除了涉及到Keystone模块之外，还有KeystoneMiddleware子项目，KeystoneMiddleware是对Keystone提供的对令牌合法性进行验证的中间件，缓存了相关的证书和令牌信息。Keystone项目本身，除了后端的数据库，主要包含了一个处理RestFful请求的API服务进程，这些API涵盖了Identity、Token、Catalogy和Plolicy提供的各种各种服务,不同的服务都是有相应的后端Driver（BackendDriver）来实现。
2、 Keystone的基本概念 User User即用户，他们代表可以通过keystone进行访问的人、服务或程序。Users通过认证信息（credentials，如密码、API Keys等）进行验证。 Tenant 新版叫Project Tenant即租户，它是各个服务中的一些可以访问的资源集合。例如，在Nova中一个tenant可以是一些机器，在Swift和Glance中一个tenant可以是一些镜像存储，在Neutron中一个tenant可以是一些网络资源。Users默认的总是绑定到某些tenant上。 Role Role即角色，Roles代表一组用户可以访问的资源权限，例如Nova中的虚拟机、Glance中的镜像。Users可以被添加到任意一个全局的或租户的角色中。在全局的role中，用户的role权限作用于所有的租户，即可以对所有的租户执行role规定的权限；在租户内的role中，用户仅能在当前租户内执行role规定的权限。 ServiceService即服务，如Nova、Glance、Swift。根据前三个概念（User，Tenant和Role）一个服务可以确认当前用户是否具有访问其资源的权限。但是当一个user尝试着访问其租户内的service时，他必须知道这个service是否存在以及如何访问这个service，这里通常使用一些不同的名称表示不同的服务。 EndpointEndpoint，翻译为“端点”，我们可以理解它是一个服务暴露出来的访问点，如果需要访问一个服务，则必须知道他的endpoint。因此，在keystone中包含一个endpoint模板，这个模板提供了所有存在的服务endpoints信息。一个endpoint template包含一个URLs列表，列表中的每个URL都对应一个服务实例的访问地址，并且具有public、private和admin这三种权限。public url可以被全局访问（如http://compute.example.com），private url只能被局域网访问（如http://compute.example.local），admin url被从常规的访问中分离。 TokenToken是访问openstack资源的钥匙。它是通过Keystone验证后的返回值，在之后的与其他服务交互中只需要携带Token值即可。用户已经确认身份后每个Token都有一个有效期，Token只在有效期内是有效的。
3、上述概念之间的关系各种概念之间的关系如图1-2所示。
图1-2 各个概念之间的关系1、租户下，管理着一堆用户（人，或程序）。2、每个用户都有自己的credentials（凭证）用户名+密码或者用户名+API key，或其他凭证。3、用户在访问其他资源（计算、存储）之前，需要用自己的credential去请求keystone服务，获得验证信息（主要是Token信息）和服务信息（服务目录和它们的endpoint）。4、用户拿着Token信息，就可以去访问特点的资源了。
4、keystone在Openstack中的工作流程实例Keystone在OpenStack中的工作流程如图1-3所示。
图1-3 keystone在OpenStack中的工作流程
5、实战：Keystone的手动搭建备注：为方便操作，密码均使用openstack
5.1 控制节点的安装配置数据库相关操作：
[root@controller ~]# mysql -uroot -popenstack <<EOFcreate database keystone;GRANT ALL PRIVILEGES ON keystone. TO 'keystone'@'localhost' IDENTIFIED BY 'openstack'; GRANT ALL PRIVILEGES ON keystone. TO 'keystone'@'%' IDENTIFIED BY 'openstack';EOF
安装相关包并配置
[root@controller ~]# yum -y install openstack-keystone httpd mod_wsgi -y[root@controller ~]# vim /etc/keystone/keystone.conf [database] connection = mysql+pymysql://keystone:openstack@controller/keystone[token] provider = fernet
初始化数据库，创建数据结构：
[root@controller ~]# su -s /bin/sh -c "keystone-manage db_sync" keystone[root@controller ~]# mysql -hlocalhost -ukeystone -popenstack -e "use keystone;show tables;"
初始化fernet密钥存储库
[root@controller ~]# keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone [root@controller ~]# keystone-manage credential_setup --keystone-user keystone --keystone-group keystone
创建keystone的服务端口：
[root@controller ~]# keystone-manage bootstrap --bootstrap-password openstack --bootstrap-admin-url http://controller:35357/v3/ --bootstrap-internal-url http://controller:5000/v3/ --bootstrap-public-url http://controller:5000/v3/ --bootstrap-region-id RegionOne
配置http 服务
[root@controller ~]# vim /etc/httpd/conf/httpd.conf ServerName controller给/usr/share/keystone/wsgi-keystone.conf创建一个软连接（通过httpd发布）[root@controller ~]# ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/
服务启动并设置开机自启
