openstack云計(jì)算組件keystone部署及操作使用技巧
一 前言
任何軟件的部署都是沒有技術(shù)含量的,任何就部署講部署的人都是江湖騙子。
部署的本質(zhì)就是拷貝,粘貼,回車。我們家養(yǎng)了條狗,它可以勝任這件事情。
我們搞技術(shù)的,一定不能迂腐:輕信或者一概不信。
輕信者的傻逼就像是只學(xué)了上半冊(cè)的葵花寶典,上半冊(cè)教你欲練此功必先自宮,而下半冊(cè)說的則是不自宮其實(shí)也可以。
不信者的傻逼就像是馬冬什么?馬什么梅?什么冬梅?
二 版本信息
官網(wǎng)https://docs.openstack.org/newton/install-guide-rdo/keystone.html
我們按照Newton這個(gè)版本來部署,其實(shí)跟大家講,openstack基本保持每6個(gè)月更新一個(gè)版本,面對(duì)如此快的版本更迭,我們其實(shí)瞅準(zhǔn)了一個(gè)版本深入研究下去就好,深入到什么層次,為社區(qū)提交代碼。任何每來一個(gè)新版本就去部署一次的主都是傻叉。
三 部署keystone
系統(tǒng)信息
[root@localhost ~]# cat /etc/redhat-release CentOS Linux release 7.0.1406 (Core) [root@localhost ~]# uname -r 3.10.0-123.el7.x86_64
step 1:準(zhǔn)備階段
yum -y install centos-release-openstack-newton #安裝官方y(tǒng)um源 yum -y upgrade #更新 yum -y install python-openstackclient #安裝工具 yum -y install openstack-selinux #安裝openstack-selinux包自動(dòng)管理openstack組件的安全策略
step 2:部署mariadb
安裝
''' keystone支持ldap和mysql作為后端Driver,用來存放用戶相關(guān)信息,catalog等,這里我們選用mariadb ''' yum -y install mariadb mariadb-server python2-PyMySQL
配置:/etc/my.cnf.d/openstack.cnf
[mysqld] bind-address = 192.168.31.57 #本機(jī)管理網(wǎng)絡(luò)ip default-storage-engine = innodb innodb_file_per_table max_connections = 4096 collation-server = utf8_general_ci character-set-server = utf8
啟動(dòng)服務(wù)且設(shè)置開機(jī)啟動(dòng)
systemctl start mariadb.service systemctl enable mariadb.service
初始化數(shù)據(jù)庫(kù)(可有可無)
mysql_secure_installation
step 3:部署keystone
keystone關(guān)于數(shù)據(jù)庫(kù)的操作
mysql -u root -p #登入數(shù)據(jù)庫(kù) CREATE DATABASE keystone; #新建庫(kù)keystone GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' \ IDENTIFIED BY '123'; #新建本地訪問keystone庫(kù)的賬號(hào) GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' \ IDENTIFIED BY '123'; #新建遠(yuǎn)程訪問keystone庫(kù)的賬號(hào)
安裝軟件包
#keystone軟件包名openstack-keystone #安裝httpd和mod_wsgi的原因是,社區(qū)主推apache+keystone #openstack-keystone本質(zhì)就是一款基于wsgi協(xié)議的web app,而httpd本質(zhì)就是一個(gè)兼容wsgi協(xié)議的web server,所以我們需要為httpd安裝mod_wsgi模塊 yum -y install openstack-keystone httpd mod_wsgi
配置:/etc/keystone/keystone.conf
#讓openstack-keystone能夠知道如何連接到后端的數(shù)據(jù)庫(kù)keystone #mysql+pymysql:pymysql是一個(gè)python庫(kù),使用python可以操作mysql原生sql [database] connection = mysql+pymysql://keystone:123@192.168.31.57/keystone [token] provider = fernet #fernet為生成token的方式
初始化數(shù)據(jù)庫(kù)keystone
#之所以要初始化,是因?yàn)閜ython的orm對(duì)象關(guān)系映射,需要初始化來生成數(shù)據(jù)庫(kù)表結(jié)構(gòu) su -s /bin/sh -c "keystone-manage db_sync" keystone
