Keystone认证服务

Keystone

Keystone在Openstack架构中的位置

Keystone架构图

Domain、Project、User、Group、Role 之间的关系

整体关系图

交互流程

刚连接命令行需要设置环境变量 source /etc/keystone/admin-openrc.sh

Keystone身份组件（Keystone的组件命令已弃用，只有Openstack命令）【万物不会没关系，–help就好了】

• domain域
  • 域的相关命令 openstack domain create/delete/list/set/show
• project项目
  • 项目的相关命令 openstack project create/delete/list/purge/set/show
• role角色
  • 角色的相关命令 openstack role add/assignment/create/delete/list/remove/set/show
• group组
  • 组的相关命令 openstack group add/contains/create/delete/list/remove/set/show
• user用户
  • 用户的相关命令 openstack user create/delete/list/password/set/show
• endpoint端点
  • 端点的相关命令 openstack endpoint add/create/delete/list/remove/set/show
• service服务
  • 服务的相关命令 openstack service create/delete/list/show
• 获取token
  • openstack token issue
• 查看认证服务目录
  • openstack catalog show keystone

详情了解Keystone：https://blog.youkuaiyun.com/dylloveyou/article/details/80329732

OpenStack安全策略提升

从 PC 机里上传附件提供的 https-repo.tar.gz 文件到 controller

解压到 /opt 目录下

tar -zxvf https-repo.tar.gz -C /opt/

ssl.repo

[ssl]
name=ssl
baseurl=file:///opt/https-repo
enabled=1
gpgcheck=0

安装 httpd mod_wsgi mod_ssl

yum install -y httpd mod_wsgi mod_ssl

编辑 ssl.conf 文件

vi /etc/httpd/conf.d/ssl.conf

# SSLProtocol all -SSLv2 -SSLv3
SSLProtocol all -SSLv2

配置 dashboard 的 local_settings 配置文件

vi /etc/openstack-dashboard/local_settings

//取消注释
CSRF_COOKIE_SECURE = True
SESSION_COOKIE_SECURE = True
//添加
USE_SSL = True
SESSION_COOKIE_HTTPONLY = True

重启 httpd 和 memcached 服务

systemctl restart httpd memcached

用 http 访问则点击登录会出错，用 https 访问则正常
mcached** 服务

systemctl restart httpd memcached

用 http 访问则点击登录会出错，用 https 访问则正常