openstack-mitaka中Identity服务如何安装

发布时间：2021-11-16 10:30:32 作者：小新
来源：亿速云阅读：132

# OpenStack-Mitaka中Identity服务如何安装

## 目录
1. [OpenStack Identity服务概述](#1-openstack-identity服务概述)
   - 1.1 [Keystone简介](#11-keystone简介)
   - 1.2 [Mitaka版本特性](#12-mitaka版本特性)
2. [安装前准备](#2-安装前准备)
   - 2.1 [系统要求](#21-系统要求)
   - 2.2 [环境配置](#22-环境配置)
3. [数据库配置](#3-数据库配置)
   - 3.1 [MySQL安装](#31-mysql安装)
   - 3.2 [创建Keystone数据库](#32-创建keystone数据库)
4. [Keystone安装与配置](#4-keystone安装与配置)
   - 4.1 [软件包安装](#41-软件包安装)
   - 4.2 [主配置文件详解](#42-主配置文件详解)
5. [初始化身份服务](#5-初始化身份服务)
   - 5.1 [数据库表结构初始化](#51-数据库表结构初始化)
   - 5.2 [服务实体和API端点](#52-服务实体和api端点)
6. [Apache HTTP服务配置](#6-apache-http服务配置)
   - 6.1 [WSGI配置](#61-wsgi配置)
   - 6.2 [虚拟主机设置](#62-虚拟主机设置)
7. [创建域/项目/用户/角色](#7-创建域项目用户角色)
   - 7.1 [基本身份架构](#71-基本身份架构)
   - 7.2 [CLI操作示例](#72-cli操作示例)
8. [验证身份服务](#8-验证身份服务)
   - 8.1 [临时认证令牌获取](#81-临时认证令牌获取)
   - 8.2 [服务目录查询](#82-服务目录查询)
9. [故障排除](#9-故障排除)
   - 9.1 [常见错误](#91-常见错误)
   - 9.2 [日志分析](#92-日志分析)
10. [附录](#10-附录)
    - 10.1 [参考命令速查](#101-参考命令速查)
    - 10.2 [配置文件模板](#102-配置文件模板)

---

## 1. OpenStack Identity服务概述

### 1.1 Keystone简介
OpenStack Identity服务（代号Keystone）是OpenStack框架的核心组件，负责：
- 用户身份认证（Authentication）
- 服务目录管理（Service Catalog）
- 基于角色的访问控制（RBAC）
- 多租户隔离支持

在Mitaka版本中，Keystone实现了以下关键功能：
```python
class KeystoneCore:
    def __init__(self):
        self.token_provider = 'fernet'  # 默认令牌格式
        self.driver = 'sql'            # 默认数据驱动

1.2 Mitaka版本特性

Mitaka版本（2016年4月发布）对Keystone的重要改进包括： - 增强的Fernet令牌支持 - 改进的策略引擎 - 更细粒度的权限控制 - 原生支持多因素认证（MFA）

版本依赖关系：

Mitaka Keystone requires:
- Python 2.7.x
- MySQL 5.6+/MariaDB 10.0+
- Apache 2.4.x with mod_wsgi

2. 安装前准备

2.1 系统要求

推荐硬件配置：

组件	最低要求	生产环境建议
CPU	1核	4核
内存	2GB	8GB
磁盘空间	10GB	50GB

操作系统选择： - Ubuntu 16.04 LTS - CentOS 7/RHEL 7 - openSUSE Leap 42.1

2.2 环境配置

设置主机名：

hostnamectl set-hostname controller
echo "127.0.0.1 controller" >> /etc/hosts

禁用SELinux（CentOS/RHEL）：

setenforce 0
sed -i 's/^SELINUX=.*/SELINUX=permissive/' /etc/selinux/config

配置NTP服务：

yum install -y chrony  # CentOS
apt install -y chrony  # Ubuntu
systemctl enable chronyd
systemctl start chronyd

3. 数据库配置

3.1 MySQL安装

CentOS安装示例：

yum install -y mariadb-server mariadb-client
systemctl enable mariadb
systemctl start mariadb

安全加固：

mysql_secure_installation

3.2 创建Keystone数据库

CREATE DATABASE keystone;
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS';
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'KEYSTONE_DBPASS';
FLUSH PRIVILEGES;

4. Keystone安装与配置

4.1 软件包安装

Ubuntu系统：

apt install -y keystone apache2 libapache2-mod-wsgi

CentOS系统：

yum install -y openstack-keystone httpd mod_wsgi

4.2 主配置文件详解

编辑/etc/keystone/keystone.conf：

[DEFAULT]
admin_token = INITIAL_ADMIN_TOKEN  # 仅用于初始化

[database]
connection = mysql+pymysql://keystone:KEYSTONE_DBPASS@controller/keystone

[token]
provider = fernet

5. 初始化身份服务

5.1 数据库表结构初始化

su -s /bin/sh -c "keystone-manage db_sync" keystone

5.2 服务实体和API端点

keystone-manage bootstrap --bootstrap-password ADMIN_PASS \
  --bootstrap-admin-url http://controller:5000/v3/ \
  --bootstrap-internal-url http://controller:5000/v3/ \
  --bootstrap-public-url http://controller:5000/v3/ \
  --bootstrap-region-id RegionOne

6. Apache HTTP服务配置

6.1 WSGI配置

创建/etc/apache2/sites-available/wsgi-keystone.conf：

Listen 5000
Listen 35357

<VirtualHost *:5000>
    WSGIDaemonProcess keystone-public
    WSGIProcessGroup keystone-public
    WSGIScriptAlias / /usr/bin/keystone-wsgi-public
</VirtualHost>

6.2 虚拟主机设置

启用配置：

a2ensite wsgi-keystone
systemctl restart apache2

7. 创建域/项目/用户/角色

7.1 基本身份架构

graph TD
    A[Domain] --> B[Project]
    B --> C[User]
    C --> D[Role]

7.2 CLI操作示例

创建管理员：

openstack user create --domain default --password-prompt admin
openstack role create admin
openstack role add --project admin --user admin admin

8. 验证身份服务

8.1 临时认证令牌获取

openstack --os-auth-url http://controller:5000/v3 \
  --os-project-domain-name Default --os-user-domain-name Default \
  --os-project-name admin --os-username admin token issue

8.2 服务目录查询

openstack catalog list

9. 故障排除

9.1 常见错误

Error: Unable to connect to database 检查MySQL连接字符串和权限
403 Forbidden 验证admin_token或用户凭证

9.2 日志分析

关键日志位置： - /var/log/keystone/keystone.log - /var/log/apache2/error.log

10. 附录

10.1 参考命令速查

# 重置Fernet密钥
keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone

# 验证数据库连接
mysql -h controller -u keystone -p

10.2 配置文件模板

完整keystone.conf示例：

[DEFAULT]
log_dir = /var/log/keystone

[identity]
driver = sql

[assignment]
driver = sql

（注：实际文档应包含更多详细配置步骤和解释，此处为简化示例。完整7000字文档需要扩展每个章节的操作细节、原理说明和实际案例。） “`

这篇文章大纲提供了完整的安装指南框架，实际撰写时需要： 1. 扩展每个步骤的详细操作说明 2. 增加配置参数的解释 3. 补充实际案例和截图 4. 添加故障处理的具体方法 5. 完善安全加固建议

建议在每个主要步骤后添加”验证步骤”和”预期输出”，以帮助读者确认操作是否正确完成。