9.2. Orchestration サービスの設定

手順9.1 Orchestration サービスのデータベースの接続の設定

1. データベースサービスに接続します。

   # mysql -u root -p

2. heat データベースを作成します。

   mysql> CREATE DATABASE heat;

3. heat という名前のデータベースユーザーを作成して、heat データベースへのアクセスを許可します。

   mysql> GRANT ALL ON heat.* TO 'heat'@'%' IDENTIFIED BY 'PASSWORD';
   mysql> GRANT ALL ON heat.* TO 'heat'@'localhost' IDENTIFIED BY 'PASSWORD';

   PASSWORD は、このユーザーとしてデータベースサーバーとの認証を行う際に使用するセキュアなパスワードに置き換えます。
4. データベースの特権をフラッシュして、設定が即時に反映されるようにします。

   mysql> FLUSH PRIVILEGES;

5. mysql クライアントを終了します。

   mysql> quit

6. sql_connection 設定キーの値を設定します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT sql_connection mysql://heat:PASSWORD@IP/heat

   以下の値を置き換えてください。
   • PASSWORD は heat データベースユーザーのパスワードに置き換えます。
   • IP は、Identity サーバーの IP アドレスまたはホスト名に置き換えます。
7. heat ユーザーとしてデータベースを同期します。

   # runuser -s /bin/sh heat -c "heat-manage db_sync"

手順9.2 Orchestration サービス用のアイデンティティーレコードの作成

1. Keystone に管理ユーザーとしてアクセスするためのシェルを設定します。

   # source ~/keystonerc_admin

2. heat ユーザーを作成します。

   [(keystone_admin)]# keystone user-create --name heat --pass PASSWORD
   +----------+----------------------------------+
   | Property |              Value               |
   +----------+----------------------------------+
   |  email   |                                  |
   | enabled  |               True               |
   |    id    | 96cd855e5bfe471ce4066794bbafb615 |
   |   name   |               heat               |
   | username |               heat               |
   +----------+----------------------------------+

   PASSWORD は、Orchestration サービスが Identity サービスとの認証を行う際に使用するセキュアなパスワードに置き換えます。
3. services テナントのコンテキスト内で、heat ユーザーと admin ロールを関連付けます。

   [(keystone_admin)]# keystone user-role-add --user heat --role admin --tenant services

4. heat および heat-cfn のサービスエントリーを作成します。

   [(keystone_admin)]# keystone service-create --name heat \
      --type orchestration
   # keystone service-create --name heat-cfn \
      --type cloudformation

5. heat および heat-cfn のサービス用のエンドポイントエントリーを作成します。

   [(keystone_admin)]# keystone endpoint-create \
      --service heat-cfn \
      --publicurl 'HEAT_CFN_IP:8000/v1' \
      --adminurl 'HEAT_CFN_IP:8000/v1' \
      --internalurl 'HEAT_CFN_IP:8000/v1' \
      --region 'RegionOne'
   [(keystone_admin)]# keystone endpoint-create \
      --service heat \
      --publicurl 'HEAT_IP:8004/v1/%(tenant_id)s' \
      --adminurl 'HEAT_IP:8004/v1/%(tenant_id)s' \
      --internalurl 'HEAT_IP:8004/v1/%(tenant_id)s' \
      --region 'RegionOne'

   以下の値を置き換えてください。
   • HEAT_CFN_IP は、heat-cfn サービスをホストするシステムの IP アドレスまたはホスト名に置き換えます。
   • HEAT_IP は、heat サービスをホストするシステムの IP アドレスまたはホスト名に置き換えます。

   重要

   HEAT_CFN_IP および HEAT_IP の値には、http:// プレフィックスを付けます。

手順9.4 Orchestration サービスが Identity サービスを使用して認証を行うための設定

1. Orchestration サービスが正しいテナントとして認証を行うように設定します。

   # openstack-config --set /etc/heat/heat.conf \
      keystone_authtoken admin_tenant_name services

   services は、Orchestration サービスを使用するために作成したテナントの名前に置き換えます。本ガイドの例では、services を使用しています。
2. Orchestration サービスが heat 管理ユーザーアカウントを使用して認証を行うように設定します。

   # openstack-config --set /etc/heat/heat.conf \
      keystone_authtoken admin_user heat

3. Orchestration サービスが正しい heat 管理ユーザーアカウントパスワードを使用するように設定します。

   # openstack-config --set /etc/heat/heat.conf \
      keystone_authtoken admin_password PASSWORD

   PASSWORD は、heat ユーザーの作成時に設定したパスワードに置き換えます。
4. Orchestration サービスが使用する必要のある Identity サービスのホストを設定します。

