简介
通过源码 官方文档 进行学习
官方文档
架构
identity
提供user和group的鉴权及数据
可以用这些数据处理增删改查的请求
这些服务在某些情况也可以托管在授权的服务中，有认证任务时，授权的服务会执行认证的任务，而不会把这些转发到identity再去认证
user
表示一个独立的api消费者，user必须在domain下
group
是user的container，group也必须在domain下
resource
resource服务提供project和domain数据
project
openstack所有resource必须由一个project托管，project在domain下
domain
domain是一个高层次的container，包括了user，group，project，role
domain间的资源可以通过assignment进行访问
assignment
role
user可基于role访问，即权限给role，再把role给user，user访问权限是他有的role里的所有权限
role assignment
由三元组构成：role，resource（project或domain），identity（user或group）
token
当user或group认证后，用token管理
catalog
提供endpoint注册和discover
Policy
实际部署环境中大量行为是否需要被允许，可以基于行为的用户是否被授权
用户被允许时，可以有这几种情况：1用户是admin 2用户在被授权的user列表里
keystone的policy部分逻辑由oslo.policy实现
rule
如enforce时，会检查信息在credential里是否有无，若有则pass 若无则enforce失败
一般来说，给user加一个role，常会加到user的metadata中
capability rbac（还没实现）
即基于action进行的鉴权
Authentication
keystone有多种插件支持，password是一种常用的，进行鉴权时，需要提供鉴权的resource和identity。比如对用户鉴权，需要用户名id，project id，用户密码。如果想通过用户名而不是用户id鉴权，可以添加domain信息（因为user名在domain下唯一存在），而userid在domain之间，整个部署环境中都是独一无二的
基础知识
identity相关概念
authentication
确认用户的identity。对于新的请求，keystone会进行大量useri id的鉴权
当鉴权通过时，初次认证用户需要用户名和密码，认证通过后，keysstone会给一个authenticattion| cde
credentials
确认用户身份的东西，比如username， userid，pwd或token
domain
是一个identity service v3实例。domain可以表示个人，公司，或一块地方等。
endpoint
一个网络可访问的地址，通常是个url。通过endpoint你可以访问一个service，
token
一个alpha字母组成的字符串，token可以在任意时间被废除，token在一定时间范围内有效，token可以使action有权进行其操作
user
user需要先login，然后拿着分配的token去执行操作。user可以被分配给project
用户管理
identity服务可以给user分配一个project和一个role
user在不同的project，可以拥有不同的role
每个服务配置目录下默认有个policy.yaml，可通过这个控制用户是否可进行某些动作
服务管理
包含wsgi后台 apache进程
初始identity
在keystone可以使用之前，需要拥有一些基础数据，比如第一个用户，endpoint等，这个过程叫bootstrapping identity
bootstrap可以通过命令实现keystone-manage bootstrap --bootstrap-password 123 --bootstrap-username test --bootstrap-project-name admin --bootstrap-role-name admin...
管理project user role
project也叫tenant或account，user可以是project的成员
role的分配
openstack role add --user username --project project_name role_name
检验role分配结果：
openstack role assignment list --project project_name --user user_name --names
implied role
创建role也可以继承现有的role出发，类似类的继承，可通过命令实现
openstack implied role create role_name --implied-role implied-role-name
查看implied role
openstack implied role list
创建并管理服务和服务用户
服务catalog
注册到keystone catalog的openstack服务可被keystone discover，服务catalog可通过静态模板文件或动态数据库表进行管理
当你的服务catalog不会随时间而改动很多时可以考虑使用静态模板catalog
动态数据库表的配置
服务用户
每个服务都有一个服务的用户
当不希望通过identity服务鉴权用户，而是其他service自己鉴权时，需要为每个service创建一个service user，user需要有管理员权限。然后为所有service创一个project，为每一个service创个user，给每个user-project对分配一个管理员role，这个管理员role可以让各个服务自己判断发送到各自服务的请求
创建服务用户
创建project openstack project create test_project --domain default
创建user openstack user create user-name -password xxx
给service user分配管理员role openstack role add --project project_name --user user_name
配置服务token
服务之间也存在大量相互的行为，如用户请求创镜像，galnce等镜像创完，请求才到存储服务，如果镜像太大，可能导致请求到存储时，token过期。当glance发出请求，可以带上服务自己的token，叫服务token
当服务收到其他服务的请求时，会校验请求的token是否能匹配到合适的service user。这个可以在各服务配置文件的[keystone_authtoken] section配置
当service token有效时，即使用户的token 过期，该请求也有效
service_token_roles是可以使token生效的role列表，可以设置为service user的role名
service_token_roles_required也设置为true
keystone配置
源码
api通信流程
创建告警
aodh alarm create -> # 命令创建告警
aodhclient -> # client解析+拼接参数
keystoneauth1 -> # 请求发送前调v3/auth/token生成token，放到请求header中X-Auth-Token
aodh-api -> # 将带有X-Auth-Token的创建告警请求发到aodh-api处理请求
keystonemiddleware -> # 校验token
aodh-api # 返回结果
