一、安装和配置KeyStone
1. 为KeyStone配置数据库
- 使用数据库客户端,以root用户连接到数据库中:
mysql -u root -p
- 创建KeyStone数据库:
CREATE DATABASE keystone;
- 为KeyStone用户授权:
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS';
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'KEYSTONE_DBPASS';
2. 安装KeyStone
- KeyStone服务的监听端口是5000和35357,配置Apache HTTP服务监听这两个端口,为了避免端口冲突,在Ubuntu上禁止KeyStone开机自启动:
echo "manual" > /etc/init/keystone.override
- 安装与Keystone相关的软件包:
apt-get install keystone python-openstackclient apache2 libapache2-mod-wsgi memcached python-memcache
3. 修改KeyStone的配置文件keystone.conf
修改/etc/keystone/keystone.conf
小技巧:将原文件备份,使用命令cat backup_file | grep -v '^#' > new_file
可以生成新文件,并去掉注释,即cat /etc/keystone/keystone.conf.bak | grep -v '^#' > /etc/keystone/keystone.conf
- 随机生成一个16进制的token:
openssl rand -hex 10
- 修改[default]部分,配置初始的令牌管理:
admin_token = ADMIN_TOKEN
ADMIN_TOKEN是刚才所生成的随机值 - 修改[database]部分,配置数据库的连接:
connection = mysql://keystone:KEYSTONE_DBPASS@controller/keystone
- 修改[memcache],配置Memcache 服务:
servers = localhost:11211
11211是memecahced服务器的默认端口号 - 修改[token]部分,配置UUID令牌的提供者和memcached的持久化驱动:
provider = keystone.token.providers.uuid.Provider
driver = keystone.token.persistence.backends.memcache.Token
- 修改[revoke] 部分, 配置SQL的撤回驱动:
driver = keystone.contrib.revoke.backends.sql.Revoke
可选:为了方便做问题诊断,在[DEFAULT]部分,配置详细的日志输出:
verbose = True
- 为keystone数据库填充数据:
su -s /bin/sh -c "keystone-manage db_sync" keystone
4. 配置 Apache HTTP server
- 编辑/etc/apache2/apache2.conf,配置ServerName选项为控制节点hostname:
ServerName controller
- 创建/etc/apache2/sites-available/wsgi-keystone.conf文件,添加如下内容:
Listen 5000 Listen 35357 <VirtualHost *:5000> WSGIDaemonProcess keystone-public processes=5 threads=1 user=keystone display-name=%{GROUP} WSGIProcessGroup keystone-public WSGIScriptAlias / /var/www/cgi-bin/keystone/main WSGIApplicationGroup %{GLOBAL} WSGIPassAuthorization On <IfVersion >= 2.4> ErrorLogFormat "%{cu}t %M" </IfVersion> LogLevel info ErrorLog /var/log/apache2/keystone-error.log CustomLog /var/log/apache2/keystone-access.log combined </VirtualHost> <VirtualHost *:35357> WSGIDaemonProcess keystone-admin processes=5 threads=1 user=keystone display-name=%{GROUP} WSGIProcessGroup keystone-admin WSGIScriptAlias / /var/www/cgi-bin/keystone/admin WSGIApplicationGroup %{GLOBAL} WSGIPassAuthorization On <IfVersion >= 2.4> ErrorLogFormat "%{cu}t %M" </IfVersion> LogLevel info ErrorLog /var/log/apache2/keystone-error.log CustomLog /var/log/apache2/keystone-access.log combined </VirtualHost>
- 启用身份认证服务的虚拟主机:
ln -s /etc/apache2/sites-available/wsgi-keystone.conf /etc/apache2/sites-enabled
- 为WSGI组件创建目录结构:
mkdir -p /var/www/cgi-bin/keystone
- 拷贝WSGI组件到当前创建好的目录/var/www/cgi-bin/keystone下:
curl http://git.openstack.org/cgit/openstack/keystone/plain/httpd/keystone.py?h=stable/kilo | tee /var/www/cgi-bin/keystone/main /var/www/cgi-bin/keystone/admin
- 设置目录和文件的权限:
chown -R keystone:keystone /var/www/cgi-bin/keystone
chmod 755 /var/www/cgi-bin/keystone/*
- 重启apache http server:
service apache2 restart
- 删除ubuntu默认创建的SQLite数据库:
rm -f /var/lib/keystone/keystone.sqlite
二、配置服务实体与API端点
1. 配置认证服务的服务实体
- 设置操作系统临时环境变量:校验令牌:
export OS_TOKEN=ADMIN_TOKEN
