項(xiàng)目12Keystone的安全認(rèn)證專業(yè)核心課程精品課程112.1Keystone框架結(jié)構(gòu)12.1.1Keystone服務(wù)器端架構(gòu)認(rèn)證（Authentication）：認(rèn)證是確認(rèn)允許一個(gè)用戶訪問的進(jìn)程。證書（Credentials）：用于確認(rèn)用戶身份的數(shù)據(jù)。令牌（Token）：通常指的是一串比特值或者字符串，用來作為訪問資源的記號(hào)。項(xiàng)目（Project）：各個(gè)服務(wù)中的一些可以訪問的資源集合。用戶（User）：使用服務(wù)的用戶可以是人，也可以是服務(wù)，或者是系統(tǒng)使用OpenStack相關(guān)服務(wù)的一個(gè)組織。角色（Role）：代表一組用戶可以訪問的資源權(quán)限，如Nova中的虛擬機(jī)、Glance中的鏡像。12.1.2Keystone客戶端架構(gòu)精品課程212.2用戶管理12.2.1用戶認(rèn)證

Keystone默認(rèn)配置的認(rèn)證方法主要有External、Password、Token。12.2.2本地認(rèn)證創(chuàng)建用戶輸出結(jié)果12.2.3用戶信息的維護(hù)（1）登錄數(shù)據(jù)庫。以root用戶連接到數(shù)據(jù)庫服務(wù)器，命令如下：$mysql-uroot-p（2）創(chuàng)建keystone數(shù)據(jù)庫，命令如下：CREATEDATABASEkeystone;（3）成功創(chuàng)建數(shù)據(jù)庫之后，需要對(duì)“keystone”數(shù)據(jù)庫授予恰當(dāng)?shù)臋?quán)限。（4）退出數(shù)據(jù)庫客戶端。精品課程312.3多租戶機(jī)制

12.3.1租戶管理

1.創(chuàng)建租戶創(chuàng)建了一個(gè)名稱為“admin”的租戶，命令如下：$keystonetenant-create--name=admin--description="AdminTenant"2.輸出結(jié)果成功創(chuàng)建租戶之后，會(huì)返回成功的結(jié)果。結(jié)果如下：+---------------+----------------------------------------------------------+|Property|Value|+---------------+----------------------------------------------------------+|description|enabled||id||name|AdminTenant||True|01d4a787cfb34df2be5ff29ab0b1811e3|admin|+---------------+----------------------------------------------------------+精品課程412.3多租戶機(jī)制

12.3.2角色管理

1.創(chuàng)建角色角色限定了用戶的操作權(quán)限。例如，創(chuàng)建一個(gè)角色“compute-user”的命令如下：$openstackrolecreatecompute-user---------------------------------------+2.運(yùn)行結(jié)果成功創(chuàng)建角色之后，會(huì)返回成功的結(jié)果。結(jié)果如下：+--------------+------------------------------------------------+|Field|Value|+--------------+------------------------------------------------+|domain_id|None||id|ff5f54557ba44792b5edc6b6b482307c||name|compute-user|+--------------+------------------------------------------------+精品課程512.3多租戶機(jī)制

12.3.3權(quán)限管理

綁定用戶和項(xiàng)目權(quán)限添加的用戶需要分配一定的權(quán)限，這就需要把用戶關(guān)聯(lián)綁定到對(duì)應(yīng)的項(xiàng)目和角色上。圖形化界面操作以管理員身份登錄Dashboard，選擇“管理員”→“認(rèn)證面板”→“項(xiàng)目”選項(xiàng)，可以看到項(xiàng)目列表。管理用戶精品課程612.4Token管理

12.4.1Token認(rèn)證方式

Token認(rèn)證方式的原理：Token是用戶的一種憑證，需以正確的用戶名/密碼向Keystone申請(qǐng)才能得到。Token認(rèn)證流程精品課程712.4Token管理

12.4.1Token認(rèn)證方式

Token認(rèn)證方式示例在一個(gè)典型的OpenStack環(huán)境中，可以指定Project憑借用戶名和密碼來獲取Token。將Project名稱傳遞給環(huán)境變量OS_PROJECT_NAME，將用戶名傳遞給環(huán)境變量OS_USERNAME，將密碼傳遞給環(huán)境變量OS_PASSWORD。Token認(rèn)證方式的交互12.4.2Token的存儲(chǔ)Token存儲(chǔ)的原理Keystone不限制用戶產(chǎn)生的Token數(shù)量，大量的Token會(huì)永久保留在數(shù)據(jù)庫中。精品課程812.4Token管理

12.4.2Token的存儲(chǔ)Fernet的原理：