openstack-mitaka中Identity服务如何安装

这篇文章给大家分享的是有关openstack-mitaka中Identity服务如何安装的内容。小编觉得挺实用的，因此分享给大家做个参考，一起跟随小编过来看看吧。

Identity服务安装

Identity服务概述

OpenStack的Identity服务为管理认证、授权和service catalog服务提供了单点集成。其它OpenStack服务使用Identity服务作为一个通用的统一API。此外，提供有关用户信息，但该服务不包括在OpenStack（如LDAP服务）可以被集成进一个预先存在的基础设施。

为了从Identity服务获得效益，其它OpenStack服务需要与它进行协调工作。当一个OpenStack服务收到一个用户的请求时，它会用Identity服务来检查此用户是否获得request授权。

Identity服务包括以下组件：

Server

一个集中的服务器使用RESTful接口提供认证和授权服务。

Drivers

可以被集成到中央服务器的驱动程序或者服务后端。他们在OpenStack拓展库被用于访问身份信息，并且已经存在于部署了OpenStack的基础设施（例如，SQL数据库或LDAP服务）。

Modules

是个中间件模块，它运行在正使用身份服务OpenStack组件的地址空间。这些模块拦截服务请求，提取用户凭据，并将它们发送到中央服务器进行授权。中间件模块和OpenStack组件之间的集成使用Python的Web服务器网关接口。

当安装OpenStack的Identity服务时，你必须将每个服务注册到你的OpenStack安装里。Identity服务可以跟踪OpenStack服务安装，并且定位他们的网络。

安装和配置

本节将介绍如何在controller节点安装和配置OpenStack的Identity服务（代号keystone）。出于性能考滤，这种配置部署Fernet令牌和Apache HTTP服务器来处理请求。

先决条件

在配置OpenStack的Identity服务之前，必须创建一个数据库和管理令牌。

1.创建数据库，需要完成下面步骤

l用root账号登陆数据库

mysql -u root -p

l创建keystone数据库

CREATE DATABASE keystone;

l给keystone数据库授权

GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS';

GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%'  IDENTIFIED BY 'KEYSTONE_DBPASS';

将KEYSTONE_DBPASS替换成合适的密码

l退出数据库

2.生成随机数来作用管理令牌，初始化配置时会用到

openssl rand -hex 10

安装和配置组件

1.运行下列命令来安装软件包

yum install openstack-keystone httpd mod_wsgi

2.编辑/etc/keystone/keystone.conf文件并完成下列步骤

l在[DEFAULT]， 定义管理令牌

[DEFAULT]

...

admin_token = ADMIN_TOKEN

将ADMIN_TOKEN替换成之前生成的随机数

l在[database]，配置数据库连接

[database]

...

connection = mysql+pymysql://keystone:KEYSTONE_DBPASS@controller/keystone

将KEYSTONE_DBPASS替换成正确的数据库密码(数据库密码不能有特殊符号)

l在[token]，配置Fernet令牌提供商

[token]

...

provider = fernet

3.填充Identity服务数据库

su -s /bin/sh -c "keystone-manage db_sync" keystone

备注：忽略此处输出任何弃用信息。

4.初始化Fernet keys

keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone

配置Apache HTTP 服务器

1.编辑/etc/httpd/conf/httpd.conf，配置ServerName选项指向controller节点

ServerName controller

2.创建/etc/httpd/conf.d/wsgi-keystone.conf文件并添加以下内容

Listen 5000

Listen 35357

<VirtualHost *:5000>

    WSGIDaemonProcess keystone-public processes=5 threads=1 user=keystone group=keystone display-name=%{GROUP}

    WSGIProcessGroup keystone-public

    WSGIScriptAlias / /usr/bin/keystone-wsgi-public

    WSGIApplicationGroup %{GLOBAL}

    WSGIPassAuthorization On

    ErrorLogFormat "%{cu}t %M"

    ErrorLog /var/log/httpd/keystone-error.log

    CustomLog /var/log/httpd/keystone-access.log combined

    <Directory /usr/bin>

        Require all granted

    </Directory>

</VirtualHost>

<VirtualHost *:35357>

    WSGIDaemonProcess keystone-admin processes=5 threads=1 user=keystone group=keystone display-name=%{GROUP}

    WSGIProcessGroup keystone-admin

    WSGIScriptAlias / /usr/bin/keystone-wsgi-admin

    WSGIApplicationGroup %{GLOBAL}

    WSGIPassAuthorization On

    ErrorLogFormat "%{cu}t %M"

    ErrorLog /var/log/httpd/keystone-error.log

    CustomLog /var/log/httpd/keystone-access.log combined

    <Directory /usr/bin>

        Require all granted

    </Directory>

</VirtualHost>

完成安装

启动Apached HTTP服务并配置开机自启动

systemctl enable httpd.service

systemctl start httpd.service

创建service entity和API endpoints

Identity服务提供服务目录和它们的位置。每个添加到OpenStack环境的服务都要求要有一个service entity和几个API endpoints在目录中。

先决条件

默认情况下，Identity数据库不包含任何信息来支持传统的身份验证和目录服务。必须用之前创建的临时身份令牌来初始化服务实体和API端点。

你必须通过带--os-token参数的命令或者设置OS_TOKEN环境变量来给OpenStack传递身份认证令牌。同样，你必须通过带有—os-url参数的命令或者设置OS_URL环境变量来给OpenStack传递Identity服务URL。下面步骤用设置环境变量的方式。