[root@controller ~]# systemctl enable httpd.service && systemctl start httpd.service
创建管理员账号
[root@controller ~]# vim admin_openrcexport OS_USERNAME=admin export OS_PASSWORD=openstack export OS_PROJECT_NAME=admin export OS_USER_DOMAIN_NAME=Default export OS_PROJECT_DOMAIN_NAME=Default export OS_AUTH_URL=http://controller:35357/v3 export OS_IDENTITY_API_VERSION=35.2 创建域、项目、用户和角色
创建service租户
[root@controller ~]# source admin_openrc[root@controller ~]# openstack project create --domain default --description "Service Project" service+-------------+----------------------------------+| Field | Value |+-------------+----------------------------------+| description | Service Project || domain_id | default || enabled | True || id | d83f6daf971b4e9986a0062187593b56 || is_domain | False || name | service || parent_id | default || tags | [] |+-------------+----------------------------------+
创建demo租户
[root@controller ~]# openstack project create --domain default --description "Demo Project" demo+-------------+----------------------------------+| Field | Value |+-------------+----------------------------------+| description | Demo Project || domain_id | default || enabled | True || id | f14a6d3761374969a246a0298c603ec3 || is_domain | False || name | demo || parent_id | default || tags | [] |+-------------+----------------------------------+
下面这句要分开执行，要输入密码：创建用户
[root@controller ~]# openstack user create --domain default --password-prompt demoUser Password:Repeat User Password:+---------------------+----------------------------------+| Field | Value |+---------------------+----------------------------------+| domain_id | default || enabled | True || id | 24cb008774ef4261a615364101001f43 || name | demo || options | {} || password_expires_at | None |+---------------------+----------------------------------+[root@controller ~]# openstack role create user +-----------+----------------------------------+| Field | Value |+-----------+----------------------------------+| domain_id | None || id | 754ea87392464f0e90dfac519d9002d5 || name | user |+-----------+----------------------------------+
将demo用户添加到demo角色中
[root@controller ~]# openstack role add --project demo --user demo user[root@controller ~]# openstack user list+----------------------------------+-------+| ID | Name |+----------------------------------+-------+| 24cb008774ef4261a615364101001f43 | demo || 6b9ad33971ae453983f4290cb4c0c380 | admin |+----------------------------------+-------+
[root@controller ~]# openstack project list+----------------------------------+---------+| ID | Name |+----------------------------------+---------+| d83f6daf971b4e9986a0062187593b56 | service || db82536ef7124608b3f3931ba4ce9615 | admin || f14a6d3761374969a246a0298c603ec3 | demo |+----------------------------------+---------+
[root@controller ~]# openstack role list+----------------------------------+-------+| ID | Name |+----------------------------------+-------+| 754ea87392464f0e90dfac519d9002d5 | user || c5930f0961104f12aaaab694bd5c8639 | admin |+----------------------------------+-------+
