搭建openstack (基础服务mysql rabbitmq keystone)

简单安装mysql

yum install -y mariadb-server
systemctl enable mariadb.service
systemctl restart mariadb.service
systemctl status mariadb.service
配置root密码
mysql_secure_installation 先按回车，然后按Y，设置mysql密码，然后一直按y结束 这里我设置的密码是123

搭建rabbitmq

查看
rabbitmq ha搭建

安装配置Keystone

配置keystone数据库

新建数据库
CREATE DATABASE keystone;
配置该数据库的登录用户
配置本机登录
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY '123';
配置出了本机之外的登录方式
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY '123';

安装keystone和memcached

安装配置memecached

安装
yum -y install openstack-keystone httpd mod_wsgi python-openstackclient memcached python-memcached openstack-utils

配置
cat /etc/sysconfig/memcached


PORT="11211"
USER="memcached"
MAXCONN="4096"
CACHESIZE="4096"
OPTIONS="-l 10.1.1.21"

启动

systemctl enable memcached.service
systemctl restart memcached.service 
systemctl status memcached.service

安装配置keystone

配置keystone

[DEFAULT]
[application_credential]
[assignment]
[auth]
[cache]
enabled = true
backend = oslo_cache.memcache_pool
memcache_servers = controller1.vip.blibee.com:11211,controller2.vip.blibee.com:11211
[catalog]
[cors]
[credential]
[database]
xxxx
[domain_config]
[endpoint_filter]
[endpoint_policy]
[eventlet_server]
[federation]
[fernet_tokens]
[healthcheck]
[identity]
[identity_mapping]
[ldap]
[matchmaker_redis]
[memcache]
[oauth1]
[oslo_messaging_amqp]
[oslo_messaging_kafka]
[oslo_messaging_notifications]
[oslo_messaging_rabbit]
rabbit_retry_interval=1
rabbit_retry_backoff=2
rabbit_max_retries=0
rabbit_durable_queues=true
rabbit_ha_queues=true
[oslo_messaging_zmq]
[oslo_middleware]
[oslo_policy]
[paste_deploy]
[policy]
[profiler]
[resource]
[revoke]
[role]
[saml]
[security_compliance]
[shadow_users]
[signing]
[token]
provider = fernet
[tokenless_auth]
[trust]
[unified_limit]

配置httpd

sed -i "s/#ServerName www.example.com:80/ServerName control01/" /etc/httpd/conf/httpd.conf
ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/

初始化数据库

su -s /bin/sh -c "keystone-manage db_sync" keystone

初始化fernet

keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

启动httpd

systemctl enable httpd.service
systemctl restart httpd.service
systemctl status httpd.service

创建 admin 用户角色

keystone-manage bootstrap --bootstrap-password 123 --bootstrap-username admin --bootstrap-project-name admin  --bootstrap-role-name admin  --bootstrap-service-name keystone --bootstrap-region-id RegionOne --bootstrap-admin-url http://control01:35357/v3 --bootstrap-internal-url http://control01:35357/v3 --bootstrap-public-url http://control01:5000/v3

验证

openstack project list --os-username admin --os-project-name admin --os-user-domain-id default --os-project-domain-id default --os-identity-api-version 3 --os-auth-url http://control01:5000 --os-password 123
+----------------------------------+-------+
| ID                               | Name  |
+----------------------------------+-------+
| da5552397f904db2b8f2536a913b0ec9 | admin |
+----------------------------------+-------+

创建admin用户环境变量，创建/root/admin-openrc 文件并写入如下内容

cat /root/admin-openrc
export OS_USER_DOMAIN_ID=default
export OS_PROJECT_DOMAIN_ID=default
export OS_USERNAME=admin
export OS_PROJECT_NAME=admin
export OS_PASSWORD=123
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2
export OS_AUTH_URL=http://control01:35357/v3

source /root/admin-openrc

创建service项目

openstack project create --domain default --description "ServiceProject" service

+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | ServiceProject                   |
| domain_id   | default                          |
| enabled     | True                             |
| id          | 4b443bafa9e24789881d822a4ba87481 |
| is_domain   | False                            |
| name        | service                          |
| parent_id   | default                          |
| tags        | []                               |
+-------------+----------------------------------+

