OpenStack Identity (Keystone)完全指南从认证到授权的核心功能解析【免费下载链接】keystoneOpenStack Identity (Keystone). Mirror of code maintained at opendev.org.项目地址: https://gitcode.com/gh_mirrors/ke/keystoneOpenStack Identity (Keystone) 是 OpenStack 云平台的核心身份服务负责统一认证、授权管理和服务目录维护。本文将全面解析 Keystone 的核心功能帮助新手快速掌握从用户认证到权限分配的完整流程轻松构建安全可控的 OpenStack 身份体系。一、Keystone核心概念速览 Keystone 作为 OpenStack 的“门卫”通过一系列核心实体实现身份管理用户User使用 OpenStack 服务的人员或程序通过 credentials如用户名密码证明身份项目Project资源隔离的容器可对应客户、部门或应用以前称为“租户”角色Role定义操作权限的集合如管理员、开发者等域Domain更高层级的管理单元用于隔离不同组织的资源和用户令牌Token用户认证后获得的临时访问凭证有效期内可访问授权资源服务ServiceOpenStack 服务如 Nova、Glance的注册信息端点Endpoint服务的网络访问地址分为公共、内部和管理三种类型表Keystone核心实体关系图域(Domain) ─── 包含 ─── 多个项目(Project) └─── 包含 ─── 多个用户(User) ├─── 属于 ─── 项目(Project) └─── 拥有 ─── 角色(Role)二、认证流程从凭证到令牌的安全之旅 Keystone 的认证流程是所有 OpenStack 操作的起点典型步骤如下1️⃣提交凭证用户通过 CLI、API 或 Dashboard 提供 credentials2️⃣验证身份Keystone 检查凭证有效性本地数据库或 LDAP 等后端3️⃣颁发令牌验证通过后生成临时令牌默认有效期24小时4️⃣访问服务用户使用令牌访问其他 OpenStack 服务5️⃣权限检查服务通过 Keystone 验证令牌并检查权限安全提示生产环境建议启用 Fernet 令牌格式相比 UUID 令牌更安全且无需存储 keystone/conf/fernet_tokens.py三、授权管理细粒度的权限控制体系 ️Keystone 通过基于角色的访问控制RBAC实现权限管理核心机制包括3.1 角色与权限映射角色本身不包含权限需通过策略文件关联具体操作系统级策略keystone/policy.yaml服务级策略如 Nova 的 /etc/nova/policy.yaml示例限制只有compute-user角色可创建云主机# /etc/nova/policy.yaml 配置 compute:create: role:compute-user3.2 常见授权场景项目级授权用户在特定项目中拥有角色$ openstack role add --project acme --user alice compute-user域级授权用户管理整个域的资源用户组授权通过组批量分配权限API v3特性四、联邦身份跨系统的身份共享机制 Keystone 支持通过 SAML v2 或 OpenID Connect 实现联邦身份认证允许用户使用外部身份提供商如企业 LDAP、Keycloak登录 OpenStack。图Keystone联邦身份架构展示Identity service与Service Provider、Identity Provider的关系核心组件身份提供商IdP存储用户身份信息的外部系统服务提供商SPOpenStack 服务信任 IdP 提供的身份断言映射规则将外部身份属性转换为 Keystone 用户/角色 keystone/federation/mapping_backends/五、快速上手Keystone基础操作指南 5.1 安装与部署通过 Git 克隆官方仓库$ git clone https://gitcode.com/gh_mirrors/ke/keystone详细部署指南参见官方文档 doc/source/install/5.2 核心CLI命令示例操作命令创建用户openstack user create --password-prompt alice创建项目openstack project create acme --domain default创建角色openstack role create compute-user分配角色openstack role add --project acme --user alice compute-user获取令牌openstack token issue5.3 配置文件位置主配置etc/keystone.confWSGI配置httpd/keystone-uwsgi-public.ini日志配置etc/logging.conf.sample六、最佳实践与常见问题 6.1 安全加固建议启用 TLS 加密所有 API 通信 doc/source/admin/configure-https.rst定期轮换 Fernet 密钥keystone-manage fernet_rotate限制令牌有效期平衡安全性与用户体验6.2 性能优化启用缓存减少数据库访问 keystone/conf/default.py对大规模部署使用 LDAP 后端 keystone/identity/backends/ldap.py6.3 常见问题排查令牌无效检查时钟同步和令牌有效期设置权限错误通过openstack role assignment list验证角色分配服务不可用检查 httpd/uwsgi-keystone.conf 配置总结OpenStack Identity (Keystone) 为整个云平台提供统一的身份基石通过灵活的认证机制、细粒度的授权控制和跨系统的联邦能力保障了云资源的安全访问。掌握 Keystone 的核心功能将为构建稳定、安全的 OpenStack 环境打下坚实基础。更多高级特性可参考官方文档 doc/source/admin/ 深入学习。【免费下载链接】keystoneOpenStack Identity (Keystone). Mirror of code maintained at opendev.org.项目地址: https://gitcode.com/gh_mirrors/ke/keystone创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考