6.3. Ceph Object Gateway および OpenStack Keystone

手順

1. Swift サービスの下のエンドポイントをリスト表示します。

   [root@swift~]# openstack endpoint list --service=swift

2. 前のコマンドでリスト表示されたエンドポイントの設定を確認します。

   構文

   [root@swift~]# openstack endpoint show ENDPOINT_ID

   エンドポイントを表示すると、エンドポイントの設定とサービス設定が表示されます。

   表6.2 例

   フィールド	値
   adminurl	http://radosgw.example.com:8080/swift/v1
   enabled	True
   id	e4249d2b60e44743a67b5e5b38c18dd3
   internalurl	http://radosgw.example.com:8080/swift/v1
   publicurl	http://radosgw.example.com:8080/swift/v1
   region	us-west
   service_id	37c4c0e79571404cb4644201a4a6e5ee
   service_name	swift
   service_type	object-store

手順

1. OpenSSL 証明書を nss db 形式に変換します。

   例

   [root@osp ~]# mkdir /var/ceph/nss
   
   [root@osp ~]# openssl x509 -in /etc/keystone/ssl/certs/ca.pem -pubkey | \
       certutil -d /var/ceph/nss -A -n ca -t "TCu,Cu,Tuw"
   
   [root@osp ~]# openssl x509 -in /etc/keystone/ssl/certs/signing_cert.pem -pubkey | \
       certutil -A -d /var/ceph/nss -n signing_cert -t "P,P,P"

2. Ceph Object Gateway を実行しているノードに Keystone の SSL 証明書をインストールします。設定可能な rgw_keystone_verify_ssl の値を false に設定します。

   rgw_keystone_verify_ssl を false に設定すると、ゲートウェイは証明書の検証を試行しません。

手順

1. 各ゲートウェイインスタンスで以下を行います。

   1. nss_db_path 設定を、NSS データベースが保存されるパスに設定します。

      例

      [ceph: root@host01 /]# ceph config set client.rgw nss_db_path "/var/lib/ceph/radosgw/ceph-rgw.rgw01/nss"

2. 認証証明書を指定します。

   システム管理者が OpenStack サービスを設定する方法と同様に、OpenStack Identity API 用の Keystone サービステナント、ユーザー、およびパスワードを設定することができます。ユーザー名とパスワードを指定することで、共有の秘密を rgw_keystone_admin_token 設定に提供するのを防ぎます。

   重要

   Red Hat は、実稼働環境で管理トークンによる認証を無効にすることを推奨します。サービステナントの認証情報には、admin 権限が必要です。

   必要な設定オプションは以下のとおりです。

   構文

   ceph config set client.rgw rgw_keystone_verify_ssl TRUE/FALSE
   ceph config set client.rgw rgw_s3_auth_use_keystone TRUE/FALSE
   ceph config set client.rgw rgw_keystone_api_version API_VERSION
   ceph config set client.rgw rgw_keystone_url KEYSTONE_URL:ADMIN_PORT
   ceph config set client.rgw rgw_keystone_accepted_roles ACCEPTED_ROLES_
   ceph config set client.rgw rgw_keystone_accepted_admin_roles ACCEPTED_ADMIN_ROLES
   ceph config set client.rgw rgw_keystone_admin_domain default
   ceph config set client.rgw rgw_keystone_admin_project SERVICE_NAME
   ceph config set client.rgw rgw_keystone_admin_user KEYSTONE_TENANT_USER_NAME
   ceph config set client.rgw rgw_keystone_admin_password KEYSTONE_TENANT_USER_PASSWORD
   ceph config set client.rgw rgw_keystone_implicit_tenants KEYSTONE_IMPLICIT_TENANT_NAME
   ceph config set client.rgw rgw_swift_versioning_enabled TRUE/FALSE
   ceph config set client.rgw rgw_swift_enforce_content_length TRUE/FALSE
   ceph config set client.rgw rgw_swift_account_in_url TRUE/FALSE
   ceph config set client.rgw rgw_trust_forwarded_https TRUE/FALSE
   ceph config set client.rgw rgw_max_attr_name_len MAXIMUM_LENGTH_OF_METADATA_NAMES
   ceph config set client.rgw rgw_max_attrs_num_in_req MAXIMUM_NUMBER_OF_METADATA_ITEMS
   ceph config set client.rgw rgw_max_attr_size MAXIMUM_LENGTH_OF_METADATA_VALUE
   ceph config set client.rgw rgw_keystone_accepted_reader_roles SwiftSystemReader

   例

   [ceph: root@host01 /]# ceph config set client.rgw rgw_keystone_verify_ssl false
   [ceph: root@host01 /]# ceph config set client.rgw rgw_s3_auth_use_keystone true
   [ceph: root@host01 /]# ceph config set client.rgw rgw_keystone_api_version 3
   [ceph: root@host01 /]# ceph config set client.rgw rgw_keystone_url http://<public Keystone endpoint>:5000/
   [ceph: root@host01 /]# ceph config set client.rgw rgw_keystone_accepted_roles 'member, Member, admin'
   [ceph: root@host01 /]# ceph config set client.rgw rgw_keystone_accepted_admin_roles 'ResellerAdmin, swiftoperator'
   [ceph: root@host01 /]# ceph config set client.rgw rgw_keystone_admin_domain default
   [ceph: root@host01 /]# ceph config set client.rgw rgw_keystone_admin_project service
   [ceph: root@host01 /]# ceph config set client.rgw rgw_keystone_admin_user swift
   [ceph: root@host01 /]# ceph config set client.rgw rgw_keystone_admin_password password
   [ceph: root@host01 /]# ceph config set client.rgw rgw_keystone_implicit_tenants true
   [ceph: root@host01 /]# ceph config set client.rgw rgw_swift_versioning_enabled  true
   [ceph: root@host01 /]# ceph config set client.rgw rgw_swift_enforce_content_length true
   [ceph: root@host01 /]# ceph config set client.rgw rgw_swift_account_in_url true
   [ceph: root@host01 /]# ceph config set client.rgw rgw_trust_forwarded_https true
   [ceph: root@host01 /]# ceph config set client.rgw rgw_max_attr_name_len 128
   [ceph: root@host01 /]# ceph config set client.rgw rgw_max_attrs_num_in_req 90
   [ceph: root@host01 /]# ceph config set client.rgw rgw_max_attr_size  1024
   [ceph: root@host01 /]# ceph config set client.rgw rgw_keystone_accepted_reader_roles SwiftSystemReader

   Ceph Object Gateway ユーザーは Keystone の tenant にマッピングされます。Keystone ユーザーには、複数のテナントで異なるロールが割り当てられている可能性があります。Ceph Object Gateway がチケットを取得する際には、テナントと、そのチケットに割り当てられたユーザーロールを確認し、設定可能な rgw_keystone_accepted_roles に従って要求を受け入れるか拒否します。