搭建openstack (基础服务mysql rabbitmq keystone)

其他 2020-01-22 14:50:57 阅读次数: 0

搭建openstack (基础服务mysql rabbitmq keystone)

简单安装mysql

yum install -y mariadb-server
systemctl enable mariadb.service
systemctl restart mariadb.service
systemctl status mariadb.service
配置root密码
mysql_secure_installation 先按回车，然后按Y，设置mysql密码，然后一直按y结束 这里我设置的密码是123

搭建rabbitmq

查看
rabbitmq ha搭建

安装配置Keystone

配置keystone数据库

新建数据库
CREATE DATABASE keystone;
配置该数据库的登录用户
配置本机登录
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY '123';
配置出了本机之外的登录方式
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY '123';

安装keystone和memcached

安装配置memecached

安装
yum -y install openstack-keystone httpd mod_wsgi python-openstackclient memcached python-memcached openstack-utils

配置
cat /etc/sysconfig/memcached


PORT="11211"
USER="memcached"
MAXCONN="4096"
CACHESIZE="4096"
OPTIONS="-l 10.1.1.21"

启动

systemctl enable memcached.service
systemctl restart memcached.service 
systemctl status memcached.service

安装配置keystone

配置keystone

[DEFAULT]
[application_credential]
[assignment]
[auth]
[cache]
enabled = true
backend = oslo_cache.memcache_pool
memcache_servers = controller1.vip.blibee.com:11211,controller2.vip.blibee.com:11211
[catalog]
[cors]
[credential]
[database]
connection = mysql+pymysql://keystone_24_rw:[email protected]:33006/keystone
[domain_config]
[endpoint_filter]
[endpoint_policy]
[eventlet_server]
[federation]
[fernet_tokens]
[healthcheck]
[identity]
[identity_mapping]
[ldap]
[matchmaker_redis]
[memcache]
[oauth1]
[oslo_messaging_amqp]
[oslo_messaging_kafka]
[oslo_messaging_notifications]
[oslo_messaging_rabbit]
rabbit_retry_interval=1
rabbit_retry_backoff=2
rabbit_max_retries=0
rabbit_durable_queues=true
rabbit_ha_queues=true
[oslo_messaging_zmq]
[oslo_middleware]
[oslo_policy]
[paste_deploy]
[policy]
[profiler]
[resource]
[revoke]
[role]
[saml]
[security_compliance]
[shadow_users]
[signing]
[token]
provider = fernet
[tokenless_auth]
[trust]
[unified_limit]

配置httpd

sed -i "s/#ServerName www.example.com:80/ServerName control01/" /etc/httpd/conf/httpd.conf
ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/

初始化数据库

su -s /bin/sh -c "keystone-manage db_sync" keystone

初始化fernet

keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

启动httpd

systemctl enable httpd.service
systemctl restart httpd.service
systemctl status httpd.service

创建 admin 用户角色

keystone-manage bootstrap --bootstrap-password 123 --bootstrap-username admin --bootstrap-project-name admin  --bootstrap-role-name admin  --bootstrap-service-name keystone --bootstrap-region-id RegionOne --bootstrap-admin-url http://control01:35357/v3 --bootstrap-internal-url http://control01:35357/v3 --bootstrap-public-url http://control01:5000/v3

验证

openstack project list --os-username admin --os-project-name admin --os-user-domain-id default --os-project-domain-id default --os-identity-api-version 3 --os-auth-url http://control01:5000 --os-password 123
+----------------------------------+-------+
| ID                               | Name  |
+----------------------------------+-------+
| da5552397f904db2b8f2536a913b0ec9 | admin |
+----------------------------------+-------+

创建admin用户环境变量，创建/root/admin-openrc 文件并写入如下内容

cat /root/admin-openrc
export OS_USER_DOMAIN_ID=default
export OS_PROJECT_DOMAIN_ID=default
export OS_USERNAME=admin
export OS_PROJECT_NAME=admin
export OS_PASSWORD=123
export OS_IDENTITY_API_VERSION=3
export OS_IMAGE_API_VERSION=2
export OS_AUTH_URL=http://control01:35357/v3
source /root/admin-openrc

创建service项目

openstack project create --domain default --description "ServiceProject" service

+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | ServiceProject                   |
| domain_id   | default                          |
| enabled     | True                             |
| id          | 4b443bafa9e24789881d822a4ba87481 |
| is_domain   | False                            |
| name        | service                          |
| parent_id   | default                          |
| tags        | []                               |
+-------------+----------------------------------+