[root@controller ~]# openstack endpoint list---------+-----------+-----------------------------+| ID | Region | Service Name | Service Type | Enabled | Interface | URL |---------+-----------+-----------------------------+| 01ccfab5acb0407888620ca056f93dfe | RegionOne | keystone | identity | True | admin | http://controller:35357/v3/ || 4c2bd465260043039bcf7bf78776dd6b | RegionOne | keystone | identity | True | internal | http://controller:5000/v3/ || bdc34c7c99bb432eb13fa83a45d0065e | RegionOne | keystone | identity | True | public | http://controller:5000/v3/ |---------+-----------+-----------------------------+5.3 验证
[root@controller ~]# unset OS_AUTH_URL OS_PASSWORD下面这句要分开执行，要输入admin用户的密码：[root@controller ~]# openstack --os-auth-url http://controller:35357/v3 \--os-project-domain-name Default \--os-user-domain-name Default \--os-project-name admin \--os-username admin token issuePassword: +------------+--------------------------------------------+| Field | Value |+------------+--------------------------------------------+| expires | 2020-03-16T16:37:24+0000 || id | gAAAAABeb5009UNgv97bPsYxet9Vz3UG6ywl3L-u04rJY1M7uO6Vq9NLhzejFLnEA6vcbR1nsmu5iVh0-Z32pm3p0UDSMgoAMirHcYnHaJXesly2Gh1tvnz5dKAzh31vbXW-gdMcGMxe7geqPmQMKSHKXmXFEN1F9H5elKw_eyNIhWCyCwe6_iA || project_id | db82536ef7124608b3f3931ba4ce9615 || user_id | 6b9ad33971ae453983f4290cb4c0c380 |+------------+---------------------------------------------+
下面这句要分开执行，要输入demo用户的密码：[root@controller ~]# openstack --os-auth-url http://controller:5000/v3 \--os-project-domain-name Default \--os-user-domain-name Default \--os-project-name demo --os-username demo token issue执行结果：Password: +------------+------------------------------------------------+| Field | Value |+------------+--------------------------------------+| expires | 2020-03-16T16:37:58+0000 || id | gAAAAABeb51Wsct3Yi_BPrfj1isFihwQKgV_h-I1H8gvoT4Grvesol3lK_RqolZHV07eUd5l0HYrBBqdZaowJq_QbvzpjEtWG4BbyZlNg0mrI1zeIeAZZdkcdkQA7Pb9iZ7twqJtVuTsdd2z7SzoAcIqd47uMPjcHD-Veo2xRZRXtnCwDw1IlWE || project_id | f14a6d3761374969a246a0298c603ec3 || user_id | 24cb008774ef4261a615364101001f43 |+------------+------------------------------------------------------+5.4 创建openstack客户端的脚本环境
创建管理员的账号
[root@controller ~]# vim admin_openrcexport OS_PROJECT_DOMAIN_NAME=Default export OS_USER_DOMAIN_NAME=Default export OS_PROJECT_NAME=admin export OS_USERNAME=admin export OS_PASSWORD=openstackexport OS_AUTH_URL=http://controller:35357/v3 export OS_IDENTITY_API_VERSION=3export OS_IMAGE_API_VERSION=2
创建demo用户的账号
[root@controller ~]# vim demo_openrcexport OS_PROJECT_DOMAIN_NAME=Defaultexport OS_USER_DOMAIN_NAME=Default export OS_PROJECT_NAME=demo export OS_USERNAME=demo export OS_PASSWORD=openstackexport OS_AUTH_URL=http://controller:5000/v3 export OS_IDENTITY_API_VERSION=3export OS_IMAGE_API_VERSION=2
使用脚本验证
[root@controller ~]# source admin_openrc [root@controller ~]# openstack token issue可获取token admin用户的token
[root@controller ~]# source demo_openrc [root@controller ~]# openstack token issue可以获取token demo用户的token
至此完成keystone的安装，下一章节简介Glance 组件，以及它的安装过程
