OpenStack模块之Keystone部署解析

帅比萌擦擦* 提交于 2021-02-03 11:02:38

提示:文章写完后,目录可以自动生成,如何生成可参考右边的帮助文档


前言

Keystone在OpenStack中的定位为全局身份服务的验证授权,其它的服务的API在接收到请求之后会向keystone做一个认证,是否有权限进行操作,如有,按照需求中不同的功能模块去分发给自己后端的子功能模块。
宏观上keystone是一个小型的认证机构。本文会从微观上讲解keystone如何进行授权认证的。


一 Keystone概述

1.1 Keystone身份服务

Keystone(OpenStack Identity Service)是OpenStack中的一个独立的提供安全认证的模块,主要负责openstack用户的身份认证,令牌管理,提供访问资源的服务目录,以及基于用户角色的访问控制。

解析:1.基本功能:身份认证(职能),认证机制管理(支持多种认证机制,特性),访问控制(1.权限;2.引导指向),,令牌管理,引导路径



KeyStone类似一个服务总线,或者说是整个Openstack框架的注册表,其它服务通过keystone来注册其服务的Endpoint(服务访问的URL)。任何服务之间相互的调用,需要经过Keystone的身份验证,来获取目标服务的Endpoint来找到目标服务。

解析:keystone知道所有服务(API)的URL路径,你需要使用的服务所对应的位置(API的URL路径-->位置点)即可以提供路径指引服务,前提:已经过身份验证/权限认证

1.2 主要功能

1.身份认证(Authentication):令牌的发放和效验
(a.令牌发放,校验/认证)令牌管理
Auth:授权,权限管理有关

2.用户授权(Authorization):授予用户在一个服务中所拥有权限
(b.控制用户可用授权的权限的范围和使用期限) 
例如:规定只可以到机械学院计算机专业大一02班进行授课,时间为一个星期

3.用户管理(Account):管理用户账户
c.管理用户
4.服务目录(Service Catalog):提供可用服务的API端点
(d.提供所需调用/使用的服务对应的API(URL)位置)及授权,鉴权通过后,会指引目标服务的endponit(API-->Web路径-->URL路径)具体位置
例如:机械学院8号楼123教室

1.3 Keystone相关概念

1.3.1 管理对象(多元化,管理的对象类型非常丰富)

keystone不仅可以为客户进行授权,分发令牌,也可以给openstack内部权限进行管理

Endpoint        端点,API的位置
Role            授权角色
User            用户
Credentials     授权过程
Authentication  授权规则
Token           令牌
Project         项目
Service         服务

相关概念

User(用户):指使用Openstack service(1.全局 2.核心 3.其它组件)的用户

Project(项目)(Tenant):可以理解为一个人,或范围所拥有的资源集合。例如(nova)

Role(角色):用于划分权限。通过给User指定Role,使User获得Role对应操作权限
(授予用户可以使用的权限)

Authenticatin(授权过程):确定用户身份的过程

Token(令牌);是一个字符串表示,作为访问资源的令牌。Token包含了在指定范围和有效时间内,可以被访问的资源

Credenttials:用于确认用户身份的凭证,用户的用户名和密码,或者是用户名和API密钥,或者身份管理服务提供的认证令牌

Service:Openstack service,即Openstack中运行的组件服务。如nova,swift,glance,neutron,cinder等

Endpoint:一个可以通过网络来访问和定位某个Openstack service的地址,通常是一个URL

1.4 Keystone认证流程

以创建虚拟机为场景来介绍

1.keystone在创建虚拟机的过程中,对用户及其他组件之间的交互进行认证
2.keystone会颁发令牌并且进行校验

在这里插入图片描述
解析:

user---》keystone
用户通过命令行(令牌,密钥(API密钥)或horizon(账号密码)的方式登录)
user《---keystone
验证成功:授权权限,跳转地址
Token包含可使用权限范围,使用期限/Endpoint:指定nova API具体地址;控制台的UI界面,网址

