OpenStack-Ocata版+CentOS7.6 云平台环境搭建 — 3.安装配置OpenStack认证服务（keystone）

节点配置信息说明：

控制节点：controller： 
IP：192.168.164.128 
hostname&hosts：likeadmin

计算加点：Nova： 

IP：192.168.164.129 
hostname&hosts：likenode

块存储节点:cinder： 

IP：192.168.164.136 
hostname&hosts：likeblock

1.  认证服务
OpenStack Identity服务提供单点集成，用于管理身份验证，受权和服务目录。
身份服务一般是用户与之交互的第一个服务。通过身份验证后，最终用户可使用其身份访问其余OpenStack服务。
一样，其余OpenStack服务利用身份服务来确保用户是他们所声称的人，并发现部署中的其余服务。 
Identity服务还能够与某些外部用户管理系统（例如LDAP）集成。

用户和服务可使用由Identity服务管理的服务目录来查找其余服务。顾名思义，服务目录是OpenStack部署中可用服务的集合。
每一个服务能够有一个或多个端点，每一个端点能够是如下三种类型之一：admin，internal或public。
在生产环境中，出于安全缘由，不一样的端点类型可能驻留在暴露给不一样类型用户的不一样网络上。例如，公共API网络可能从Internet上可见，所以客户能够管理他们的云。
管理API网络可能仅限于管理云基础架构的组织内的运营商。内部API网络可能仅限于包含OpenStack服务的主机。此外，OpenStack支持多个区域以实现可伸缩性。
为简单起见，本指南将管理网络用于全部端点类型和默认的RegionOne区域。在身份服务中建立的区域，服务和端点一块儿构成部署的服务目录。
部署中的每一个OpenStack服务都须要一个服务条目，其中相应的端点存储在Identity服务中。这能够在安装和配置Identity服务以后完成。

服务器
一个中心化的服务器使用RESTful 接口来提供认证和受权服务。
Drivers
驱动或服务后端被整合进集中式服务器中。它们被用来访问OpenStack外部仓库的身份信息, 而且它们可能已经存在于OpenStack被部署在的基础设施（例如，SQL数据库或LDAP服务器）中。
Modules
中间件模块运行于使用身份认证服务的OpenStack组件的地址空间中。这些模块拦截服务请求，取出用户凭据，并将它们送入中央是服务器寻求受权。
中间件模块和OpenStack组件间的整合使用Python Web服务器网关接口。

1.安装并配置
本节介绍如何在控制器节点上安装和配置代号为keystone的OpenStack Identity服务。 出于可伸缩性的目的，此配置部署了Fernet令牌和Apache HTTP服务器来处理请求。
在安装和配置Identity服务以前，必须建立数据库。

1）用数据库链接客户端以 root 用户链接到数据库服务器：
$ mysql -u root -p

2）建立 keystone 数据库：
MariaDB [(none)]> CREATE DATABASE keystone;

3）对``keystone``数据库授予恰当的权限：
MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' \
-> IDENTIFIED BY 'djl18001';
Query OK, 0 rows affected (0.00 sec)
MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' \
-> IDENTIFIED BY 'djl18001';
Query OK, 0 rows affected (0.00 sec)
MariaDB [(none)]> 
用合适的密码替换 KEYSTONE_DBPASS 。这次试验环境，咱们选用djl18001来做为试验密码。
MariaDB [(none)]> show databases;
+--------------------+
| Database |
+--------------------+
| information_schema |
| keystone |
| mysql |
| performance_schema |
+--------------------+

2.安全并配置组件
1）运行如下命令来安装包。
# yum install openstack-keystone httpd mod_wsgi

2）编辑文件 /etc/keystone/keystone.conf 并完成以下动做：
在 [database] 部分，配置数据库访问：
[database]
# ...
connection = mysql+pymysql://keystone:djl18001@likeadmin/keystone
将``KEYSTONE_DBPASS``替换为你为数据库选择的密码。
注解：注释或删除``[database]``部分除``connection`之外的全部内容

在``[token]``部分，配置Fernet UUID令牌的提供者。
[token]
# ...
provider = fernet

3）初始化身份认证服务的数据库：
# su -s /bin/sh -c "keystone-manage db_sync" keystone

4）初始化Fernet key：
# keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
# keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

5）引导身份服务：:
# keystone-manage bootstrap --bootstrap-password djl18001 \
--bootstrap-admin-url http://likeadmin:35357/v3/ \
--bootstrap-internal-url http://likeadmin:5000/v3/ \
--bootstrap-public-url http://likeadmin:5000/v3/ \
--bootstrap-region-id RegionOne

