keystone简介

keystone 是OpenStack的组件之一,用于为OpenStack家族中的其它组件成员提供统一的认证服务,包括身份验证、令牌的发放和校验、服务列表、用户权限的定义等等。云环境中所有的服务之间的授权和认证都需要经过 keystone

keystone工作

  1. 管理用户及其权限
  2. 维护 OpenStack Services 的 Endpoint
  3. Authentication(认证)和 Authorization(鉴权)

服务

#主节点(keystone服务依靠httpd)

# systemctl enable httpd.service
# systemctl start httpd.service

基本名词解释


user

User 指代任何使用 OpenStack 的实体,可以是真正的用户,其他系统或者服务。

[root@yun2 log]# openstack user list
+----------------------------------+-----------+
| ID | Name |
+----------------------------------+-----------+
| 0d1172ac468c4b7185bc6aef48e9f97d | admin |
| 2cdcf92000894eed971389af8bcc18df | cinder |
| 44197ea8943b4940bf26bda9e2019a25 | glance |
| 9b9baaf5f4e54d8b84c2c18fc0360bea | placement |
| a0cc358d272b44c8807672c0cc0faa27 | nova |
| bb8a918057084a278a3d5b7107e7e8a6 | neutron |
| c06816b1bde24dd5a84f7cf53f9fb197 | demo |
+----------------------------------+-----------+
  • admin:openstack平台的超级管理员,负责openstack服务的管理和访问权限
  • demo: 常规(非管理)任务应该使用无特权的项目和用户,所有要创建 demo 项目和 demo 用户
  • 除了 admin 和 demo,OpenStack 也为 nova、cinder、glance、neutron 服务创建了相应的 User,admin 也可以管理这些 User。

credentials

Credentials 是 User 用来证明自己身份的信息,可以是:

  1. 用户名/密码
  2. Token
  3. API Key
  4. 其他高级方式

authentication

Authentication 是 Keystone 验证 User 身份的过程。User 访问 OpenStack 时向 Keystone 提交用户名和密码形式的 Credentials,Keystone 验证通过后会给 User 签发一个 Token 作为后续访问的 Credential。


token

Token 是由数字和字母组成的字符串,User 成功 Authentication 后 Keystone 生成 > Token 并分配给 User。

  1. Token 用做访问 Service 的 Credential
  2. Service 会通过 Keystone 验证 Token 的有效性
  3. Token 的有效期默认是 24 小时

project

Project 用于将 OpenStack 的资源(计算、存储和网络)进行分组和隔离。

根据 OpenStack 服务的对象不同,Project 可以是一个客户(公有云,也叫租户)、部门或者项目组(私有云)

注意:

  1. 资源的所有权是属于 Project 的,而不是 User。
  2. 在 OpenStack 的界面和文档中,Tenant / Project / Account 这几个术语是通用的,但长期看会倾向使用 Project
  3. 每个 User(包括 admin)必须挂在 Project 里才能访问该 Project 的资源。 一个User可以属于多个 Project。
  4. admin 相当于 root 用户,具有最高权限
[root@yun2 log]# openstack project list
+----------------------------------+---------+
| ID | Name |
+----------------------------------+---------+
| 0e5426ebfffb4581b85dce45436576cc | admin |
| 8e5b458ff7914270a78b290a74cac742 | service |
| d5765818b47d4bfb999d7710453a5c8a | demo |
+----------------------------------+---------+

service

OpenStack 的 Service 包括 Compute (Nova)、Block Storage (Cinder)、Object Storage (Swift)、Image Service (Glance) 、Networking Service (Neutron) 等。每个 Service 都会提供若干个 Endpoint,User 通过 Endpoint 访问资源和执行操作

[root@yun2 log]# openstack service list
+----------------------------------+-----------+-----------+
| ID | Name | Type |
+----------------------------------+-----------+-----------+
| 1c31129027c94ac9aedbde8d679927a1 | keystone | identity |
| 2aeb7a8d97f8477ab6da3a38d04636a5 | placement | placement |
| 3cae0bffa0304c05a4ee2dcde525eb98 | neutron | network |
| 52b89010650a4ee9b68776b5c76a6d7b | glance | image |
| 9cd96bdd4404416a97a7d25b472f7bcb | cinderv3 | volumev3 |
| b03e2059becf4acea1e2717b9ccc0f55 | nova | compute |
| c1c27c7b77704a9387ab08b21841d396 | cinderv2 | volumev2 |
+----------------------------------+-----------+-----------+

endpoint

Endpoint 是一个网络上可访问的地址,通常是一个 URL。Service 通过 Endpoint 暴露自己的 API。 Keystone 负责管理和维护每个 Service 的 Endpoint。


