11.4. アクセス制御でのポリシーファイルの使用

手順

1. カスタム keystone ロールを作成します。

   $ openstack role create PowerUsers
   +-----------+----------------------------------+
   | Field     | Value                            |
   +-----------+----------------------------------+
   | domain_id | None                             |
   | id        | 7061a395af43455e9057ab631ad49449 |
   | name      | PowerUsers                      |
   +-----------+----------------------------------+

   Copy to Clipboard Toggle word wrap

2. 既存のユーザーをロールに追加し、ロールをプロジェクトに割り当てます。

   $ openstack role add --project [PROJECT_NAME] --user [USER_ID] [PowerUsers-ROLE_ID]

   Copy to Clipboard Toggle word wrap
   注記

   ロールの割り当ては、1 つのプロジェクトのみとペアになります。つまり、ロールをユーザーに割り当てると、ターゲットプロジェクトも同時に定義します。ユーザーが同じロールを受信し、別のプロジェクトを対象にする場合は、ロールを別々に割り当てる必要がありますが、別のプロジェクトが対象となります。

3. tripleo-admin ユーザーとしてコントローラーノードにログインします。

4. オプション：コントローラー上で、デフォルトの nova ポリシー設定を表示します。

   $ sudo podman exec -i nova_compute oslopolicy-policy-generator --namespace nova

   Copy to Clipboard Toggle word wrap

5. ポリシーの変更をテストします。各コントローラーノードで、以下の手順を実施します。

   1. Compute サービス policy.json ファイルを展開します。

      sudo podman exec -it nova_compute oslopolicy-policy-generator --namespace nova > /tmp/nova-policy.json

      Copy to Clipboard Toggle word wrap

   2. 以下のエントリーを /tmp/policy.json に追加して、新しい PowerUsers ロールのカスタムパーミッションを作成します。

      "os_compute_api:servers:start": "role:PowerUsers",
      "os_compute_api:servers:stop": "role:PowerUsers"
      "os_compute_api:servers:create:attach_volume": "role:PowerUsers"
      "os_compute_api:os-volumes-attachments:index": "role:PowerUsers"
      "os_compute_api:os-volumes-attachments:create": "role:PowerUsers"
      "os_compute_api:os-volumes-attachments:show": "role:PowerUsers"
      "os_compute_api:os-volumes-attachments:update": "role:PowerUsers"
      "os_compute_api:os-volumes-attachments:delete": "role:PowerUsers"

      Copy to Clipboard Toggle word wrap

   3. このファイルを nova コンテナーに保存して、変更を実装します。PowerUsers keystone ロールに追加したユーザーは、これらの権限を受け取ります。

      podman cp /tmp/nova-policy.json nova_compute:etc/nova/policy.json

      Copy to Clipboard Toggle word wrap
6. heat ポリシーファイルの更新により、変更を永続的に行います。詳細は、Mixate policies with heat を 参照してください。