6）配置 Apache HTTP 服务器¶
编辑``/etc/httpd/conf/httpd.conf`` 文件，配置``ServerName`` 选项为控制节点：
ServerName controller

建立一个连接到``/usr/share/keystone/wsgi-keystone.conf``文件
# ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/

7）完成安装
启动 Apache HTTP 服务并配置其随系统启动：
# systemctl enable httpd.service
# systemctl start httpd.service

8）配置admin帐户
$ export OS_USERNAME=admin
$ export OS_PASSWORD=djl18001
$ export OS_PROJECT_NAME=admin
$ export OS_USER_DOMAIN_NAME=Default
$ export OS_PROJECT_DOMAIN_NAME=Default
$ export OS_AUTH_URL=http://likeadmin:35357/v3
$ export OS_IDENTITY_API_VERSION=3

2.建立域、项目、用户和角色
Identity服务为每一个OpenStack服务提供身份验证服务。 身份验证服务使用域，项目，用户和角色的组合。
1）本指南使用一个你添加到你的环境中每一个服务包含独有用户的service 项目。建立``service``项目：
[root@likeadmin ~]# openstack project create --domain default \
> --description "Service Project" service
+-------------+----------------------------------+
| Field | Value |
+-------------+----------------------------------+
| description | Service Project |
| domain_id | default |
| enabled | True |
| id | 615b23c226e34df1a295d4d72eb3f9a3 |
| is_domain | False |
| name | service |
| parent_id | default |
+-------------+----------------------------------+
[root@likeadmin ~]#

2）常规（非管理）任务应该使用无特权的项目和用户。做为例子，本指南建立 demo 项目和用户。
1））建立``demo`` 项目：
[root@likeadmin ~]# openstack project create --domain default \
> --description "Demo Project" demo
+-------------+----------------------------------+
| Field | Value |
+-------------+----------------------------------+
| description | Demo Project |
| domain_id | default |
| enabled | True |
| id | efcaab21a85549b3acf41e10673e030f |
| is_domain | False |
| name | demo |
| parent_id | default |
+-------------+----------------------------------+
[root@likeadmin ~]#

2））建立``demo`` 用户：
[root@likeadmin ~]# openstack user create --domain default \
> --password-prompt demo
User Password: djl18001
Repeat User Password:
+---------------------+----------------------------------+
| Field | Value |
+---------------------+----------------------------------+
| domain_id | default |
| enabled | True |
| id | 685be60f342f4d9086ae494ab94c4287 |
| name | demo |
| options | {} |
| password_expires_at | None |
+---------------------+----------------------------------+
[root@likeadmin ~]

3））建立 user 角色：
[root@likeadmin ~]# openstack role create user
+-----------+----------------------------------+
| Field | Value |
+-----------+----------------------------------+
| domain_id | None |
| id | 147497264e8044d7b25224e9e07467ca |
| name | user |
+-----------+----------------------------------+
[root@likeadmin ~]#

4））将用户角色添加到演示项目的演示用户：
[root@likeadmin ~]# openstack role add --project demo --user demo user

3.验证操做
在安装其余服务以前确认身份认证服务的操做。
在控制节点上执行这些命令。
1）由于安全性的缘由，关闭临时认证令牌机制：
编辑 /etc/keystone/keystone-paste.ini 文件，从``[pipeline:public_api]``，[pipeline:admin_api]``和``[pipeline:api_v3]``部分删除``admin_token_auth 。

2）撤销临时环境变量``OS_AUTH_URL``和``OS_PASSWORD``
$ unset OS_AUTH_URL OS_PASSWORD

3）做为 admin 用户，请求认证令牌：
[root@likeadmin ~]# openstack --os-auth-url http://likeadmin:35357/v3 \
> --os-project-domain-name default --os-user-domain-name default \
> --os-project-name admin --os-username admin token issue
Password: djl18001
+------------+----------------------------------------------------------------------------------------------------------------------------------------------+
| Field | Value |
+------------+----------------------------------------------------------------------------------------------------------------------------------------------+
| expires | 2019-03-19T04:11:48+0000 |
| id | gAAAAABckF30e2NrzmZwVdm7vtT_qWY-uittPzL0Gb6liYnh2aDsAPHLuYcThpcBSqddZ5vNtY6tY_J2LqzfM1zCZOSs88pmirLEkJw_glILv5 |
| | -DbMa9iPZGcSgCaxI_VsRnJ4OLcZVW4u6QOuLbHgKmRVHzrL3ZSgs52tg-TVeTXDO8L37qYjo |
| project_id | 3e43d2f6475e4fd2ab1daa02d2f0c254 |
| user_id | 6b43bf9fd95144b7b6df3dcefcfaa084 |
+------------+----------------------------------------------------------------------------------------------------------------------------------------------+
[root@likeadmin ~]#

