2023学年完整公开课版keystone服务

keystone服务01keystone服务keystone(openstackidentityservice)是openstack框架中负责身份验证、服务规则和服务令牌的功能，它实现了openstack的IdentityAPI。keystone服务作为OpenStack的基础支持服务，Keystone做了下面这几件事情：1、管理用户及其权限2、维护OpenStackServices的Endpoint3、Authentication（认证）和Authorization（鉴权）keystone服务（1）User

User就是用户，它代表可以通过keystone进行访问的人或者程序。User通过认证信息进行验证。（2）Tenant

Tenant就是租户。他是各个服务中一些可以访问的资源集合。keystone服务(3)Role

Role就是角色。Role代表一组用户可以访问的资源权限。(4)Policy

OpenStack对User的验证除了OpenStack的身份验证以外，还需要鉴别User对某个Service是否有访问权限。Policy机制就是用来控制User对Tenant中资源(包括Services)的操作权限。keystone服务(5)Service

Service即服务，一个服务可以确认当前用户是否具有访问其资源的权限。但是当一个User尝试着访问其租户内的Service时，他必须知道这个Service是否存在以及如何访问这个Service，这里通常用一些不同的名称表示不同的服务。Role，实际上也是可以绑定到某个service。keystone服务(6)EndpointEndpoint，我们称之为“端点”，可以将之理解为一个服务爆楼出来的访问点，如果需要访问一个服务，则必须知道他的Endpoint。keystone服务(7)GroupGroup是一组Users的容器，可以向Group中添加用户，并直接给Group分配角色，那么在这个Group中的所有用户就都拥有了Group所拥有的角色权限。(8)DominDomain的概念实现真正的多租户架构，Domain担任Project的高层容器。云服务的客户是Domain的所有者，他们可以在自己的Domain中创建多个Projects、Users、Groups和Roles。keystone服务(9)Credentials确认用户身份的数据。(10)AuthenticationAuthentication是Keystone验证User身份的过程。User访问OpenStack时向Keystone提交用户名和密码形式的Credentials，Keystone验证通过后会给User签发一个Token作为后续访问的Credential。keystone服务(11)RegionOpenstack部署的分区区域。可以关联多个子区域到一个区域，形成树形结构的区域。虽然区域并不代表实际的物理位置，但是可以使用代表物理区域的名词进行命名。(12)ProjectProject用于将OpenSta