使用以下内容创建文件/etc/httpd/conf.d/wsgi-keystone.conf 

Listen 5000
Listen 35357

<VirtualHost *:5000>
    WSGIDaemonProcess keystone-public processes=5 threads=1 user=keystone group=keystone display-name=%{GROUP}
    WSGIProcessGroup keystone-public
    WSGIScriptAlias / /var/www/cgi-bin/keystone/main
    WSGIApplicationGroup %{GLOBAL}
    WSGIPassAuthorization On
    LogLevel info
    ErrorLogFormat "%{cu}t %M"
    ErrorLog /var/log/httpd/keystone-error.log
    CustomLog /var/log/httpd/keystone-access.log combined
</VirtualHost>

<VirtualHost *:35357>
    WSGIDaemonProcess keystone-admin processes=5 threads=1 user=keystone group=keystone display-name=%{GROUP}
    WSGIProcessGroup keystone-admin
    WSGIScriptAlias / /var/www/cgi-bin/keystone/admin
    WSGIApplicationGroup %{GLOBAL}
    WSGIPassAuthorization On
    LogLevel info
    ErrorLogFormat "%{cu}t %M"
    ErrorLog /var/log/httpd/keystone-error.log
    CustomLog /var/log/httpd/keystone-access.log combined
</VirtualHost>

创建WSGI组件的目录结构;

mkdir -p /var/www/cgi-bin/keystone

从上游仓库拷贝WSGI组件到这个目录:

 curl http://git.openstack.org/cgit/openstack/keystone/plain/httpd/keystone.py?h=stable/kilo \
  | tee /var/www/cgi-bin/keystone/main /var/www/cgi-bin/keystone/admin

调整这个目录及其中文件的所有者和权限:

chown -R keystone:keystone /var/www/cgi-bin/keystone
chmod 755 /var/www/cgi-bin/keystone/*

完成安装,重启Apache HTTP服务器

systemctl enable httpd.service && systemctl start httpd.service


Creative Commons License
This work is licensed under a Creative Commons Attribution-ShareAlike 3.0 Unported License.
永久连接: http://www.nfvschool.cn/?p=160
标签:

发表评论