15、强化 OpenStack 认证：深入解析与实践

强化 OpenStack 认证：深入解析与实践

1. 理解 Keystone 基础概念

在深入探讨 OpenStack 身份服务之前，我们先了解一下 Keystone 的基本概念：
- 项目（Project） ：在 OpenStack 的早期版本中，项目也被称为租户。它是特定用户或用户组的资源容器，实现了资源的隔离。
- 域（Domain） ：身份服务的另一个抽象层，用于在 OpenStack 环境中集合项目、用户和组。新的域结构通过为每个组织隔离项目和组，实现了组织级云环境的定义。
- 角色（Role） ：OpenStack 用户可以是一个或多个项目的成员。通过定义新角色并将其分配给项目和用户，可以确定用户或用户组的授权布局。
- 目录（Catalog） ：作为 OpenStack 服务的端点注册表，Keystone 向用户和服务暴露目录，以便使用特定的 OpenStack 服务端点。
- 令牌（Token） ：用户或服务访问任何 OpenStack 服务时，必须获得经过验证的令牌。令牌包含用户信息、过期日期、关联项目和授权端点等信息。随着 OpenStack 的发展，Keystone 提供了多种类型的令牌。
- 身份提供者（IdP） ：用于验证访问 OpenStack 资源的用户合法性。用户组的凭证存储在 Keystone 数据库中，在一些扩展云设置中，IdP 后端可以是外部的，最新的 Keystone 设计支持 SQL、轻量级目录