[root@yun2 log]# openstack catalog list
+-----------+-----------+------------------------------------------------------------------+
| Name | Type | Endpoints |
+-----------+-----------+------------------------------------------------------------------+
| keystone | identity | RegionOne |
| | | public: http://yun2:5000/v3/ |
| | | RegionOne |
| | | admin: http://yun2:35357/v3/ |
| | | RegionOne |
| | | internal: http://yun2:5000/v3/ |
| | | |
| placement | placement | RegionOne |
| | | public: http://yun2:8778 |
| | | RegionOne |
| | | admin: http://yun2:8778 |
| | | RegionOne |
| | | internal: http://yun2:8778 |
| | | |
| neutron | network | RegionOne |
| | | internal: http://yun2:9696 |
| | | RegionOne |
| | | public: http://yun2:9696 |
| | | RegionOne |
| | | admin: http://yun2:9696 |
| | | |
| glance | image | RegionOne |
| | | public: http://yun2:9292 |
| | | RegionOne |
| | | admin: http://yun2:9292 |
| | | RegionOne |
| | | internal: http://yun2:9292 |
| | | |
| cinderv3 | volumev3 | RegionOne |
| | | admin: http://yun2:8776/v3/0e5426ebfffb4581b85dce45436576cc |
| | | RegionOne |
| | | public: http://yun2:8776/v3/0e5426ebfffb4581b85dce45436576cc |
| | | RegionOne |
| | | internal: http://yun2:8776/v3/0e5426ebfffb4581b85dce45436576cc |
| | | |
| nova | compute | RegionOne |
| | | internal: http://yun2:8774/v2.1 |
| | | RegionOne |
| | | public: http://yun2:8774/v2.1 |
| | | RegionOne |
| | | admin: http://yun2:8774/v2.1 |
| | | |
| cinderv2 | volumev2 | RegionOne |
| | | admin: http://yun2:8776/v2/0e5426ebfffb4581b85dce45436576cc |
| | | RegionOne |
| | | public: http://yun2:8776/v2/0e5426ebfffb4581b85dce45436576cc |
| | | RegionOne |
| | | internal: http://yun2:8776/v2/0e5426ebfffb4581b85dce45436576cc |
| | | |
+-----------+-----------+------------------------------------------------------------------+

防火墙

firewall-cmd --add-port=3306/tcp --permanent
firewall-cmd --add-port=80/tcp --permanent
firewall-cmd --add-port=123/udp --permanent
firewall-cmd --add-port=22/tcp --permanent
firewall-cmd --add-port=35357/tcp --permanent
firewall-cmd --add-port=5000/tcp
firewall-cmd --add-port=5000/tcp --permanent
firewall-cmd --add-port=9292/tcp --permanent
firewall-cmd --add-port=9696/tcp --permanent
firewall-cmd --add-port=8778/tcp --permanent
firewall-cmd --add-port=8776/tcp --permanent
firewall-cmd --add-port=8774/tcp --permanent
firewall-cmd --reload

role

安全包含两部分:

  1. Authentication(认证)--->解决的是“你是谁?”的问题
  2. Authorization(鉴权)--->解决的是“你能干什么?”的问题. keystone 借助 role 实现 Authorization
[root@yun2 log]# openstack role list
+----------------------------------+----------+
| ID | Name |
+----------------------------------+----------+
| 9fe2ff9ee4384b1894a90878d3e92bab | _member_ |
| aa2d974d95b14ecd92e2a5bdf20f2605 | admin |
| c5d4fd60f60f4fe58a2ad9295ee180cc | user |
+----------------------------------+----------+

keystone基本架构

  • Token: 用来生成和管理token
  • Catalog:用来存储和管理service ,endpoint
  • Identity:用来管理tenant ,user,role和验证
  • Policy:用来管理访问权限

Openstack (keystone 身份认证)的更多相关文章

  1. openstack核心组件——keystone身份认证部署服务(5)

    node1主机执行 1.mysql -u root -p 2.create database keystone; 创建数据库 MariaDB [(none)]> show databases; ...

  2. OpenStack组件——Keystone身份认证

    1.keystone介绍 keystone 是OpenStack的组件之一,用于为OpenStack家族中的其它组件成员提供统一的认证服务,包括身份验证.令牌的发放和校验.服务列表.用户权限的定义等等 ...

