第 3 章 OpenStack 集群——云控制器和公共服务 47
3.2.1 Keystone 服务
Keystone 服务在 OpenStack 中提供身份（identity）认证和服务目录（service catalog）功
能。OpenStack 中的所有其他服务必须向 Keystone 注册其 API 端点（API endpoint）。因此，
Keystone 中保存着在 OpenStack 云中运行的各种服务的目录。可以使用 Keystone REST API
查询该目录。
Keystone 还维护着一个策略引擎（policy engine），该引擎提供基于规则的访问和服务授权。
Keystone 服务自身由多个提供者（provider）组成，这些提供者彼此协同工作。每个提供者实现
了 Keystone 架构中的一个概念（如图 3-2 所 示 ）：
Identity（身 份）
Resource（资 源）
Authorizaiton（认 证）
Token（令 牌）
Catalog（目 录）
Policy（策 略）
1. 身份提供者
身份提供者（identity provider）负责校验用户和用户组的身份凭据（credential）。
OpenStack Keystone 包含一个内置的身份提供者，它可以用于创建和管理用户和用户组的身
份凭据。Keystone 还能整合外部身份提供者，比如 LDAP。OpenStack Ansible 项目提供了
将 LDAP 服务作为外部身份提供者整合进 Keystone 的 playbook。
为了管理 OpenStack 服务的访问级别（access level）， Keystone 支持多种用户类型。用
户可以是以下几种类型之一：
服务用户（service user），它关联到 OpenStack 中运行的一个服务。
管理员用户（administrative user），它拥有资源和服务的管理权限。
终端用户（end user），它只是 OpenStack 资源的消费者，没有别的访问权限。
2. 资源提供者
资源提供者（resource provider）实现了 Keystone 中的项目（project）和域（domain）这
两个概念。域的概念为 Keystone 中的实体（entity）提供了一个容器，包括用户、用户组和
项目，可以将域看成一个企业或者一个服务提供商。
3. 认证提供者
从概念上来说，认证（authorization）是指 OpenStack 用户和用户组与他们的角色（role）
之间的关系。角色被用于管理对 OpenStack 中服务的访问。Keystone 策略提供者（policy
provider）根据用户所属的组和角色来强制执行规则（rule）。
4. 令牌提供者
要访问 OpenStack 中的服务，用户必须通过身份提供者（identity provider）的认证。一
Keystone
Identity（身 份） Token（令 牌）
Resource（资 源） Catalog（目 录）
Authorization
（认 证）
Policy（策 略）
图 3-2 Keystone 功能集
剩余19页未读，继续阅读
