《OpenStack云计算实战手册(第2版)》一1.9 配置服务的租户和服务的用户-阿里云开发者社区

开发者社区> 安全> 正文
登录阅读全文

《OpenStack云计算实战手册(第2版)》一1.9 配置服务的租户和服务的用户

简介:

本节书摘来异步社区《OpenStack云计算实战手册(第2版)》一书中的第1章,第1.9节,作者: 【英】Kevin Jackson , 【美】Cody Bunch 译者: 黄凯 , 杜玉杰 责编: 杨海玲,更多章节内容可以访问云栖社区“异步社区”公众号查看。

1.9 配置服务的租户和服务的用户

OpenStack云计算实战手册(第2版)
服务端点创建完成以后,接下来配置它们以便其他OpenStack服务能够调用它们。为此,要为每个服务都配置一个特定的service租户,并指定对应的用户名和密码。这样的目的是保证更高的安全性、以及用来为云环境做故障排除和审计等工作。对于每一个需要OpenStack身份认证服务来验证和授权的服务,都需要在该服务启动之前,在其相关的配置文件里详细写明用于Keystone验证的用户名和密码。例如,glance服务是在/etc/glance/glance-registry-api.ini文件中指定,当OpenStack身份认证服务使用时,必须与之前创建的相匹配。

[filter:authtoken]  
paste.filter_factory = keystone.middleware.auth_token:filter_factory  
service_protocol = http  
service_host = 172.16.0.200  
service_port = 5000  
auth_host = 172.16.0.200  
auth_port = 35357  
auth_protocol = http  
auth_uri = http://172.16.0.200:5000/  
admin_tenant_name = service  
admin_user = glance  
admin_password = glance

准备工作
在开始之前,必须确认已经登录到已经安装了OpenStack身份认证服务的OpenStack控制节点上,或者有一个已经连接到安装了OpenStack身份认证服务的服务器上的Ubuntu客户端。

登录到使用Vagrant创建的OpenStack控制节点,执行以下命令:

vagrant ssh controller

如果keystone客户端工具尚未安装,则可以通过如下命令在Ubuntu客户端上安装以便管理OpenStack身份认证服务:

sudo apt-get update  
sudo apt-get -y install python-keystoneclient

确保已经设置了正确的环境变量,能访问到OpenStack环境。

export ENDPOINT=172.16.0.200  
export SERVICE_TOKEN=ADMIN  
export SERVICE_ENDPOINT=http://${ENDPOINT}:35357/v2.0

操作步骤
要配置一个合适的服务租户,需要执行如下步骤。

1.创建服务租户,命令如下所示:

keystone tenant-create \  
   --name service \  
   --description "Service Tenant" \  
   --enabled true

输出如图1-6所示。


6

2.记录下服务租户的ID,以方便后面使用。

SERVICE_TENANT_ID=$(keystone tenant-list \ 
   | awk '/\ service\ / {print $2}')

3.对于本节中的所有服务,都会为其创建一个用户账户,用户名和密码都和服务名称一致。例如,会在服务租户里用user-create选项创建一个用户名和密码均为nova的用户,命令如下所示:

keystone user-create \  
   --name nova \  
   --pass nova \  
   --tenant_id  $SERVICE_TENANT_ID \  
   --email nova@localhost \   
   --enabled true

输出如图1-7所示。


7

4.重复上一步,继续为其他用到OpenStack身份认证功能的服务创建用户。

keystone user-create \  
   --name glance 
   --pass glance \ 
   --tenant_id $SERVICE_TENANT_ID \ 
   --email glance@localhost \  
   --enabled true

keystone user-create \  
   --name keystone \  
   --pass keystone \ 
   --tenant_id $SERVICE_TENANT_ID \  
   --email keystone@localhost \ 
   --enabled true

keystone user-create \
   --name cinder \
   --pass cinder \
   --tenant_id $SERVICE_TENANT_ID \
   --email cinder@localhost \
   --enabled true

5.现在为这些服务租户里的用户分配admin角色。为此,需要先取得nova用户的用户ID,然后在用user-role-add选项来分配角色。例如,为了将admin角色分配给服务租户里的nova用户,命令如下所示:

# Get the nova user id   
NOVA_USER_ID=$(keystone user-list \
   | awk '/\ nova\ / {print $2}')  

# Get the admin role id  
ADMIN_ROLE_ID=$(keystone role-list\
   | awk '/\ admin\ / {print $2}')  

# Assign the nova user the admin role in service tenant  
keystone user-role-add\ 
   --user $NOVA_USER_ID\ 
   --role $ADMIN_ROLE_ID\
   --tenant_id $SERVICE_TENANT_ID

6.接下来,重复上一步,继续为其他服务租户(glance、keystone和cinder用户)分配角色。

# Get the glance user id
GLANCE_USER_ID=$(keystone user-list\
   | awk '/\ glance\ / {print $2}')

# Assign the glance user the admin role in service tenant
keystone user-role-add\ 
   --user $GLANCE_USER_ID\ 
   --role $ADMIN_ROLE_ID\ 
   --tenant_id $SERVICE_TENANT_ID

# Get the keystone user id
KEYSTONE_USER_ID=$(keystone user-list\
   | awk '/\ keystone\ / {print $2}')

# Assign the keystone user the admin role in service tenant
keystone user-role-add\ 
   --user $KEYSTONE_USER_ID\ 
   --role $ADMIN_ROLE_ID\ 
   --tenant_id $SERVICE_TENANT_ID

# Get the cinder user id
CINDER_USER_ID=$(keystone user-list\
   | awk '/\ cinder \ / {print $2}')

# Assign the cinder user the admin role in service tenant
keystone user-role-add\ 
   --user $CINDER_USER_ID\ 
   --role $ADMIN_ROLE_ID\ 
   --tenant_id $SERVICE_TENANT_ID

工作原理
创建服务租户,然后在其中添加OpenStack运行必需的各个服务的用户,这两步操作和在系统中添加需要admin角色的其他用户没什么不同。为每个拥有admin角色的用户分配用户名和密码,并确保它们存在于服务租户内。然后,使用这些凭证来配置服务OpenStack 的身份认证服务。

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:
+ 订阅

云安全开发者的大本营

其他文章
最新文章
相关文章