openstack装B之路------Keystone部署以及操作
1.准备阶段
查看系统信息
[root@localhost ~]# cat /etc/redhat-release
查看内核版本
[root@localhost ~]# uname -r
安装官方yum源
[root@localhost ~]# yum -y install centos-release-openstack-newton
更新yum包
[root@localhost ~]# yum -y upgrade
安装工具
[root@localhost ~]# yum -y install python-openstackclient
安装openstack-selinux包自动管理openstack组件的安全策略
[root@localhost ~]# yum -y install openstack-selinux
部署mariadb
安装
keystone支持ldap和mysql作为后端Driver,用来存放用户相关信息，catalog等，这里我们选用mariadb，MariaDB数据库管理系统是MySQL的一个分支
yum -y install mariadb mariadb-server python2-PyMySQL
编辑配置文件：
vim /etc/my.cnf.d/openstack.cnf
写入如下内容：
注意：bind-address对应的一定是本机管理IP
[mysqld] bind-address = 192.168.1.109 default-storage-engine = innodb innodb_file_per_table max_connections = 4096 collation-server = utf8_general_ci character-set-server = utf8
启动服务且设置开机启动
systemctl start mariadb.service systemctl enable mariadb.service
2.部署keystone
keystone关于数据库的操作
mysql -u root -p #登入数据库 CREATE DATABASE keystone; #新建库keystone GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' \ IDENTIFIED BY '123'; #新建本地访问keystone库的账号 GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' \ IDENTIFIED BY '123'; #新建远程访问keystone库的账号
安装软件包
keystone软件包名openstack-keystone ；安装httpd和mod_wsgi的原因是，社区主推apache+keystone #openstack-keystone本质就是一款基于wsgi协议的web app,而httpd本质就是一个兼容wsgi协议的web server，所以我们需要为httpd安装mod_wsgi模块
yum -y install openstack-keystone httpd mod_wsgi
编辑keystone配置文件：
vim /etc/keystone/keystone.conf
找到database这一行：
[database] connection = mysql+pymysql://keystone:123@192.168.1.109/keystone
让openstack-keystone能够知道如何连接到后端的数据库keystone ；mysql+pymysql：pymysql是一个python库，使用python可以操作mysql原生sql
注意：密码123 一定不要加引号，否则报错
找到token这一行：
[token] provider = fernet
fernet为生成token的方式
初始化数据库keystone
keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone keystone-manage credential_setup --keystone-user keystone --keystone-group keystone
如果有报错，请检查密码是否加了引号
初始化Fernet key仓库
keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone keystone-manage credential_setup --keystone-user keystone --keystone-group keystone
3.配置web server整合keystone
修改本机主机名
vim /etc/hosts
写入：
192.168.1.109 controller
编辑Apache配置文件：
vim /etc/httpd/conf/httpd.conf
找到ServerName，写入
ServerName controller
为mod_wsgi模块添加配置文件
ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/
启动httpd服务且设置开机自启
systemctl start httpd.service systemctl enable httpd.service
4.keystone操作
（1）创建keystone的catalog
编辑配置文件
vim /etc/keystone/keystone.conf
在开头插入：
[DEFAULT] admin_token = 123
设置环境变量：
export OS_TOKEN=123 #等于keystone.conf中admin_token的值 export OS_URL=http://192.168.1.109:35357/v3 export OS_IDENTITY_API_VERSION=3
OS_TOKEN=配置文件中的admin_token，会在filter过滤过程中被admin_token_auth中间间设置is_admin=True，谁有这个admin_token谁就是管理员了。
为keystone创建catalog
基于上一步给的权限，创建认证服务实体
openstack service create \ --name keystone --description "OpenStack Identity" identity
基于上一步建立的服务实体，创建访问该实体的三个api端点
openstack endpoint create --region RegionOne \ identity public http://192.168.31.57:5000/v3 openstack endpoint create --region RegionOne \ identity internal http://192.168.31.57:5000/v3 openstack endpoint create --region RegionOne \ identity admin http://192.168.31.57:35357/v3
（2）创建域，租户，用户，角色，把四个元素关联到一起
建立一个公共的域名：
openstack domain create --description "Default Domain" default
创建管理员信息：
openstack project create --domain default \ --description "Admin Project" admin #创建Admin项目
openstack user create --domain default \ --password-prompt admin #创建Admin用户
openstack role create admin #创建admin角色
openstack role add --project admin --user admin admin 创建角色 用户 项目三者之间的关联
使用Bootstrap完成part1和part2二者的工作
为keystone创建catalog
keystone-manage bootstrap --bootstrap-password 123 \ --bootstrap-admin-url http://192.168.1.109:35357/v3/ \ --bootstrap-internal-url http://192.168.1.109:35357/v3/ \ --bootstrap-public-url http://192.168.1.109:5000/v3/ \ --bootstrap-region-id RegionOne
设置环境变量（is_admin不会被设置成True，admin用户会获得一个Token）
export OS_USERNAME=admin export OS_PASSWORD=123 #就是keystone-manage中设定的--bootstrap-password export OS_PROJECT_NAME=admin export OS_USER_DOMAIN_NAME=Default export OS_PROJECT_DOMAIN_NAME=Default export OS_AUTH_URL=http://192.168.1.109:35357/v3 export OS_IDENTITY_API_VERSION=3
注意：如果catalog显示不出来。断开Xshell重连一次 再加载一次环境变量即可
创建用于后期测试用的项目，用户，租户，建立关联
创建project名为demo
openstack project create --domain default \ --description "Demo Project" demo
创建普通用户demo
openstack user create --domain default \ --password-prompt demo
创建普通用户的角色即user
openstack role create user
建立三者之间的关联
openstack role add --project demo --user demo user
为后续的服务创建统一租户service
解释：后面每搭建一个新的服务都需要在keystone中执行四种操作：1.建项目 2.建用户 3.建角色 4.做关联
后面所有的服务公用一个项目service，都是管理员角色admin ；所以实际上后续的服务安装关于keysotne的操作只剩2，4
openstack project create --domain default \ --description "Service Project" service
五 验证
part 1：准备
出于安全考虑，需要关闭临时令牌认证机制（配置文件中的admin_token和keystone-manage的--bootstrap-password都是基于该机制）
该机制会将用户的请求设置is_admin=True，源码分析中会介绍，先暂且理解到这里