创建demo项目

openstack project create --domain default --description "DemoProject" demo
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | DemoProject                      |
| domain_id   | default                          |
| enabled     | True                             |
| id          | 2a05413c59ab4023b2a7ffdadc0d5c45 |
| is_domain   | False                            |
| name        | demo                             |
| parent_id   | default                          |
| tags        | []                               |
+-------------+----------------------------------+

创建demo用户

openstack user create --domain default demo --password 123  ## 123 是demo的用户名密码
+---------------------+----------------------------------+
| Field               | Value                            |
+---------------------+----------------------------------+
| domain_id           | default                          |
| enabled             | True                             |
| id                  | 70faad4b328d42769a619d37e02436af |
| name                | demo                             |
| options             | {}                               |
| password_expires_at | None                             |
+---------------------+----------------------------------+

创建user角色将demo用户赋予user角色

[root@control01 ~]# openstack role create user
+-----------+----------------------------------+
| Field     | Value                            |
+-----------+----------------------------------+
| domain_id | None                             |
| id        | fa64133a85a0415db5514ea2d46e59af |
| name      | user                             |
+-----------+----------------------------------+
[root@control01 ~]# openstack role add --project demo --user demo user

验证keystone

[root@control01 ~]# unset OS_TOKEN OS_URL
[root@control01 ~]# openstack --os-auth-url http://control01:35357/v3  --os-project-domain-name default --os-user-domain-name default --os-project-name admin --os-username admin token issue --os-password 123

+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| Field      | Value                                                                                                                                                                                   |
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| expires    | 2020-01-22T06:51:13+0000                                                                                                                                                                |
| id         | gAAAAABeJ-LRBremqNsNht3weAwc5Kr0N-TVTNrlvUTwHIXtBFyceB-WgFlOnkzyhNEMWiSPbszJnyBk79cg1fZCFkoUFf8yQTLwUknUM01NHhH1LGkygwBMBePOLzVoS4-6wDirBNxE2HQI-O3OCtqytaaubgIwBEc9BaE5zauouaDCx6QrNyI |
| project_id | da5552397f904db2b8f2536a913b0ec9                                                                                                                                                        |
| user_id    | 2f060dcd19ae47ae931571014e6ca5ac                                                                                                                                                        |
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
[root@control01 ~]# openstack --os-auth-url http://control01:5000/v3  --os-project-domain-name default --os-user-domain-name default --os-project-name demo --os-username demo token issue --os-password 123
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| Field      | Value                                                                                                                                                                                   |
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| expires    | 2020-01-22T06:51:20+0000                                                                                                                                                                |
| id         | gAAAAABeJ-LY8WeU1vYaGU7PnGElnJaldqoDOdUhFn3dhZHfPt2QZJg5zfup1qhi5ahcJux85NJueGa2Rwz-JnVp06_8hcrpfEEA6T3Qh-Kc2T2oW52D-4mmjsIZm1c9rKpYQ3VO-KAXiZO0Eltr-IpOT2RRYZj5Yq2gADyrtv3jiLVo0qVGpDc |
| project_id | 2a05413c59ab4023b2a7ffdadc0d5c45                                                                                                                                                        |
| user_id    | 70faad4b328d42769a619d37e02436af                                                                                                                                                        |
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+

基础概念

读《每天5分钟玩转 OpenStack》

作为 OpenStack 的基础支持服务，Keystone 做下面这几件事情：

管理用户及其权限
维护 OpenStack Services 的 Endpoint
Authentication（认证）和 Authorization（鉴权）

学习 Keystone，得理解下面这些概念：

User：User 指代任何使用 OpenStack 的实体，可以是真正的用户，其他系统或者服务。
当User请求访问 OpenStack 时，Keystone 会对其进行验证。Horizon在Identity->Users管理 User
除了admin和demo，OpenStack也为nova、cinder、glance、neutron服务创建了相应的 User。 admin也可以管理这些 User。
Credentials：Credentials 是 User 用来证明自己身份的信息，可以是

