Chapter 3 OpenStack认证服务(Identity service)
3.1 认证服务的概念
OpenStack认证服务主要提供以下两种功能：
跟踪用户及其权限
通过API端点(endpoint)提供一组可用的服务
在安装认证服务后，需要为OpenStack其他服务进行注册，这样认证服务就能追踪哪些OpenStack服务已安装以及在网络中所处的位置。
需要了解一下OpenStack认证服务以下概念：
用户：任何使用OpenStack云服务的用户、系统、服务的数字化表示。
证书(credential)：确保用户身份的数据。例如用户名和密码的组合、用户名和API键(key)的组合等
授权(authentication)：确认用户身份的过程
令牌(token)：数字-文字文本串，用于访问OpenStack API和资源
租户(tenant)：用于定义组或隔离资源的容器
服务(service)：OpenStack各个服务名称
终端(endpoint)：访问某个服务的URL地址
角色(role)：定义用户权限、可执行的操作
Keystone客户端(client)：OpenStack认证API的命令行接口
下图展示了OpenStack认证服务的处理流程：
3.2 安装配置OpenStack认证服务
3.2.1 配置预先环境
在安装配置OpenStack认证服务之前，需要创建相应的数据库和一个管理员令牌(token)：
[root@controller ~]# mysql -uroot -piforgot
MariaDB [(none)]> CREATE DATABASE keystone;
MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' \
IDENTIFIED BY 'keystonepw';
MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' \
IDENTIFIED BY 'keystonepw';
MariaDB [(none)]> flush privileges;
[root@controller ~]# openssl rand -hex 10
c63cfc6c7e303d4515e6
3.2.2 安装配置OpenStack认证服务组件
1. 安装相关软件包：
[root@controller ~]# yum -y install openstack-keystone httpd mod_wsgi python-openstackclient memcached python-memcached
2. 启动Memcached服务并设置为开机自启：
[root@controller ~]# systemctl start memcached
[root@controller ~]# systemctl enable memcached
3. 编辑/etc/keystone/keystone.conf文件：
[root@controller ~]# cp /etc/keystone/keystone.conf{,.bak}
[root@controller ~]# > /etc/keystone/keystone.conf
[root@controller ~]# vi /etc/keystone/keystone.conf
[DEFAULT]
admin_token = c63cfc6c7e303d4515e6
verbose = True
[database]
connection = mysql://keystone:keystonepw@controller/keystone
[memcache]
servers = localhost:11211
[token]
provider = keystone.token.providers.uuid.Provider
driver = keystone.token.persistence.backends.memcache.Token
[revoke]
driver = keystone.contrib.revoke.backends.sql.Revoke
4. 填充认证服务数据库：
[root@controller ~]# su -s /bin/sh -c "keystone-manage db_sync" keystone
3.2.3 配置Apache HTTP服务
1. 修改/etc/httpd/conf/httpd.conf文件：
[root@controller ~]# vi /etc/httpd/conf/httpd.conf
ServerName controller
2. 创建/etc/httpd/conf.d/wsgi-keystone.conf文件并添加以下内容：
[root@controller ~]# vi /etc/httpd/conf.d/wsgi-keystone.conf
Listen 5000
Listen 35357
<VirtualHost *:5000>
WSGIDaemonProcess keystone-public processes=5 threads=1 user=keystone group=keystone display-name=%{GROUP}
WSGIProcessGroup keystone-public
WSGIScriptAlias / /var/www/cgi-bin/keystone/main
WSGIApplicationGroup %{GLOBAL}
WSGIPassAuthorization On
LogLevel info
ErrorLogFormat "%{cu}t %M"
ErrorLog /var/log/httpd/keystone-error.log
CustomLog /var/log/httpd/keystone-access.log combined
</VirtualHost>
<VirtualHost *:35357>
WSGIDaemonProcess keystone-admin processes=5 threads=1 user=keystone group=keystone display-name=%{GROUP}
WSGIProcessGroup keystone-admin
WSGIScriptAlias / /var/www/cgi-bin/keystone/admin
WSGIApplicationGroup %{GLOBAL}
WSGIPassAuthorization On
LogLevel info
ErrorLogFormat "%{cu}t %M"
ErrorLog /var/log/httpd/keystone-error.log
CustomLog /var/log/httpd/keystone-access.log combined
</VirtualHost>
3. 创建WSGI组件目录结构并导入相关内容，然后修改目录的属性和权限：
[root@controller ~]# mkdir -p /var/www/cgi-bin/keystone
[root@controller ~]# curl http://git.openstack.org/cgit/openstack/keystone/plain/httpd/keystone.py?h=stable/kilo \
| tee /var/www/cgi-bin/keystone/main /var/www/cgi-bin/keystone/admin
[root@controller ~]# chown -R keystone:keystone /var/www/cgi-bin/keystone
[root@controller ~]# chmod 755 /var/www/cgi-bin/keystone/*
4. 启动httpd服务并设置为开机自启：
[root@controller ~]# systemctl restart httpd
[root@controller ~]# systemctl enable httpd
3.3 创建服务实体(service entity)和API终端
OpenStack环境中各个服务都需要一个服务实体以及多个API终端。
3.3.1 配置预先环境
1. 配置认证令牌：
[root@controller ~]# export OS_TOKEN=c63cfc6c7e303d4515e6
2. 配置终端URL：
[root@controller ~]# export OS_URL=http://controller:35357/v2.0
3.3.2 创建认证服务所需的服务实体以及API终端
[root@controller ~]# openstack service create \
--name keystone --description "OpenStack Identity" identity
[root@controller ~]# openstack endpoint create \
--publicurl http://controller:5000/v2.0 \
--internalurl http://controller:5000/v2.0 \
--adminurl http://controller:35357/v2.0 \
--region RegionOne \
identity
3.4 创建项目名、用户以及角色
这里只创建与管理员相关的信息：
[root@controller ~]# openstack project create --description "Admin Project" admin
[root@controller ~]# openstack user create --password adminpw admin
[root@controller ~]# openstack role create admin
[root@controller ~]# openstack role add --project admin --user admin admin
[root@controller ~]# openstack project create --description "Service Project" service
[root@controller ~]# unset OS_TOKEN OS_URL
3.5 验证操作
这里不作介绍，请查看http://docs.openstack.org/kilo/install-guide/install/yum/content/keystone-verify.html，注意，整个实验环境不会用到demo项目和用户。
3.6 创建OpenStack客户端环境脚本
创建admin项目和用户所需要的客户端环境脚本：
[root@controller ~]# vi admin-openrc.sh
export OS_PROJECT_DOMAIN_ID=default
export OS_USER_DOMAIN_ID=default
export OS_PROJECT_NAME=admin
export OS_TENANT_NAME=admin
export OS_USERNAME=admin
export OS_PASSWORD=adminpw
export OS_AUTH_URL=http://controller:35357/v3
export OS_IMAGE_API_VERSION=2
注意，最后导入的环境变量表示镜像服务客户端使用API版本2.0。官方文档将这一变量在镜像服务章节加入的，这里提前介绍。