4）做为``demo`` 用户，请求认证令牌：
[root@likeadmin ~]# openstack --os-auth-url http://likeadmin:5000/v3 \
> --os-project-domain-name default --os-user-domain-name default \
> --os-project-name demo --os-username demo token issue
Password: djl18001
+------------+----------------------------------------------------------------------------------------------------------------------------------------------+
| Field | Value |
+------------+----------------------------------------------------------------------------------------------------------------------------------------------+
| expires | 2019-03-19T04:12:34+0000 |
| id | gAAAAABckF4i6st-dEO_IdFvQxrIF_Vod8RfHTJFvW71vYcF7BuYuoRrs7tVwHezUNhu_ETWDjfzGDvVw4JHNaN4vS8CXMDjuakofPQrgDaKKajOsMEhTd9MmDGWSMcLPfrO6mzRGPJn |
| | maZ3jVdi9rgOajea6oRUwb5VzEocLBGhL6AVKcIzpT0 |
| project_id | efcaab21a85549b3acf41e10673e030f |
| user_id | 685be60f342f4d9086ae494ab94c4287 |
+------------+----------------------------------------------------------------------------------------------------------------------------------------------+
[root@likeadmin ~]#

4。建立 OpenStack 客户端环境脚本
上一节使用环境变量和命令选项的组合，经过openstack客户端与Identity服务进行交互。
为了提升客户端操做的效率，OpenStack支持简单的客户端环境脚本，也称为OpenRC文件。
这些脚本一般包含全部客户端的公共选项，但也支持惟一选项。 有关更多信息，请参阅“OpenStack最终用户指南”。
1）建立脚本
建立 admin 和 ``demo``项目和用户建立客户端环境变量脚本。本指南的接下来的部分会引用这些脚本，为客户端操做加载合适的的凭证。
客户端环境脚本的路径不受限制。 为方便起见，您能够将脚本放在任何位置，但请确保它们是可访问的。

2）建立和编辑admin-openrc文件并添加如下内容：
注解：OpenStack客户端还支持使用clouds.yaml文件。
[root@likeadmin ~]# vim /root/.admin-openrc
export OS_PROJECT_DOMAIN_NAME=Default
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_NAME=admin
export OS_USERNAME=admin
export OS_PASSWORD=djl18001
export OS_AUTH_URL=http://likeadmin:35357/v3
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2

3）建立并编辑demo-openrc文件并添加如下内容
[root@likeadmin ~]# vim /root/.demo-openrc
export OS_PROJECT_DOMAIN_NAME=Default
export OS_USER_DOMAIN_NAME=Default
export OS_PROJECT_NAME=demo
export OS_USERNAME=demo
export OS_PASSWORD=djl18001
export OS_AUTH_URL=http://likeadmin:5000/v3
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2

4）使用脚本
使用特定租户和用户运行客户端，你能够在运行以前简单地加载相关客户端脚本。例如：
加载``admin-openrc``文件来身份认证服务的环境变量位置和``admin``项目和用户证书：
[root@likeadmin ~]# source /root/.admin-openrc

请求认证令牌:
[root@likeadmin ~]# openstack token issue
+------------+----------------------------------------------------------------------------------------------------------------------------------------------+
| Field | Value |
+------------+----------------------------------------------------------------------------------------------------------------------------------------------+
| expires | 2019-03-19T04:30:34+0000 |
| id | gAAAAABckGJam76OJbygHbqHp8C7GIuloj_HoZzj8RGk-jpD_n-ll5be7QZXDiNLuuwpYlFls0-iepDZvj_6EwgPauzT8Ne-v_WM- |
| | dNn7JCoczavPjIeewtijFVw1ayA9v0t2A6E3DHKDKsE0UpgaSZjuHwoVbQ6rTzaDNWUSInE3rW2syW-fo4 |
| project_id | 3e43d2f6475e4fd2ab1daa02d2f0c254 |
| user_id | 6b43bf9fd95144b7b6df3dcefcfaa084 |
+------------+----------------------------------------------------------------------------------------------------------------------------------------------+
[root@likeadmin ~]#

 

注：至此OpenStack的认证服务keystone已安装配置完成。