初始化的時(shí)候可能會(huì)報(bào)錯(cuò)
瞬間蒙蔽:我命名建立的用戶,啥啥的都能訪問啊
初始化Fernet key倉(cāng)庫(kù)
keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone keystone-manage credential_setup --keystone-user keystone --keystone-group keystone
step 4:配置web server整合keystone
修改本機(jī)主機(jī)名
hostnamectl set-hostname controller
配置/etc/hosts
192.168.31.57 controller
配置/etc/httpd/conf/httpd.conf
ServerName controller
為mod_wsgi模塊添加配置文件
#直接拷貝模塊文件或者做軟連接都可以 ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/
啟動(dòng)httpd服務(wù)且設(shè)置開機(jī)自啟
systemctl start httpd.service systemctl enable httpd.service
四 keystone操作
part 1:創(chuàng)建keystone的catalog
配置/etc/keystone/keystone.conf
[DEFAULT] admin_token = 123
設(shè)置環(huán)境變量
#OS_TOKEN=配置文件中的admin_token #會(huì)在filter過濾過程中被admin_token_auth中間間設(shè)置is_admin=True #誰有這個(gè)admin_token誰就是管理員了。 export OS_TOKEN=123 #等于keystone.conf中admin_token的值 export OS_URL=http://192.168.31.57:35357/v3 export OS_IDENTITY_API_VERSION=3
為keystone創(chuàng)建catalog
#基于上一步給的權(quán)限,創(chuàng)建認(rèn)證服務(wù)實(shí)體 openstack service create \ --name keystone --description "OpenStack Identity" identity #基于上一步建立的服務(wù)實(shí)體,創(chuàng)建訪問該實(shí)體的三個(gè)api端點(diǎn) openstack endpoint create --region RegionOne \ identity public http://192.168.31.57:5000/v3 openstack endpoint create --region RegionOne \ identity internal http://192.168.31.57:5000/v3 openstack endpoint create --region RegionOne \ identity admin http://192.168.31.57:35357/v3
part 2:創(chuàng)建域,租戶,用戶,角色,把四個(gè)元素關(guān)聯(lián)到一起
The Identity service provides authentication services for each OpenStack service. The authentication service uses a combination of domains, projects, users, and roles.
建立一個(gè)公共的域名:
openstack domain create --description "Default Domain" default
創(chuàng)建管理員信息:
#創(chuàng)建admin項(xiàng)目 openstack project create --domain default \ --description "Admin Project" admin #創(chuàng)建admin用戶 openstack user create --domain default \ --password-prompt admin #創(chuàng)建admin角色 openstack role create admin #創(chuàng)建上述三者的關(guān)聯(lián) openstack role add --project admin --user admin admin
part 3:使用Bootstrap完成part1和part2二者的工作
Bootstrap the Identity service:
#本質(zhì)就是在為keystone創(chuàng)建catalog keystone-manage bootstrap --bootstrap-password 123 \ --bootstrap-admin-url http://192.168.31.57:35357/v3/ \ --bootstrap-internal-url http://192.168.31.57:35357/v3/ \ --bootstrap-public-url http://192.168.31.57:5000/v3/ \ --bootstrap-region-id RegionOne
