Red Hat Summit1장. OpenStack Identity(keystone)와 Active Directory 통합
OpenStack ID(keystone)를 Microsoft AD DS(Active Directory Domain Service)와 통합할 수 있습니다. ID 서비스는 특정 AD DS(Active Directory Domain Services) 사용자를 인증하지만 ID 서비스 데이터베이스에는 권한 부여 설정 및 중요한 서비스 계정이 포함됩니다. 결과적으로 ID 서비스는 사용자 계정 인증을 위해 AD DS에 대한 읽기 전용 액세스 권한을 가지며 인증된 계정에 할당된 권한을 계속 관리합니다.
ID 서비스를 AD DS와 통합하면 AD DS 사용자가 RHOSP(Red Hat OpenStack Platform)에 인증하여 리소스에 액세스할 수 있습니다. ID 서비스 및 이미지 서비스와 같은 RHOSP 서비스 계정과 권한 부여 관리는 ID 서비스 데이터베이스에 계속 유지됩니다. 권한 및 역할은 ID 서비스 관리 툴을 사용하여 AD DS 계정에 할당됩니다.
OpenStack Identity를 Active Directory와 통합하는 프로세스에는 다음 단계가 포함됩니다.
- Active Directory 자격 증명 구성 및 LDAPS 인증서 내보내기
- OpenStack에 LDAPS 인증서 설치 및 구성
- 하나 이상의 LDAP 백엔드를 사용하도록 director 설정
- Active Directory 백엔드에 액세스하도록 컨트롤러 노드 구성
- OpenStack 프로젝트에 대한 Active Directory 사용자 또는 그룹 액세스 구성
- 도메인 및 사용자 목록이 올바르게 생성되었는지 확인합니다.
- 선택 사항: 관리자가 아닌 사용자에 대한 자격 증명 파일을 만듭니다.
1.1. Active Directory 인증 정보 구성
OpenStack ID와 통합하도록 AD DS(Active Directory Domain Service)를 구성하려면 ID 서비스에서 사용할 LDAP 계정을 설정하고, Red Hat OpenStack Platform 배포에 사용할 사용자 그룹을 만들고, Red Hat OpenStack Platform 배포에 사용할 LDAPS 인증서 공개 키를 내보냅니다.
사전 요구 사항
- Active Directory 도메인 서비스가 구성되고 작동됨.
- Red Hat OpenStack Platform은 구성 및 운영됩니다.
- DNS 이름 확인은 완전히 작동하며 모든 호스트가 적절하게 등록됩니다.
- AD DS 인증 트래픽은 포트 636을 사용하여 LDAPS로 암호화됩니다.
- 권장 사항: 고가용성 또는 로드 밸런싱 솔루션으로 AD DS를 구현하여 단일 장애 지점을 방지합니다.
절차
Active Directory 서버에서 다음 단계를 수행합니다.
LDAP 조회 계정을 생성합니다. 이 계정은 ID 서비스에서 AD DS LDAP 서비스를 쿼리하는 데 사용됩니다.
PS C:\> New-ADUser -SamAccountName svc-ldap -Name "svc-ldap" -GivenName LDAP -Surname Lookups -UserPrincipalName svc-ldap@lab.local -Enabled $false -PasswordNeverExpires $true -Path 'OU=labUsers,DC=lab,DC=local'
PS C:\> New-ADUser -SamAccountName svc-ldap -Name "svc-ldap" -GivenName LDAP -Surname Lookups -UserPrincipalName svc-ldap@lab.local -Enabled $false -PasswordNeverExpires $true -Path 'OU=labUsers,DC=lab,DC=local'Copy to Clipboard Copied! Toggle word wrap Toggle overflow 이 계정의 암호를 설정한 다음 활성화합니다. AD 도메인의 복잡성 요구 사항을 준수하는 암호를 지정하라는 메시지가 표시됩니다.
PS C:\> Set-ADAccountPassword svc-ldap -PassThru | Enable-ADAccount
PS C:\> Set-ADAccountPassword svc-ldap -PassThru | Enable-ADAccountCopy to Clipboard Copied! Toggle word wrap Toggle overflow grp-openstack이라는 RHOSP 사용자의 그룹을 생성합니다. 이 그룹의 멤버만 OpenStack ID에 할당된 권한을 가질 수 있습니다.PS C:\> NEW-ADGroup -name "grp-openstack" -groupscope Global -path "OU=labUsers,DC=lab,DC=local"
PS C:\> NEW-ADGroup -name "grp-openstack" -groupscope Global -path "OU=labUsers,DC=lab,DC=local"Copy to Clipboard Copied! Toggle word wrap Toggle overflow 프로젝트 그룹을 생성합니다.
PS C:\> NEW-ADGroup -name "grp-openstack-demo" -groupscope Global -path "OU=labUsers,DC=lab,DC=local" PS C:\> NEW-ADGroup -name "grp-openstack-admin" -groupscope Global -path "OU=labUsers,DC=lab,DC=local"
PS C:\> NEW-ADGroup -name "grp-openstack-demo" -groupscope Global -path "OU=labUsers,DC=lab,DC=local" PS C:\> NEW-ADGroup -name "grp-openstack-admin" -groupscope Global -path "OU=labUsers,DC=lab,DC=local"Copy to Clipboard Copied! Toggle word wrap Toggle overflow svc-ldap사용자를grp-openstack그룹에 추가합니다.PS C:\> ADD-ADGroupMember "grp-openstack" -members "svc-ldap"
PS C:\> ADD-ADGroupMember "grp-openstack" -members "svc-ldap"Copy to Clipboard Copied! Toggle word wrap Toggle overflow -
AD 도메인 컨트롤러에서
인증서 MMC를 사용하여 LDAPS 인증서의 공개 키(개인 키 아님)를 DER 인코딩x509.cer 파일로 내보냅니다. 이 파일을 RHOSP 관리자에게 전송합니다. AD DS 도메인의 NetBIOS 이름을 검색합니다.
PS C:\> Get-ADDomain | select NetBIOSName NetBIOSName ----------- LAB
PS C:\> Get-ADDomain | select NetBIOSName NetBIOSName ----------- LABCopy to Clipboard Copied! Toggle word wrap Toggle overflow 이 값을 RHOSP 관리자에게 전송합니다.
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}