创建demo项目

openstack project create --domain default --description "DemoProject" demo
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | DemoProject                      |
| domain_id   | default                          |
| enabled     | True                             |
| id          | 2a05413c59ab4023b2a7ffdadc0d5c45 |
| is_domain   | False                            |
| name        | demo                             |
| parent_id   | default                          |
| tags        | []                               |
+-------------+----------------------------------+

创建demo用户

openstack user create --domain default demo --password 123  ## 123 是demo的用户名密码
+---------------------+----------------------------------+
| Field               | Value                            |
+---------------------+----------------------------------+
| domain_id           | default                          |
| enabled             | True                             |
| id                  | 70faad4b328d42769a619d37e02436af |
| name                | demo                             |
| options             | {}                               |
| password_expires_at | None                             |
+---------------------+----------------------------------+

创建user角色将demo用户赋予user角色

[root@control01 ~]# openstack role create user
+-----------+----------------------------------+
| Field     | Value                            |
+-----------+----------------------------------+
| domain_id | None                             |
| id        | fa64133a85a0415db5514ea2d46e59af |
| name      | user                             |
+-----------+----------------------------------+
[root@control01 ~]# openstack role add --project demo --user demo user

验证keystone

[root@control01 ~]# unset OS_TOKEN OS_URL
[root@control01 ~]# openstack --os-auth-url http://control01:35357/v3  --os-project-domain-name default --os-user-domain-name default --os-project-name admin --os-username admin token issue --os-password 123

+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| Field      | Value                                                                                                                                                                                   |
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| expires    | 2020-01-22T06:51:13+0000                                                                                                                                                                |
| id         | gAAAAABeJ-LRBremqNsNht3weAwc5Kr0N-TVTNrlvUTwHIXtBFyceB-WgFlOnkzyhNEMWiSPbszJnyBk79cg1fZCFkoUFf8yQTLwUknUM01NHhH1LGkygwBMBePOLzVoS4-6wDirBNxE2HQI-O3OCtqytaaubgIwBEc9BaE5zauouaDCx6QrNyI |
| project_id | da5552397f904db2b8f2536a913b0ec9                                                                                                                                                        |
| user_id    | 2f060dcd19ae47ae931571014e6ca5ac                                                                                                                                                        |
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
[root@control01 ~]# openstack --os-auth-url http://control01:5000/v3  --os-project-domain-name default --os-user-domain-name default --os-project-name demo --os-username demo token issue --os-password 123
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| Field      | Value                                                                                                                                                                                   |
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
| expires    | 2020-01-22T06:51:20+0000                                                                                                                                                                |
| id         | gAAAAABeJ-LY8WeU1vYaGU7PnGElnJaldqoDOdUhFn3dhZHfPt2QZJg5zfup1qhi5ahcJux85NJueGa2Rwz-JnVp06_8hcrpfEEA6T3Qh-Kc2T2oW52D-4mmjsIZm1c9rKpYQ3VO-KAXiZO0Eltr-IpOT2RRYZj5Yq2gADyrtv3jiLVo0qVGpDc |
| project_id | 2a05413c59ab4023b2a7ffdadc0d5c45                                                                                                                                                        |
| user_id    | 70faad4b328d42769a619d37e02436af                                                                                                                                                        |
+------------+-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+

基础概念

读《每天5分钟玩转 OpenStack》

作为 OpenStack 的基础支持服务，Keystone 做下面这几件事情：

  • 管理用户及其权限
  • 维护 OpenStack Services 的 Endpoint
  • Authentication（认证）和 Authorization（鉴权）

学习 Keystone，得理解下面这些概念：

  • User：User 指代任何使用 OpenStack 的实体，可以是真正的用户，其他系统或者服务。
    当User请求访问 OpenStack 时，Keystone 会对其进行验证。Horizon在Identity->Users管理 User
    除了admin和demo，OpenStack也为nova、cinder、glance、neutron服务创建了相应的 User。 admin也可以管理这些 User。

  • Credentials：Credentials 是 User 用来证明自己身份的信息，可以是
  1. 用户名/密码
  2. Token
  3. API Key
  4. 其他高级方式