設(shè)置環(huán)境變量(is_admin不會(huì)被設(shè)置成True,admin用戶會(huì)獲得一個(gè)Token)
export OS_USERNAME=admin export OS_PASSWORD=123 #就是keystone-manage中設(shè)定的--bootstrap-password export OS_PROJECT_NAME=admin export OS_USER_DOMAIN_NAME=Default export OS_PROJECT_DOMAIN_NAME=Default export OS_AUTH_URL=http://192.168.31.57:35357/v3 export OS_IDENTITY_API_VERSION=3
part 4:創(chuàng)建用于后期測(cè)試用的項(xiàng)目,用戶,租戶,建立關(guān)聯(lián)
創(chuàng)建project名為demo
openstack project create --domain default \ --description "Demo Project" demo
創(chuàng)建普通用戶demo
openstack user create --domain default \ --password-prompt demo
創(chuàng)建普通用戶的角色即user
openstack role create user
建立關(guān)聯(lián)
openstack role add --project demo --user demo user
part 5:為后續(xù)的服務(wù)創(chuàng)建統(tǒng)一租戶service
解釋:后面每搭建一個(gè)新的服務(wù)都需要在keystone中執(zhí)行四種操作:1.建項(xiàng)目 2.建用戶 3.建角色 4.做關(guān)聯(lián)
#后面所有的服務(wù)公用一個(gè)項(xiàng)目service,都是管理員角色admin #所以實(shí)際上后續(xù)的服務(wù)安裝關(guān)于keysotne的操作只剩2,4 openstack project create --domain default \ --description "Service Project" service
五 驗(yàn)證
part 1:準(zhǔn)備
出于安全考慮,需要關(guān)閉臨時(shí)令牌認(rèn)證機(jī)制(配置文件中的admin_token和keystone-manage的--bootstrap-password都是基于該機(jī)制)
該機(jī)制會(huì)將用戶的請(qǐng)求設(shè)置is_admin=True,源碼分析中會(huì)介紹,先暫且理解到這里
編輯/etc/keystone/keystone-paste.ini 將 [pipeline:public_api] [pipeline:admin_api] [pipeline:api_v3] 中的admin_token_auth都去掉
取消一切設(shè)置的環(huán)境變量,如
unset OS_AUTH_URL OS_PASSWORD
part 2:驗(yàn)證操作方法一
管理員用戶admin申請(qǐng)token
openstack --os-auth-url http://controller:35357/v3 \ --os-identity-api-version 3 \ --os-project-domain-name default \ --os-user-domain-name default \ --os-project-name admin \ --os-username admin \ token issue
注意:一定要加上--os-identity-api-version 3
普通用戶demo申請(qǐng)token
openstack --os-auth-url http://controller:5000/v3 \ --os-identity-api-version 3 \ --os-project-domain-name default \ --os-user-domain-name default \ --os-project-name demo \ --os-username demo \ token issue
part 3:驗(yàn)證操作方法二
curl -i \ -H "Content-Type: application/json" \ -d ' { "auth": { "identity": { "methods": [ "password" ], "password": { "user": { "domain":{ "name": "default" }, "name": "admin", "password": "123" } } }, "scope": { "project": { "domain": { "name":"default" }, "name": "admin" } } } }' \ http://127.0.0.1:5000/v3/auth/tokens
六 創(chuàng)建腳本
為了不寫一長(zhǎng)串的用戶信息,可以把他們定義成腳本的方式