user---》nova
持有令牌+endpoint向nova API发送申请创建虚拟机的请求
keystone《---nova
会向keystone进行认证令牌是否合法,有效,可用
keystone---》nova
认证成功,令牌有效

nova---》glance
nova创建虚拟机需要镜像服务,持有令牌+Image(申请的镜像对应的属性,规格)向glance需求镜像服务(镜像本身,源数据信息)
keystone《---glance
会向keystone进行认证令牌是否合法,有效,可用
keystone---》glance
认证成功,令牌有效,glance处理nova请求
nova《---glance
提供Image(镜像本身)供给nova

nova---》neutron
nova创建虚拟机需要网络服务,持有令牌+network(所需网络资源所需要的技术,网络资源)向neutron需求网络服务资源
keystone《---neutron
会向keystone进行认证令牌是否合法,有效,可用
keystone---》neutron
认证成功,令牌有效,neutron处理nova请求
nova《---neutron
提供network(网络资源)供给nova

user《---nova
创建虚拟机所需的资源准备完成,开始创建虚拟机,创建完成发送信息给user用户,告知虚拟机创建是否成功/失败

二 openstack架构的keystone组件部署

2.1 部署解析

OpenStack组件安装的顺序

1、Keystone (apache) 认证
2、glance  镜像
3、nova   计算
4、neutron  网络
部署openstack组件时,需先行安装认证服务(keystone),而认证服务是使用Apache运行的,安装完成后才可以创建、管理账号,然后安装镜像服务(glance)、计算服务(nova)、网络服务(neutron)

其中计算服务和网络服务分为管理端和客户端,所以需要在openstack的管理端安装计算服务和网络服务的管理端(网络服务管理端),在创建虚拟机的node节点上安装计算服务和网络服务的客户端,最后安装dashboard(控制面板)服务,openstack各种组件的API都是通过apache运行的;

openstack的管理端负责创建虚拟机过程的调度

通过openstack管理端创建,管理虚拟机的相关数据最终都会记录到mysql(mariadb)中;node节点没有权限往数据库中写数据,只有控制端有权限,并且node节点与控制端通讯是通过rabbitmq间接通讯,node节点会监听rabbitmq,控制端也会监听rabbitmq,控制端把创建虚拟机的指令发送到rabbitmq,由监听rabbitmq指定队列的node节点接收消息并创建虚拟机;

监听:使用端口,绑定服务,可使用一些功能

2.2 部署准备

配置OpenStack平台基础服务

重命名

[root@localhost ~]# hostnamectl set-hostname controller
[root@localhost ~]# su
[root@localhost ~]# hostnamectl set-hostname compute01
[root@localhost ~]# su
[root@localhost ~]# hostnamectl set-hostname compute02
[root@localhost ~]# su

2.3 部署流程:

2.3.1 创建数据库实例和数据库用户

在控制端上

[root@controller ~]# mysql -uroot -p 登录数据库
MariaDB [(none)]> create database keystone; 创建keystone库,存储相关数据
MariaDB [(none)]>  GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS';
授权所有权限给keystone库所有表,用户keystone在本地,设置密码keystone_dbpass

MariaDB [(none)]> grant all privileges on keystone.* to 'keystone'@'%' identified by 'keystone_dbpass';
授权所有权限给keystone库所有表,用户keystone在所有网段,设置密码keystone_dbpass
MariaDB [(none)]> flush privileges;  刷新权限
MariaDB [(none)]> exit               退出

在这里插入图片描述

2.3.2 安装、配置keystone、数据库、Apache

安装keystone、httpd、mod_wsgi

[root@controller ~]#  yum -y install openstack-keystone httpd mod_wsgi

基于安装centos-release-openstack-train 保证安装更新openstack版本为最新版本t版安装openstack-keystone

mod_wsgi包的作用是让apache能够代理pythone程序的组件,支持API;openstack的各个组件,包括API都是用python写的,但访问的是apache,apache会把请求转发给python去处理,这些包只安装在controler节点