用户名/密码
Token
API Key
其他高级方式

Authentication：Authentication 是 Keystone 验证 User 身份的过程。User 访问 OpenStack 时向 Keystone 提交用户名和密码形式的 Credentials，Keystone 验证通过后会给 User 签发一个 Token 作为后续访问的 Credential。
Token:Token 是由数字和字母组成的字符串，User 成功 Authentication 后 Keystone 生成 Token 并分配给 User。
Token 用做访问 Service 的 Credential
Service 会通过 Keystone 验证 Token 的有效性
Token 的有效期默认是 24 小时
Project:Project 用于将 OpenStack 的资源（计算、存储和网络）进行分组和隔离。
根据 OpenStack 服务的对象不同，Project 可以是一个客户（公有云，也叫租户）、部门或者项目组（私有云）。
这里请注意：
资源的所有权是属于 Project 的，而不是 User。
在 OpenStack 的界面和文档中，Tenant / Project / Account 这几个术语是通用的，但长期看会倾向使用 Project
每个 User（包括 admin）必须挂在 Project 里才能访问该 Project 的资源。一个User可以属于多个 Project。
admin 相当于 root 用户，具有最高权限
Horizon 在 Identity->Projects 中管理 Project
通过 Manage Members 将 User 添加到 Project
Service: OpenStack 的 Service 包括 Compute (Nova)、Block Storage (Cinder)、Object Storage (Swift)、Image Service (Glance) 、Networking Service (Neutron) 等。每个 Service 都会提供若干个 Endpoint，User 通过 Endpoint 访问资源和执行操作。
Endpoint:Endpoint 是一个网络上可访问的地址，通常是一个 URL。Service 通过 Endpoint 暴露自己的 API。 Keystone 负责管理和维护每个 Service 的 Endpoint。
可以使用下面的命令来查看 Endpoint。

openstack catalog list
+----------+----------+---------------------------------------+
| Name     | Type     | Endpoints                             |
+----------+----------+---------------------------------------+
| keystone | identity | RegionOne                             |
|          |          |   internal: http://control01:35357/v3 |
|          |          | RegionOne                             |
|          |          |   public: http://control01:5000/v3    |
|          |          | RegionOne                             |
|          |          |   admin: http://control01:35357/v3    |
|          |          |                                       |
+----------+----------+---------------------------------------+

Role:解决的是你能干什么
安全包含两部分：Authentication（认证）和 Authorization（鉴权）
Authentication 解决的是“你是谁？”的问题
Authorization 解决的是“你能干什么？”的问题

Keystone 借助 Role 实现 Authorization：

Keystone定义Role

可以为 User 分配一个或多个 Role，Horizon 的菜单为 Identity->Project->Manage Members

Service 决定每个 Role 能做什么事情 Service 通过各自的 policy.json 文件对 Role 进行访问控制。下面是 Nova 服务 /etc/nova/policy.json 中的示例

上面配置的含义是：对于 create、attach_network 和 attach_volume 操作，任何Role的 User 都可以执行；但只有 admin 这个 Role 的 User 才能执行 forced_host 操作。

OpenStack 默认配置只区分 admin 和非 admin Role。如果需要对特定的 Role 进行授权，可以修改 policy.json。

posted @ 2020-01-22 14:10 I'm杨呵呵阅读(290) 评论(0) 编辑收藏举报

刷新页面返回顶部

I'm杨呵呵

搭建openstack (基础服务mysql rabbitmq keystone)

搭建openstack (基础服务mysql rabbitmq keystone)

简单安装mysql

搭建rabbitmq

安装配置Keystone

配置keystone数据库

安装keystone和memcached

安装配置memecached

安装配置keystone

基础概念

公告