  • Authentication：Authentication 是 Keystone 验证 User 身份的过程。User 访问 OpenStack 时向 Keystone 提交用户名和密码形式的 Credentials，Keystone 验证通过后会给 User 签发一个 Token 作为后续访问的 Credential。

  • Token:Token 是由数字和字母组成的字符串，User 成功 Authentication 后 Keystone 生成 Token 并分配给 User。
    Token 用做访问 Service 的 Credential
    Service 会通过 Keystone 验证 Token 的有效性
    Token 的有效期默认是 24 小时

  • Project:Project 用于将 OpenStack 的资源（计算、存储和网络）进行分组和隔离。
    根据 OpenStack 服务的对象不同，Project 可以是一个客户（公有云，也叫租户）、部门或者项目组（私有云）。
    这里请注意：
    资源的所有权是属于 Project 的，而不是 User。
    在 OpenStack 的界面和文档中，Tenant / Project / Account 这几个术语是通用的，但长期看会倾向使用 Project
    每个 User（包括 admin）必须挂在 Project 里才能访问该 Project 的资源。 一个User可以属于多个 Project。
    admin 相当于 root 用户，具有最高权限
    Horizon 在 Identity->Projects 中管理 Project
    通过 Manage Members 将 User 添加到 Project

  • Service: OpenStack 的 Service 包括 Compute (Nova)、Block Storage (Cinder)、Object Storage (Swift)、Image Service (Glance) 、Networking Service (Neutron) 等。每个 Service 都会提供若干个 Endpoint，User 通过 Endpoint 访问资源和执行操作。

  • Endpoint:Endpoint 是一个网络上可访问的地址，通常是一个 URL。Service 通过 Endpoint 暴露自己的 API。 Keystone 负责管理和维护每个 Service 的 Endpoint。
    可以使用下面的命令来查看 Endpoint。
openstack catalog list
+----------+----------+---------------------------------------+
| Name     | Type     | Endpoints                             |
+----------+----------+---------------------------------------+
| keystone | identity | RegionOne                             |
|          |          |   internal: http://control01:35357/v3 |
|          |          | RegionOne                             |
|          |          |   public: http://control01:5000/v3    |
|          |          | RegionOne                             |
|          |          |   admin: http://control01:35357/v3    |
|          |          |                                       |
+----------+----------+---------------------------------------+
  • Role:解决的是你能干什么
    安全包含两部分：Authentication（认证）和 Authorization（鉴权）
    Authentication 解决的是“你是谁？”的问题
    Authorization 解决的是“你能干什么？”的问题

Keystone 借助 Role 实现 Authorization：

Keystone定义Role

可以为 User 分配一个或多个 Role，Horizon 的菜单为 Identity->Project->Manage Members

Service 决定每个 Role 能做什么事情 Service 通过各自的 policy.json 文件对 Role 进行访问控制。 下面是 Nova 服务 /etc/nova/policy.json 中的示例

上面配置的含义是：对于 create、attach_network 和 attach_volume 操作，任何Role的 User 都可以执行； 但只有 admin 这个 Role 的 User 才能执行 forced_host 操作。

OpenStack 默认配置只区分 admin 和非 admin Role。 如果需要对特定的 Role 进行授权，可以修改 policy.json。

猜你喜欢

转载自www.cnblogs.com/yanghehe/p/12228493.html
今日推荐
《美国对全球网络空间安全与发展的威胁和破坏》报告发布
火速冲上 GitHub 热榜 —— 开源编程语言、框架哪有这么可爱？
北京人形机器人创新中心发布全球首个纯电驱拟人奔跑的全尺寸人形机器人“天工”
LFOSSA 源来如此公开课 | 掌握云原生未来：CNCF 认证全面攻略与备考秘籍
周排行
让自己的头脑极度开放
CentOS 6.5(x64) 和Redhat6.5操作系误删libc
高可用注册中心
【日记】12.28/【题解】AtCoder AGC041
XML（5）_XML 约束_DTD
Java集合Map（四）
树梅派安装桌面环境教程
pipenv 的 使用和安装
小程序白屏问题和内存研究
C语言简单选择排序
每日归档
更多
2024-05-02(0)
2024-05-01(4)
2024-04-30(1)
2024-04-29(40)
2024-04-28(0)
2024-04-27(56)
2024-04-26(39)
2024-04-25(22)
2024-04-24(36)
2024-04-23(26)

代码天地 © 2018 codetd.com

境外服务器   最新电视剧2022