[root@controller ~]# cp -a /etc/keystone/keystone.conf{
   
     ,.bak}
批量将源文件进行备份
[root@controller ~]# cd /etc/keystone/  查看复制情况
[root@controller keystone]# ls 

在这里插入图片描述

[root@controller keystone]# cd
[root@controller ~]# grep -Ev "^$|#" /etc/keystone/keystone.conf.bak > /etc/keystone/keystone.conf                                                              重定向
grep  -Ev  "^$|#"  空行,被注释的数据文件
多排列显示反向过滤 

[root@controller ~]# vi /etc/keystone/keystone.conf


在这里插入图片描述

2.3.3 对接mysql

[root@controller ~]# openstack-config --set /etc/keystone/keystone.conf database connection mysql+pymysql://keystone:KEYSTONE_DBPASS@controller/keystone
基于安装openstack-utils    openstack其它util工具,使用openstack-config 工具命令
 --set:修改,管理
 /etc/keystone/keystone.conf database 修改对象内容字段
connection mysql+pymysql://keystone:KEYSTONE_DBPASS@controller/keystone
  连接 mysql使用python指定用户名,密码、数据库的域名、数据库名

2.3.4 设置传递认证令牌的过程模式加密

[root@controller ~]# openstack-config --set /etc/keystone/keystone.conf token provider fernet
使用openstack-config 工具命令指定token(令牌)的提供者;提供者就是keystone自己本身
Fernet:一种安全的消息传递格式,保证令牌传递过程是安全加密的

2.3.5 初始化认证服务数据库

[root@controller ~]#  su -s /bin/sh -c "keystone-manage db_sync" keystone
            初始化  使用命令 keystone管理 数据 同步 用户名

2.3.6 初始化fernet 密钥存储库

以下命令会生成两个密钥,生成的密钥放于/etc/keystone/目录下,用于加密数据,传递令牌的过程

[root@controller ~]#  keystone-manage fernet_setup --keystone-user keystone 
                        命令   创建  初始化           用户
--keystone-group keystone
           属组
[root@controller ~]# keystone-manage credential_setup --keystone-user 
                               凭证
keystone --keystone-group keystone

2.3.7 配置bootstrap身份认证服务

[root@controller ~]# keystone-manage bootstrap --bootstrap-password ADMIN_PASS \
> --bootstrap-admin-url http://controller:5000/v3/ \
> --bootstrap-internal-url http://controller:5000/v3/ \
> --bootstrap-public-url http://controller:5000/v3/ \
> --bootstrap-region-id RegionOne

keystone-manage bootstrap --bootstrap-password 
                   命令       用户身份                       密码
ADMIN_PASS \
> --bootstrap-admin-url http://controller:5000/v3/ \
             管理网络 指定路径 本地:端口 /v3版本(更新认证机制)
> --bootstrap-internal-url http://controller:5000/v3/ \
               私有/内部网络
> --bootstrap-public-url http://controller:5000/v3/ \
                公有网络
> --bootstrap-region-id RegionOne  指定一个区域名称



此步骤是初始化openstack,会把openstack的admin用户的信息写入到mysql的user表中,以及url等其他信息写入到mysql的相关表中

admin-url是管理网(如公有云内部openstack管理网络),用于管理虚拟机的扩容或删除;如果共有网络和管理网是一个网络,则当业务量大时,会造成无法通过openstack的控制端扩容虚拟机,所以需要一个管理网

internal-url是内部网络,进行数据传输,如虚拟机访问存储和数据库、zookeeper等中间件,这个网络是不能被外网访问的,只能用于企业内部访问

public-url是公有网络,可以给用户访问的(如公有云) 但是此环境没有这些网络,则公用同一个网络

5000端口是keystone提供认证的端口

在这里插入图片描述

针对高可用模式下

需要在haproxy服务器上添加一条listen
各种网络的url需要指定controler节点的域名,一般是haproxy的vip的域名(高可用模式)

2.3.8 配置Apache HTTP服务器

[root@controller ~]# echo "ServerName controller" >> /etc/httpd/conf/httpd.conf
[root@controller ~]# ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/ 创建软链接

