OpenStack Keystone. Знакомство с сервисом идентификации::Журнал СА 5.2015

АНДРЕЙ МАРКЕЛОВ, RHCA, архитектор Linux и облачных решений. Последние годы работал в качестве системного архитектора компании Red Hat, а до этого в той же должности несколько лет в крупных системных интеграторах России, amarkelov@inventa.ru|

Продолжаем знакомство с OpenStack [1]. Теперь приступим к практическому общению с сервисами облачной операционной системы. Почти для всех служб OpenStack требуется работающий сервис Keystone. С него и начнем.

Служба идентификации OpenStack Keystone представляет собой централизованный каталог пользователей и сервисов, к которым они имеют доступ. Keystone выступает в виде единой системы аутентификации облачной операционной системы. Сервис поддерживает несколько типов аутентификации, включая аутентификацию по токенам, с помощью пары имя пользователя – пароль и AWS-совместимую (Amazon Web Services). Keystone поддерживает интеграцию с существующими сервисами каталогов, например, LDAP. Помимо этого, Keystone является каталогом служб, доступных в OpenStack, поддерживая справочник реквизитов для обращения к API соответствующих сервисов, а также реализует политики ролевого контроля доступа.

OpenStack – это облачная ОС, и, как в каждой из них, в OpenStack есть пользователи. После аутентификации пользователь получает токен для доступа к тем или иным ресурсам. Пользователь создается не только для человека, который работает в системе, но также и для сервисов.

Сервис – это одна из служб OpenStack, например, Nova, Swift или Glance. У каждого сервиса есть одна или более точек входа (endpoint). Точка входа представляет собой URL, по которому доступен этот сервис.

Токен – это строка текста, состоящая из букв и цифр и предназначенная для доступа к API и ресурсам. Токен выдается на ограниченное время, при необходимости может быть отозван до истечения срока действия. Для того чтобы пользователь получил токен, он должен либо предоставить имя и пароль, либо имя и ключ для доступа к API (API key). Токен также содержит список ролей, определяющих доступные пользователю полномочия.

Пользователи и другие ресурсы объединяются в проекты (в документации на английском языке также используется термин tenant). Проект является контейнером, который может объединять ресурсы отдельной организации, использующей публичное облако OpenStack, отдельного приложения или отдельного пользователя – это вы решаете сами.

В свою очередь, проекты объединяются в домены. Домен – это самый крупный контейнер в терминологии Keystone. Домены определяют пространство имен – область видимости объектов. Например, пользователи должны быть уникальны в рамках одного домена. По умолчанию Keystone создает домен с именем Default.

Статью целиком читайте в журнале «Системный администратор», №5 за 2015 г. на страницах 6-10.

PDF-версию данного номера можно приобрести в нашем магазине.