openstack身份管理.docx

openstack身份管理/xxfigoxxfigo 编写基本概念身份服务有两个主要功能：1、用户管理：记录用户和他们的权限2、服务目录：提供可用服务和该服务api的终端地址身份服务定义了一些非常值得理解的定义：用户（User）：使用OpenStack云服务的人、系统、服务的数字表示。身份验证服务验证用户传入的请求。用户登录可能被赋予访问资源的令牌。用户可能直接被指定给一个特定租户，好像用户在这个租户中一样。认证信息（Credentials）：用户持有的，一般情况下只有这个用户知道的数据。用户能够使用这个数据来证明他的身份（因为没有其他人知道这个数据）。例如：配对的用户名和密码配对的用户名和API key自己和有你本人照片的驾驶证颁发给你不被其他人知道的令牌认证（Authentication）：在认证服务背景下，认证是确认用户身份和请求正确性的动作。身份服务确认传入的请求来自于有请求权限的用户。这些请求最初以一系列验证信息的形式出现（用户名和密码，或用户名和API key）。经过初始验证后，身份服务会颁发给用户一个令牌，在后续请求时用户可以用这个令牌说明他们的身份已经经过认证。令牌（Token）：令牌是用来访问资源的任意比特的文本。每个令牌有一个访问范围。令牌可在任意时间收回，并在一个有限的时间内有效。在Folsom版本中身份服务支持基于令牌的认证，未来将会支持额外的协议。首要目的是集成服务，不渴望成为一个成熟的身份存储和管理方案。租户（Tenant）：用来分组或隔离资源和（或）身份对象的容器。根据服务运营商，租户可以映射成一个客户、账户、组织或项目。服务（Service）：一个OpenStack服务，例如计算（nova），对象存储（swift）或镜像服务（glance）。服务提供一个或多个用户可以访问资源和执行（可能有用的）操作的端点。端点（Endpoint）：一个可通过网络访问的服务地址，通常使用URL描述。如果使用扩展，可以创建端点模板，它代表了所有可跨区域访问的服务。角色（Role）：可执行一特定系列操作的用户特性。角色包括一系列权利和特权。用户可继承其所属角色的权利和特权。在身份服务中，颁发给用户的令牌包括用户能承担的角色列表。这个用户调用的服务决定他们怎样解释这个用户所属的角色，以及每个角色授予访问的操作和资源。用户管理用户身份管理有三个主要的概念：用户Users租户Tenants角色Roles用户代表一个人，他持有相关的信息，例如用户名、密码、电子邮件。下面的例子是创建一个名为“alice”的用户：[plain]?/xxfigo/article/details/8785748view plain/xxfigo/article/details/8785748copy$?keystone?user-create?--name=alice?--pass=mypassword123?--email=?alice@??租户可以看做是一个项目、分组或组织。当你向OpenStack服务发送请求时，你必须之地一个租户。例如如果你要向计算服务请求查询运行实例的列表，你将收到在你查询里指定租户内的运行实例列表。下面的例子创建一个名为“acme”的租户。[plain]?/xxfigo/article/details/8785748view plain/xxfigo/article/details/8785748copy$?keystone?tenant-create?--name=acme??注意！因为在以前的OpenStack计算版本中使用术语“项目”来代替租户，一些命令行工具使用--project_id代替--tenant-id或--os-tenant-id指定租户ID。角色归纳了给定租户下允许用户执行的操作。以下例子创建一个名为“compute-user的角色：[plain]?/xxfigo/article/details/8785748view plain/xxfigo/article/details/8785748copy$?keystone?role-create?--name=compute-user??注意！这取决于单个的服务（比如计算服务和镜像服务）分配这些角色的意义。至于身份服务而言，角色只是一个简单的名字。身份服务将一个用户与租户、角色关联。继续我们前面的例子，我们希望在租户“acme”中给用户”alice”分配“compute-user”权限。[plain]?/xxfigo/article/details/8785748view plain/xxfigo/article/details/8785748copy$?keystone?user-list??+--------+---------+----------