深挖Openstack keystone - 源码分析（1）

最新推荐文章于 2025-06-22 12:15:19 发布

原创

最新推荐文章于 2025-06-22 12:15:19 发布 · 1.3k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#OpenStack #云计算

本文主要探讨了OpenStack Keystone的Policy策略机制，详细介绍了如何通过policy.json文件实现用户角色权限管理。此外，还剖析了Keystone组件间的关系，包括各组件的routes.py、controller.py、core.py和driver的实现。同时，提到了/etc/keystone-paste.ini中定义的公共服务mainservice和管理员服务adminservice的功能与区别。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一. Policy策略

Policy机制就是用来控制某一个User在某个Tenant中某个操作的权限。对于Keystone服务来说，policy就是一个json文件，默认是/etc/keystone/policy.json。

{
    "admin_required": "role:admin",
    "cloud_admin": "rule:admin_required and domain_id:admin_domain_id",
    "service_role": "role:service",
    "service_or_admin": "rule:admin_required or rule:service_role",
    "owner": "user_id:%(user_id)s or user_id:%(target.token.user_id)s",
    "admin_or_owner": "(rule:admin_required and domain_id:%(target.token.user.domain.id)s) or rule:owner",
    "admin_or_cloud_admin": "rule:admin_required or rule:cloud_admin",
    "admin_and_matching_domain_id": "rule:admin_required and domain_id:%(domain_id)s",
    "service_admin_or_owner": "rule:service_or_admin or rule:owner",
}