policy and pbr/distibution_policy鉴权-优快云博客

关于policy：

前面说keystone的时候，keystone的作用是认证/授权，这里policy我理解成鉴权，功能有很大的交叠部分，也可以认为属于一类，不过侧重点不一样，即使认证通过，

还得通过鉴权再次细分。

无论是nova还是neutron等模块，/etc/xxx下基本都有policy.json的文件，内容风格近似，在nova中，我们可以看到nova.policy.enforce或者wrap_check_policy的decorator，

其实，trace进去wrap_check_policy，实际调用的还是nova.policy.enforce而已。

nova中policy的代码有两个地方，和其他模块类似：

1. nova/policy.py #实际上没有针对nova做什么，像是nova的调用入口，简单的封装了而已

2.nova/openstack/common/policy.json #openstack公共的部分，又没有专门的模块，比如做成oslo的模块的，很多放这里，我觉得以后可能会做到oslo库中

调用的代码逻辑很清晰：

1. nova.policy.enforce中：

init() #初始化，指明鉴权文件（可能有目录，目前没看到，都是policy.json而已）

credentials = context.to_dict() #context在前面专门讲过，包含project_id, user_id等rest call的东西，被openstack封装成为context

_ENFORCER.enforce(action, target, credentials, do_raise=do_raise,exc=exc, action=action) #调用openstack/common/policy.py中的enforce

2.在openstack.common.policy.py中首先是self.load_rules()

为了提高policy.json的读取效率，设置了cache，根据是否force_reload决定read_cached_file是什么

读取policy.json最后fill self.rules

   if overwrite:
            self.rules = Rules(rules, self.default_rule)
        else:
            self.rules.update(rules)

在load过程中，rules = Rules.load_json(data, self.default_rule)是整个policy的核心，其实在我看来，为什么非要写的这么。。。又是元类又是各种解析的，

配置文件是人为定义的，完全可以更简单更清晰！

rules = dict((k, parse_rule(v)) for k, v in jsonutils.loads(data).items())

对 "compute:v3:servers:start": "rule:admin_or_owner",而言，k是compute:v3:servers:start, 其中compute:v3:servers是scope，start是action，理解成compute:v3:servers

的start动作受到怎么样的鉴权限制；

rules是一个dict，value是parse_rule(v)

如果rule是string返回，_parse_text_rule（text），否则_parse_list_rule（list）

返回一个xxCheck（roleCheck，HttpCheck等，注意都重载了__call__）,这里可以trace进去看细节。。。个人觉得这样炫技的写法实在是没必要。。。

实际执行时，执行这些xxCheck即可，至于这些check表示什么意思，mark link有了很好的解释（注意rule是可以嵌套的）

mark link

http://blog.chinaunix.net/uid-20940095-id-4144300.html

关于pbr/distribution部分：

之前做了一些关于openstack项目本身是如何打包发布，以及git下项目之后，babel.cfg, requirements.txt,setup.py, setup.cfg等的意义，后来发现有两篇文章说的很好，

我作为参考即可：

http://wenxueliu.github.io/blog/02/09/2014/python-pbr/

http://blog.youkuaiyun.com/xluren/article/details/41114779

policy and pbr/distibution