- 设置操作系统临时环境变量:端点URL:
export OS_URL=http://controller:35357/v2.0
- 为认证服务创建服务实体:
openstack service create --name keystone --description "OpenStack Identity" identity
- 配置认证服务的API端点:
openstack endpoint create --publicurl http://controller:5000/v2.0 --internalurl http://controller:5000/v2.0 --adminurl http://controller:35357/v2.0 --region RegionOne identity
三、创建项目(租户)、用户和角色
- 创建admin租户:
openstack project create --description "Admin Project" admin
- 创建admin用户:
openstack user create --password-prompt admin
- 创建admin角色:
openstack role create admin
- 添加admin角色到admin租户和用户:
openstack role add --project admin --user admin admin
四、创建服务项目
- 位其他的OpenStack服务创建服务项目:
openstack project create --description "Service Project" service
五、创建普通项目和用户
- 创建demo项目:
openstack project create --description "Demo Project" demo
- 创建demo用户:
openstack user create --password-prompt demo
- 创建demo角色:
openstack role create user
- 添加user角色到demo租户和用户:
openstack role add --project demo --user demo user
六、校验安装
1. 校验安装前的准备
- 基于安全的原因,先临时禁止校验令牌的机制。编辑/etc/keystone/keystone-paste.ini:
移除admin_token_auth从[pipeline:public_api], [pipeline:admin_api], [pipeline:api_v3]部分 - 取消设置的操作系统环境变量:
unset OS_TOKEN OS_URL
2. 使用admin用户校验安装
- 以admin用户,从2.0版本的认证API申请一个校验令牌:
openstack --os-auth-url http://controller:35357 --os-project-name admin --os-username admin --os-auth-type password token issue
3.0版本的认证API支持域名,以admin用户申请一个校验令牌:
openstack --os-auth-url http://controller:35357 --os-project-domain-id default --os-user-domain-id default --os-project-name admin --os-username admin --os-auth-type password token issue
- 以admin用户,校验admin用户是否有权限云查看认证服务中所包含的项目:
openstack --os-auth-url http://controller:35357 --os-project-name admin --os-username admin --os-auth-type password project list
- 以admin用户,查看认证服务中的用户是否创建成功:
openstack --os-auth-url http://controller:35357 --os-project-name admin --os-username admin --os-auth-type password user list
- 以admin用户,查看认证服务中的角色是否创建成功:
openstack --os-auth-url http://controller:35357 --os-project-name admin --os-username admin --os-auth-type password role list
3. 使用demo用户校验安装
- 以demo用户,从v3版本的认证API中申请校验令牌:
openstack --os-auth-url http://controller:5000 --os-project-domain-id default --os-user-domain-id default --os-project-name demo --os-username demo --os-auth-type password token issue
- 以demo用户,尝试能否执行只有管理用户才能执行的查看用户的操作:
openstack --os-auth-url http://controller:5000 --os-project-domain-id default --os-user-domain-id default --os-project-name demo --os-username demo --os-auth-type password user list
七、创建OpenStack客户端脚本
1. 创建admin用户的脚本
创建和编辑文件admin-openrc.sh,加入如下内容:
export OS_PROJECT_DOMAIN_ID=default
export OS_USER_DOMAIN_ID=default
export OS_PROJECT_NAME=admin
export OS_TENANT_NAME=admin
export OS_USERNAME=admin
export OS_PASSWORD=ADMIN_PASS
export OS_AUTH_URL=http://controller:35357/v3
2. 创建demo用户的脚本
创建和编辑文件demo-openrc.sh,加入如下内容:
export OS_PROJECT_DOMAIN_ID=default
export OS_USER_DOMAIN_ID=default
export OS_PROJECT_NAME=demo
export OS_TENANT_NAME=demo
export OS_USERNAME=demo
export OS_PASSWORD=DEMO_PASS
export OS_AUTH_URL=http://controller:5000/v3
3. 测试脚本
- 加载脚本:
source admin-openrc.sh
- 测试脚本:
openstack token issue