安装完mod_wsgi包后,会生成 wsgi-keystone.conf 这个文件,文件中配置了虚拟主机及监听了5000端口,mod_wsgi就是python的网关

[root@controller ~]# systemctl enable httpd  服务自启动
Created symlink from /etc/systemd/system/multi-user.target.wants/httpd.service to /usr/lib/systemd/system/httpd.service.
[root@controller ~]# systemctl start httpd  服务开启

2.3.9.配置管理员账户的环境变量

这些环境变量用于创建角色和项目使用,但是创建角色和项目需要有认证信息,所以通过环境变量声明用户名和密码等认证信息,欺骗openstack已经登录且通过认证,这样就可以创建项目和角色;也就是把admin用户的验证信息通过声明环境变量的方式传递给openstack进行验证,实现针对openstack的非交互式操作

[root@controller ~]# cat >> ~/.bashrc << EOF
> export OS_USERNAME=admin          控制台登陆用户名
> export OS_PASSWORD=ADMIN_PASS     控制台登陆密码
> export OS_PROJECT_NAME=admin
> export OS_USER_DOMAIN_NAME=Default
> export OS_PROJECT_DOMAIN_NAME=Default
> export OS_AUTH_URL=http://controller:5000/v3
> export OS_IDENTITY_API_VERSION=3
> export OS_IMAGE_API_VERSION=2
> EOF
[root@ct ~]# source ~/.bashrc

通过配置环境变量,可以使用openstack命令进行一些操作

[root@controller ~]#  openstack user list

在这里插入图片描述

2.3.10 创建OpenStack 域、项目、用户和角色

1.创建一个项目(project),创建在指定的domain(域)中,指定描述信息,project名称为service(可使用openstack domain list 查询)
[root@controller ~]# openstack project create --domain default --description "Service Project" service 

在这里插入图片描述
2.创建角色(可使用openstack role list查看)

[root@controller ~]# openstack role create user

在这里插入图片描述

3.查看openstack 角色列表

[root@controller ~]# openstack role list
+----------------------------------+--------+
| ID                               | Name   |
+----------------------------------+--------+
| 78e33b1152ce47a296fdf0ca29f5acae | reader |
| 9f1251a80f7e48839a39bd1a0a469fc0 | admin  |
| ab7be80f8a1d4793803e8b620b64a1e5 | user   |
| eb93e255e91a408aa35398503e1b1add | member |
+----------------------------------+--------+

解析;
admin为管理员
member为租户
user为用户

在这里插入图片描述

2.3.11 查看是否可以不指定密码就可以获取到token信息(验证认证服务)

[root@controller ~]#  openstack token issue

在这里插入图片描述


总结

Keystone 组件是作为OpenStack 集群中统一认证、授权的模块,其核心功能就是针对于User(用户)、Tenant(租户)、Role(角色)、Token(令牌/凭证)的控制(手工编译部署即围绕此功能展开的)
User:使用 openstack 的用户。
Tenant:租户,可以理解为一个人、项目或者组织拥有的资源的合集。在一个租户中可以拥有很多个用户,这些用户可以根据权限的划分使用租户中的资源。
Role:角色,用于分配操作的权限。角色可以被指定给用户,使得该用户获得角色对应的操作权限。
Token:(令牌)指的是一串比特值或者字符串,用来作为访问资源的记号。Token 中含有可访问资源的范围和有效时间,token 是用户的一种凭证,需要使用正确的用户名和密码向 Keystone 服务申请才能得到 token。

使用手动部署的模式搭建OpenStack的思路:

1、分模块部署
2、部署keystone模块的基础环境(下载依赖包、组件包、第三方工具/插件)
3、创建、开启此模块的功能(以keystone为例,创建并初始化认证数据库、修改配置文件、初始化密钥-fernet格式、配置身份认证服务)
4、验证
易学教程内所有资源均来自网络或用户发布的内容,如有违反法律规定的内容欢迎反馈
该文章没有解决你所遇到的问题?点击提问,说说你的问题,让更多的人一起探讨吧!