  3. 003-官网安装openstack之-keystone身份认证服务

    以下操作均在控制节点进行 1.控制节点安装keystone服务 概念理解: Keystone是OpenStack框架中,负责身份验证.服务规则和服务令牌的功能, 它实现了OpenStack的Ident ...

  4. 云计算openstack核心组件——keystone身份认证服务

    一.Keystone介绍:       keystone 是OpenStack的组件之一,用于为OpenStack家族中的其它组件成员提供统一的认证服务,包括身份验证.令牌的发放和校验.服务列表.用户 ...

  5. openstack核心组件——keystone身份认证服务(5)

    云计算openstack核心组件——keystone身份认证服务(5) 部署公共环境 ntp openstack mariadb-server rabbitmq-server memcache 1.w ...

  6. OpenStack Keystone安装部署流程

    之前介绍了OpenStack Swift的安装部署,采用的都是tempauth认证模式,今天就来介绍一个新的组件,名为Keystone. 1. 简介 本文将详细描述Keystone的安装部署流程,并给 ...

  7. OpenStack keystone节点搭建(官方2018年4月份文档)

    参考文档:https://docs.openstack.org/install-guide/common/conventions.html https://docs.openstack.org/mit ...

  8. Openstack keystone组件详解

    OpenStack Keystone Keystone(OpenStack Identity Service)是 OpenStack 框架中负责管理身份验证.服务规则和服务令牌功能的模块.用户访问资源 ...

  9. keystone身份认证服务

    Keystone介绍 keystone 是OpenStack的组件之一,用于为OpenStack家族中的其它组件成员提供统一的认证服务,包括身份验证.令牌的发放和校验.服务列表.用户权限的定义等等.云 ...

随机推荐

  1. java操作hive和beeline的使用

    一.java操作hive 1.启动服务:hiveserver2,让hive开启与外部连接的服务 nohup hiveserver2 1>/dev/null 2>/dev/null & ...

  2. Spring框架之jdbc源码完全解析

    Spring框架之jdbc源码完全解析 Spring JDBC抽象框架所带来的价值将在以下几个方面得以体现: 1.指定数据库连接参数 2.打开数据库连接 3.声明SQL语句 4.预编译并执行SQL语句 ...

  3. Oracle误删数据的恢复

    Oracle误删数据的恢复,分为两种方法:SCN和时间戳两种方法恢复. 一.通过SCN恢复删除且已提交的数据 1.获得当前数据库的SCN号 select current_scn from v$data ...

  4. Flutter 布局类组件:流式布局(Wrap和Flow)

    前言 把超出屏幕显示范围会自动折行的布局称为流式布局.Flutter中通过Wrap和Flow来支持流式布局,将Row换成Wrap后溢出部分则会自动折行. Wrap 接口描述 Wrap({ Key ke ...

  5. wpf 通过为DataGrid所绑定的数据源类型的属性设置Attribute改变DataGrid自动生成列的顺序

    环境Win10 VS2019 .Net Framework4.8 在wpf中,如果为一个DataGrid绑定到一个数据源,默认情况下DataGrid会为数据源类型的每个属性生成一个列(Column)对 ...

  6. RecyclerView 源码分析(一) —— 绘制流程解析

    概述 对于 RecyclerView 是那么熟悉又那么陌生.熟悉是因为作为一名 Android 开发者,RecyclerView 是经常会在项目里面用到的,陌生是因为只是知道怎么用,但是却不知道 Re ...

  7. P2979 [USACO10JAN]奶酪塔Cheese Towers(完全背包,递推)

    题目描述 Farmer John wants to save some blocks of his cows' delicious Wisconsin cheese varieties in his ...

  8. Lnux:实验 Linux C 编程

    实验题目: 实验 3 Linux C 编程 实验目的和要求:   熟悉 Linux 操作系统环境 在 Linux 下编写.执行简单的 C 程序 用 C 语言写自己的 Linux 命令 实验过程: 认真 ...

  9. [Usaco2008 Mar]牛跑步

    题目描述 BESSIE准备用从牛棚跑到池塘的方法来锻炼. 但是因为她懒,她只准备沿着下坡的路跑到池塘, 然后走回牛棚. BESSIE也不想跑得太远,所以她想走最短的路经. 农场上一共有M (1 < ...

  10. Spring Bean详解

    Spring Bean 在Spring的应用中,Spring IoC容器可以创建.装配和配置应用组件对象,这里的组件对象称为Bean. Bean的配置 Spring可以看作一个大型工厂,用于生产和管理 ...