Ceph Object Gateway を使用した Keystone の使用ガイド

手順

1. Swift サービスを作成します。

   [root@swift~]# openstack service create --name=swift --description="Swift Service" object-store

   このサービスを作成すると、サービス設定がエコーされます。

   表2.1 例

   フィールド	値
   description	Swift サービス
   enabled	True
   id	37c4c0e79571404cb4644201a4a6e5ee
   name	swift
   type	object-store

手順

1. Ceph Object Gateway を指定する OpenStack エンドポイントを作成します。

   構文

   openstack endpoint create --region REGION_NAME swift admin "URL"
   openstack endpoint create --region REGION_NAME swift public "URL"
   openstack endpoint create --region REGION_NAME swift internal "URL"

   REGION_NAME は、ゲートウェイのゾーングループ名またはリージョン名に置き換えます。URL は、Ceph Object Gateway に適した URL に置き換えます。

   例

   [root@osp ~]# openstack endpoint create --region us-west swift admin "http://radosgw.example.com:8080/swift/v1"
   [root@osp ~]# openstack endpoint create --region us-west swift public "http://radosgw.example.com:8080/swift/v1"
   [root@osp ~]# openstack endpoint create --region us-west swift internal "http://radosgw.example.com:8080/swift/v1"

   フィールド	値
   adminurl	http://radosgw.example.com:8080/swift/v1
   id	e4249d2b60e44743a67b5e5b38c18dd3
   internalurl	http://radosgw.example.com:8080/swift/v1
   publicurl	http://radosgw.example.com:8080/swift/v1
   region	us-west
   service_id	37c4c0e79571404cb4644201a4a6e5ee
   service_name	swift
   service_type	object-store

   エンドポイントを設定すると、サービスエンドポイントの設定が出力されます。

手順

1. 構成ファイルの設定を確認します。

手順

1. OpenSSL 証明書を nss db 形式に変換します。

   例

   [root@osp ~]# mkdir /var/ceph/nss
   
   [root@osp ~]# mkdir /var/ceph/nss openssl x509 -in /etc/keystone/ssl/certs/ca.pem -pubkey | \
       certutil -d /var/ceph/nss -A -n ca -t "TCu,Cu,Tuw"
   [root@osp ~]# mkdir /var/ceph/nss openssl x509 -in /etc/keystone/ssl/certs/signing_cert.pem -pubkey | \
       certutil -A -d /var/ceph/nss -n signing_cert -t "P,P,P"

2. Ceph Object Gateway を実行しているノードに Keystone の SSL 証明書をインストールします。設定可能な rgw_keystone_verify_ssl の値を false に設定します。

   rgw_keystone_verify_ssl を false に設定すると、ゲートウェイは証明書の検証を試行しません。

手順

1. 管理ノードの Ceph 設定ファイルを編集します。
2. [client.radosgw.INSTANCE_NAME] に移動します。ここで、INSTANCE_NAME は設定するゲートウェイインスタンスの名前です。

3. 各ゲートウェイインスタンスで以下を行います。

   1. rgw_s3_auth_use_keystone を true に設定します。
   2. nss_db_path 設定を、NSS データベースが保存されるパスに設定します。

4. 認証証明書を指定します。

   システム管理者が OpenStack サービスを設定する方法と同様に、OpenStack Identity API の v2.0 バージョン用の Keystone サービステナント、ユーザー、およびパスワードを設定することができます。ユーザー名とパスワードを指定することで、共有の秘密を rgw_keystone_admin_token 設定に提供するのを防ぎます。

   重要

   Red Hat は、実稼働環境で管理トークンによる認証を無効にすることを推奨します。サービステナントの認証情報には、admin 権限が必要です。

   必要な設定オプションは以下のとおりです。

   rgw_keystone_admin_user = KEYSTONE_TENANT_USER_NAME
   rgw_keystone_admin_password = KEYSTONE_TENANT_USER_PASSWORD
   rgw_keystone_admin_tenant = KEYSTONE_TENANT_NAME

   Ceph Object Gateway ユーザーは Keystone の tenant にマッピングされます。Keystone ユーザーには、複数のテナントで異なるロールが割り当てられている可能性があります。Ceph Object Gateway がチケットを取得する際には、テナントと、そのチケットに割り当てられたユーザーロールを確認し、設定可能な rgw_keystone_accepted_roles に従って要求を受け入れるか拒否します。

   通常の設定には、以下の設定があります。

   例

   [client.radosgw.gateway]
   rgw_keystone_url = {keystone server url:keystone server admin port}
   ##Authentication using an admin token. Not preferred.
   #rgw_keystone_admin_token = {keystone admin token}
   ##Authentication using username, password and tenant. Preferred.
   rgw_keystone_admin_user = _KEYSTONE_TENANT_USER_NAME_
   rgw_keystone_admin_password =  _KEYSTONE_TENANT_USER_PASSWORD_
   rgw_keystone_admin_tenant =  _KEYSTONE_TENANT_NAME_
   rgw_keystone_accepted_roles = _KEYSTONE_ACCEPTED_USER_ROLES_
   ##
   rgw_keystone_token_cache_size = _NUMBER_OF_TOKENS_TO_CACHE_
   rgw_keystone_revocation_interval = _NUMBER_OF_SECONDS_BEFORE_CHECKING_REVOKED_TICKETS_
   rgw_keystone_make_new_tenants = _TRUE_FOR_PRIVATE_TENANT_FOR_EACH_NEW_USER_
   rgw_s3_auth_use_keystone = true
   nss_db_path = _PATH_TO_NSS_DB_

手順

1. Ceph 設定ファイルを保存して各 Ceph ノードに分散したら、Ceph Object Gateway インスタンスを再起動します。