openstack 权限控制（添加自定义角色）keystone等组件

最新推荐文章于 2023-06-21 23:25:36 发布

转载

最新推荐文章于 2023-06-21 23:25:36 发布 · 1.2k 阅读

4 ·

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/52why/p/8081052.html

文章标签：

#json

本文介绍如何在OpenStack中通过修改`policy.json`文件来控制权限，特别是针对Keystone组件。通过调整`policy.json`，例如添加自定义角色`keystone01_role`并限制`create_project`权限，可以实现对用户操作的精细控制。修改后的设置使得只有拥有`keystone01_role`角色的用户才能创建项目，即使admin也无法执行此操作。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

每一个平台、系统都会对于用户的权限进行严格的管理与控制。

openstack是一个开源的项目，我们可以直接下载其源码，进行更改以达到我们的要求。

这里只是针对于用户的权限进行管理，以keystone：

keystone是使用policy.json定义权限，其它openstack组件也是一样的，都是存在文件policy.json（在这文件中保证的是该组件对于用户身份的管理权限的控制）：
/etc/nova/policy.json
/etc/keystone/policy.json
/etc/glance/policy.json
/etc/neutron/policy.json
/etc/cinder/policy.json

keystone的policy.json文件位于：
/etc/keystone/policy.json

其内容如下：
1 {
2 "admin_required": "role:admin or is_admin:1",

34 "identity:get_project": "rule:admin_required",
35 "identity:list_projects": "rule:admin_required",
36 "identity:list_user_projects": "rule:admin_or_owner",
37 "identity:create_project": "rule:admin_required",
38 "identity:update_project": "rule:admin_required",
39 "identity:delete_project": "rule:admin_required",

41 "ide