   # openstack-config --set /etc/heat/heat.conf \
      keystone_authtoken service_host KEYSTONE_HOST
   # openstack-config --set /etc/heat/heat.conf \
      keystone_authtoken auth_host KEYSTONE_HOST 
   # openstack-config --set /etc/heat/heat.conf \	
      keystone_authtoken auth_uri http://KEYSTONE_HOST:35357/v2.0
   # openstack-config --set /etc/heat/heat.conf \	
      keystone_authtoken keystone_ec2_uri http://KEYSTONE_HOST:35357/v2.0

   KEYSTONE_HOST は、Identity サービスをホストするサーバーの IP アドレスまたはホスト名に置き換えます。Identity サービスが同じシステムでホストされている場合には、127.0.0.1 を使用してください。
5. 仮想マシンインスタンスの接続先となる heat-api-cfn および heat-api-cloudwatch のサービスのホスト名を設定します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT heat_metadata_server_url HEAT_CFN_HOST:8000
   # openstack-config --set /etc/heat/heat.conf \	
      DEFAULT heat_waitcondition_server_url HEAT_CFN_HOST:8000/v1/waitcondition
   # openstack-config --set /etc/heat/heat.conf \	
      DEFAULT heat_watch_server_url HEAT_CLOUDWATCH_HOST:8003

   以下の値を置き換えてください。
   • HEAT_CFN_HOST は、heat-api-cfn サービスをホストするサーバーの IP アドレスまたはホスト名に置き換えます。
   • HEAT_CLOUDWATCH_HOST は、heat-api-cloudwatch サービスをホストするサーバーの IP アドレスまたはホスト名に置き換えます。

   重要

   全サービスが同じシステム上でホストされている場合でも、127.0.0.1 はどのサービスホスト名にも使用しないでください。この IP アドレスは、各インスタンスのローカルホストを参照するので、そのインスタンスが実際のサービスに到達できなくなります。
6. アプリケーションテンプレートは、オーケストレーションに WaitCondition とシグナル送信を使用します。進捗データを受信するユーザーの Identity ロールを定義してください。デフォルトでは、このロールは heat_stack_user です。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT heat_stack_user_role heat_stack_user

手順9.5 Orchestration サービスが RabbitMQ メッセージブローカーを使用するための設定

1. RPC バックエンドとして RabbitMQ を設定します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT rpc_backend heat.openstack.common.rpc.impl_kombu

2. Orchestration サービスが RabbitMQ ホストに接続するように設定します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT rabbit_host RABBITMQ_HOST

   RABBITMQ_HOST は、メッセージブローカーの IP アドレスまたはホスト名に置き換えます。
3. メッセージブローカーのポートを 5672 に設定します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT rabbit_port 5672

4. RabbitMQ の設定時に Orchestration サービス用に作成した RabbitMQ ユーザー名とパスワードを設定します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT rabbit_userid heat
   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT rabbit_password HEAT_PASS

   heat および HEAT_PASS は、Orchestration サービス用に作成した RabbitMQ ユーザー名とパスワードに置き換えます。
5. RabbitMQ の起動時に、heat ユーザーに全リソースに対するパーミッションが付与されます。このアクセスは、特別に仮想ホスト / を介して行われます。Orchestration サービスがこの仮想ホストに接続されるように設定します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT rabbit_virtual_host /

手順9.6 Orchestration サービスと RabbitMQ メッセージブローカーとの間の SSL 通信の有効化

1. メッセージブローカーとの SSL 通信を有効化します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT rabbit_use_ssl True
   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT kombu_ssl_certfile /path/to/client.crt
   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT kombu_ssl_keyfile /path/to/clientkeyfile.key

   以下の値を置き換えてください。
   • /path/to/client.crt はエクスポートされたクライアント証明書の絶対パスに置き換えます。
   • /path/to/clientkeyfile.key はエクスポートされたキーファイルの絶対パスに置き換えます。
2. 証明書がサードパーティーの認証局 (CA) によって署名されている場合には、次のコマンドを実行する必要もあります。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT kombu_ssl_ca_certs /path/to/ca.crt

   /path/to/ca.crt は、サードパーティー CA によって提供された CA ファイルの絶対パスに置き換えます (詳細は 「RabbitMQ メッセージブローカーでの SSL の有効化」 を参照)。