警告：出于安全，不要长时间用临时身份验证令牌初始化Identity服务

1.配置认证令牌

export OS_TOKEN=ADMIN_TOKEN

将ADMIN_TOKEN替换成之前生成的随机数

2.配置endpoint URL

export OS_URL=http://controller:35357/v3

3.配置Identity API版本

export OS_IDENTITY_API_VERSION=3

创建service entity和API端点

1.在OpenStack环境中Identity服务管理一个目录服务。服务使用目录来确定环境中其它可可用的服务。

执行下列命令来创建service entity

openstack service create --name keystone --description "OpenStack Identity" identity

2.在OpenStack环境，Identity服务管理相关服务API endpoints的目录。服务使用这个目录    来确定如何与环境中的其它服务通信。

OpenStack为每个服务提供三个API endpoint：admin, internal,和public。默认情况admin API endpoint 可以修改用户和租户,然而public和internal APIs 并允许这些操作。在生产环境中，出于安全原因，这些变量可能驻留在不同的网络上，服务于不同的用户类型。例如，Public API网络在互联网上可能被访问得到，所以客户可以管理他们的云。Admin API网络可能受限于在管理云基础设施的组织内进行操作。Internal API网络可能受限在包含OpenStack服务主机上。另外，OpenStack支持可扩展性的多区域。为简单起见，本教程为所有的endpoint使用管理网络并设置默认区域为RegionOne。

创建Identity服务的API endpoints

openstack endpoint create --region RegionOne identity public http://controller:5000/v3

openstack endpoint create --region RegionOne identity internal http://controller:5000/v3

openstack endpoint create --region RegionOne identity admin http://controller:35357/v3

创建domain, projects users和roles

Identity服务为每个OpenStack服务提供认证服务。认证服务将域，项目（租户）、用户和角色结合使用。

1.创建默认的域

openstack domain create --description "Default Domain" default

2.在你的环境中为管理操作创建一个管理项目、用户和角色

l创建admin项目

openstack project create --domain default --description "Admin Project" admin

l创建admin用户

openstack user create --domain default --password-prompt admin

l创建admin角色

openstack role create admin

l将管理员角色添加到管理项目和用户中

openstack role add --project admin --user admin admin

3.本指南使用一个服务项目，该项目仅包含一个用户给每个你添加到环境中的服务使用。

创建服务项目

openstack project create --domain default --description "Service Project" service

4.常规（非管理员）的任务应该使用一个普通的项目和用户。作为一个例子，本指南将创建一个demo项目和用户。

l创建demo项目

openstack project create --domain default --description "Demo Project" demo

备注：当给这个项目创建额外的用户时不要重复这个步骤。

l创建demo用户

openstack user create --domain default --password-prompt demo

l创建用户角色

openstack role create user

l将用户角色添加到demo项目和用户中

openstack role add --project demo --user demo user

验证操作

开始安装其它服务之前验证Identity服务是否正常安装。

以下操作在controller节点进行

1.出于安全考滤，禁用临时身份验证令牌机制：

编辑/etc/keystone/keystone-paste.ini文件，然后从[pipeline:public_api], [pipeline:admin_api], 和 [pipeline:api_v3]这三部分中移除admin_token_auth

2.撤消临时的OS_TOKEN 和 OS_URL环境变量

unset OS_TOKEN OS_URL

3.以admin用户，请求一个身份验证令牌

openstack --os-auth-url http://controller:35357/v3 --os-project-domain-name default --os-user-domain-name default --os-project-name admin --os-username admin token issue

4.以demo用户，请求一个身份认证令牌

openstack --os-auth-url http://controller:5000/v3 --os-project-domain-name default --os-user-domain-name default --os-project-name demo --os-username demo token issue

创建OpenStack客户端环境脚本

之前章节结合使用环境变量和命令行选项通过OpenStack客户端与Identity服务交互。为提高操作效率，OpenStack支持简单的客户端环境脚本既openrc文件。这些脚本通常包含所有客户端的常见选项，但也支持独特的选项。更多信息，请查看OpenStack End User Guide.

创建脚本

为admin及demo项目和用户创建客户端环境脚本

1.编辑admin-openrc并添加下面内容

export OS_PROJECT_DOMAIN_NAME=default

export OS_USER_DOMAIN_NAME=default

export OS_PROJECT_NAME=admin

export OS_USERNAME=admin

export OS_PASSWORD=ADMIN_PASS

export OS_AUTH_URL=http://controller:35357/v3

export OS_IDENTITY_API_VERSION=3

export OS_IMAGE_API_VERSION=2

将ADMIN_PASS替换成正确的密码

2.编辑demo-openrc并添加下面内容

export OS_PROJECT_DOMAIN_NAME=default

export OS_USER_DOMAIN_NAME=default

export OS_PROJECT_NAME=demo

export OS_USERNAME=demo

export OS_PASSWORD=DEMO_PASS

export OS_AUTH_URL=http://controller:5000/v3

export OS_IDENTITY_API_VERSION=3

export OS_IMAGE_API_VERSION=2

将DEMO_PASS替换成正确的密码

使用脚本

作为一个特定的项目和用户来运行客户端，您可以在运行它们之前简单地加载相关的客户端环境脚本。例如:

1.加载admin-openrc文件

. admin-openrc

2.请求一个身份认证令牌

openstack token issue

感谢各位的阅读！关于“openstack-mitaka中Identity服务如何安装”这篇文章就分享到这里了，希望以上内容可以对大家有一定的帮助，让大家可以学到更多知识，如果觉得文章不错，可以把它分享出去让更多的人看到吧！