admin-openrc
export OS_PROJECT_DOMAIN_NAME=Default export OS_USER_DOMAIN_NAME=Default export OS_PROJECT_NAME=admin export OS_USERNAME=admin export OS_PASSWORD=123 export OS_AUTH_URL=http://192.168.31.57:35357/v3 export OS_IDENTITY_API_VERSION=3 export OS_IMAGE_API_VERSION=2
demo-openrc
export OS_PROJECT_DOMAIN_NAME=Default export OS_USER_DOMAIN_NAME=Default export OS_PROJECT_NAME=demo export OS_USERNAME=demo export OS_PASSWORD=123 export OS_AUTH_URL=http://192.168.31.57:35357/v3 export OS_IDENTITY_API_VERSION=3 export OS_IMAGE_API_VERSION=2
針對(duì)不同的業(yè)務(wù)應(yīng)該有不同的用戶信息,也都應(yīng)該定義成腳本形式,方便管理
我們的申請(qǐng)token操作簡(jiǎn)化成
source admin-openrc openstack token issue
七 keystone使用套路總結(jié)
(1)user歸屬于一個(gè)或多個(gè)Project,并且在每個(gè)項(xiàng)目中充當(dāng)一個(gè)角色。所以我們需要?jiǎng)?chuàng)建Project,創(chuàng)建User,創(chuàng)建Role,并將User和Project、Role關(guān)聯(lián)起來;
View Code
(2)Keystone本質(zhì)是提供Identity服務(wù)的,所以它的實(shí)現(xiàn)或者提供的機(jī)制也是基于用戶來設(shè)計(jì)的。為了提供服務(wù)目錄,配置Keystone的時(shí)候創(chuàng)建了一個(gè)特殊的ServiceProject,為每個(gè)服務(wù)創(chuàng)建對(duì)應(yīng)的用戶(Nova, Swift, cinder...),并且都?xì)w屬于ServiceProject。然后配置、設(shè)置相應(yīng)的Endpoint。
View Code
以上就是openstack云計(jì)算組件keystone部署及操作使用技巧的詳細(xì)內(nèi)容,更多關(guān)于openstack云計(jì)算組件keystone部署的資料請(qǐng)關(guān)注腳本之家其它相關(guān)文章!
相關(guān)文章
詳解OpenStack云平臺(tái)的網(wǎng)絡(luò)模式及其工作機(jī)制
這篇文章主要介紹了詳解OpenStack云平臺(tái)的網(wǎng)絡(luò)模式及其工作機(jī)制,具有一定的參考價(jià)值,感興趣的小伙伴們可以參考一下。2016-12-12CentOS 6.4下安裝部署OpenStack云計(jì)算平臺(tái)的方法
現(xiàn)在好多公司都使用Openstack,所以也想著學(xué)習(xí)下用OpenStack云計(jì)算平臺(tái),這篇文章給加詳細(xì)介紹了CentOS 6.4下安裝部署OpenStack云計(jì)算平臺(tái)的方法,有需要的朋友們可以參考借鑒,下面來一起看看吧。2016-10-10OpenStack之虛機(jī)熱遷移的代碼詳細(xì)解析
本篇文章主要介紹了OpenStack之虛機(jī)熱遷移,有需要的朋友可以了解下。2016-11-11openstack pike單機(jī)一鍵安裝shell的方法
這篇文章主要介紹了openstack pike單機(jī)一鍵安裝shell的方法,小編覺得挺不錯(cuò)的,現(xiàn)在分享給大家,也給大家做個(gè)參考。一起跟隨小編過來看看吧2018-03-03Openstack 節(jié)點(diǎn)維護(hù)詳細(xì)講解
這篇文章主要介紹了Openstack 節(jié)點(diǎn)維護(hù)詳細(xì)講解的相關(guān)資料,需要的朋友可以參考下2016-11-11OpenStack Mitaka 版本中的 domain 和 admin詳解
這篇文章主要介紹了OpenStack Mitaka 版本中的 domain 和 admin詳解,小編覺得挺不錯(cuò)的,現(xiàn)在分享給大家,也給大家做個(gè)參考。一起跟隨小編過來看看吧2017-03-03OpenStack云計(jì)算快速入門教程(1)之OpenStack及其構(gòu)成簡(jiǎn)介
該教程基于Ubuntu12.04版,它將幫助讀者建立起一份OpenStack最小化安裝。這篇文章主要介紹了OpenStack云計(jì)算快速入門教程(1)之OpenStack及其構(gòu)成簡(jiǎn)介 ,需要的朋友可以參考下2016-11-11cURL操作Openstack對(duì)象存儲(chǔ)的ReST API詳解
這篇文章主要介紹了cURL操作Openstack對(duì)象存儲(chǔ)的ReST API詳解的相關(guān)資料,需要的朋友可以參考下2016-11-11