OpenStack 자격증명 서비스(Keystone)

 

OpenStack 자격증명 서비스는 인증, 권한 부여 및 서비스 카탈로그 관리를위한 단일 통합된 서비스이다. OpenStack 자격증명 서비스와 통합된 다른 서비스에서 사용자 요청이 발생하면 자격증명 서비스를 통해 사용자 권한 부여를 수행하고, 각 서비스들은 사용자 요청을 수행하게 된다.

 

 

1)   자격증명 서비스 개요

OpenStack 자격증명(Identity) 서비스는 인증, 권한 관리 및 서비스 카탈로그 제공을 위한 통합된 서비스로 Keystone이라는 프로젝트 명을 갖는다. OpenStack의 다른 서비스들에서는 공통 API형태 로 자격증명 서비스가 사용되며, OpenStack에서 직접 사용자를 생성하지 않고, LDAP과 같은 기존 시스템과의 통합을 통해 사용자 정보를 제공할 수 있다.

OpenStack 자격증명 서비스와 통합된 다른 서비스에서 사용자 요청이 발생하면 자격증명 서비스를 통해 사용자 권한 부여를 수행하고, 각 서비스들은 사용자 요청을 수행하게 된다.

 

 

 

2)   설치 및 구성

▶ 전제조건

 

Identity 서비스를 설치 및 구성하기 전에 데이터베이스를 작성해야합니다.

 

데이터베이스 액세스 클라이언트를 사용하여 root사용자로서 데이터베이스 서버에 로그인한 후 keystone데이터베이스를 작성한다.

keystone데이터베이스에 대한 적절한 액세스 권한을 부여하고, KEYSTONE_DBPASS적절한 비밀번호로 교체한다.

 

 

▶ 구성 요소 설치 및 구성

 

키스톤 관련 패키지를 설치한다.

/etc/keystone/keystone.conf파일을 다음과 같이 편집한다.

[database]섹션, 데이터베이스 액세스를 구성 : KEYSTONE_DBPASS데이터베이스에 대해 선택한 암호로 교체한다.

[token]섹션 Fernet 토큰 공급자를 구성

Identity 서비스 데이터베이스를 채운다.

Fernet 키 저장소를 초기화한다.

Identity 서비스를 부트 스트랩한다.

 

 

▶ 아파치 HTTP 서버 구성

 

/etc/httpd/conf/httpd.conf 파일에서 ServerName을 컨트롤러 노드를 가리키도록 수정한다.

usr/share/keystone/wsgi-keystone.conf파일에 대한 링크를 작성한다.

Apache HTTP 서비스를 시작하고 시스템 부팅시 시작되도록 구성한다.

관리 계정을 구성한다.

 

 

 

3) 도메인, 프로젝트, 사용자 및 역할 생성

Identity 서비스는 각 OpenStack 서비스에 대한 인증 서비스를 제공합니다. 인증 서비스는 도메인, 프로젝트, 사용자 및 역할의 조합을 사용합니다.

 

다음의 명령어를 사용하여 도메인(domain)을 생성한다. 이 글에서는 default 도메인을 사용한다.

 

 

▶ OpenStack 관리를 위한 관리 프로젝트, 사용자 및 역할을 생성

 

service 프로젝트를 작성한다.

myproject프로젝트를 작성한다.

myuser사용자를 작성한다.

myrole역할을 작성한다.

myrole역할을 myrole프로젝트와 사용자에게 할당한다.

 

 

 

4)   작동 확인

임시 OS_AUTH_URL및 OS_PASSWORD 환경 변수를 설정 해제한다.

admin사용자 로서 인증 토큰을 요청한다.

myuser이전 섹션에서 사용자가 생성 한대로 인증 토큰을 요청한다.

 

 

▶ OpenStack 클라이언트 환경 스크립트 작성

 

앞에서는 openstack 클라이언트를 사용하여 자격증명 서비스와 상호작용하고자 할 때, 환경 변수와 명령어 옵션을 사용하였다. 클라이언트 작업의 효율을 위해 OpenStack에서는 OpenRC 파일로 알려져 있는 간단한 클라이언트 환경 스크립트를 지원한다. 이 스크립트에는 모든 클라이언트에서 사용가능한 공통적인 옵션과 함께 고유한 옵션이 포함되어 있다.

 

 

▶ OpenStack 클라이언트 환경 스크립트 생성

 

admin과 demo 프로젝트와 사용자 용 클라이언트 환경 스크립트를 생성한다. 이 가이드에서는 클라이언트 작업 시 필요한 인증을 위해 이 스크립트를 계속 사용할 예정이다.

 

admin_openrc 파일을 다음과 같이 생성한. OS_PASSWORD에 admin 암호인 IT1을 사용한다.

demo-openrc 파일을 다음과 같이 생성한다. OS_PASSWORD에 demo 암호인IT1를 사용한다.