6.6. 프로젝트 계층 구조

절차

1. corp 라는 새 keystone 도메인을 생성합니다.

   $ openstack domain create corp
   +-------------+----------------------------------+
   | Field       | Value                            |
   +-------------+----------------------------------+
   | description |                                  |
   | enabled     | True                             |
   | id          | 69436408fdcb44ab9e111691f8e9216d |
   | name        | corp                             |
   +-------------+----------------------------------+

2. corp 도메인에 상위 프로젝트(private-cloud)를 생성합니다.

   $ openstack project create private-cloud --domain corp
   +-------------+----------------------------------+
   | Field       | Value                            |
   +-------------+----------------------------------+
   | description |                                  |
   | domain_id   | 69436408fdcb44ab9e111691f8e9216d |
   | enabled     | True                             |
   | id          | c50d5cf4fe2e4929b98af5abdec3fd64 |
   | is_domain   | False                            |
   | name        | private-cloud                    |
   | parent_id   | 69436408fdcb44ab9e111691f8e9216d |
   +-------------+----------------------------------+

3. corp 도메인도 지정하는 동안 private-cloud 상위 프로젝트 내에 하위 프로젝트(dev)를 생성합니다.

   $ openstack project create dev --parent private-cloud --domain corp
   +-------------+----------------------------------+
   | Field       | Value                            |
   +-------------+----------------------------------+
   | description |                                  |
   | domain_id   | 69436408fdcb44ab9e111691f8e9216d |
   | enabled     | True                             |
   | id          | 11fccd8369824baa9fc87cf01023fd87 |
   | is_domain   | False                            |
   | name        | dev                              |
   | parent_id   | c50d5cf4fe2e4929b98af5abdec3fd64 |
   +-------------+----------------------------------+

4. qa 라는 다른 하위 프로젝트를 생성합니다.

   $ openstack project create qa --parent private-cloud --domain corp
   +-------------+----------------------------------+
   | Field       | Value                            |
   +-------------+----------------------------------+
   | description |                                  |
   | domain_id   | 69436408fdcb44ab9e111691f8e9216d |
   | enabled     | True                             |
   | id          | b4f1d6f59ddf413fa040f062a0234871 |
   | is_domain   | False                            |
   | name        | qa                               |
   | parent_id   | c50d5cf4fe2e4929b98af5abdec3fd64 |
   +-------------+----------------------------------+

사용자에게 액세스 권한 부여

1. 프로젝트에 할당된 기존 권한을 확인합니다.

   $ openstack role assignment list --project private-cloud

2. 기존 역할을 확인합니다.

   $ openstack role list
   +----------------------------------+-----------------+
   | ID                               | Name            |
   +----------------------------------+-----------------+
   | 01d92614cd224a589bdf3b171afc5488 | admin           |
   | 034e4620ed3d45969dfe8992af001514 | member          |
   | 0aa377a807df4149b0a8c69b9560b106 | ResellerAdmin   |
   | 9369f2bf754443f199c6d6b96479b1fa | heat_stack_user |
   | cfea5760d9c948e7b362abc1d06e557f | reader          |
   | d5cb454559e44b47aaa8821df4e11af1 | swiftoperator   |
   | ef3d3f510a474d6c860b4098ad658a29 | service         |
   +----------------------------------+-----------------+

3. 사용자 계정 user1 에 private-cloud 프로젝트에 대한 액세스 권한을 부여합니다.

   $ openstack role add --user user1 --user-domain corp --project private-cloud member

   --inherited 플래그를 사용하여 이 명령을 다시 실행합니다. 결과적으로 user1 은 역할 할당을 상속한 private-cloud 하위 프로젝트에도 액세스할 수 있습니다.

   $ openstack role add --user user1 --user-domain corp --project private-cloud member --inherited

4. 권한 업데이트 결과를 검토합니다.

   $ openstack role assignment list --effective --user user1 --user-domain corp
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+
   | Role                             | User                             | Group | Project                          | Domain | Inherited |
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+
   | 034e4620ed3d45969dfe8992af001514 | 10b5b34df21d485ca044433818d134be |       | c50d5cf4fe2e4929b98af5abdec3fd64 |        | False     |
   | 034e4620ed3d45969dfe8992af001514 | 10b5b34df21d485ca044433818d134be |       | 11fccd8369824baa9fc87cf01023fd87 |        | True      |
   | 034e4620ed3d45969dfe8992af001514 | 10b5b34df21d485ca044433818d134be |       | b4f1d6f59ddf413fa040f062a0234871 |        | True      |
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+

1. 명시적으로 할당된 역할에서 사용자를 제거합니다.

   $ openstack role remove --user user1 --project private-cloud member

2. 변경 사항의 결과를 검토합니다. 상속된 권한은 여전히 존재합니다.

   $ openstack role assignment list --effective --user user1 --user-domain corp
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+
   | Role                             | User                             | Group | Project                          | Domain | Inherited |
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+
   | 034e4620ed3d45969dfe8992af001514 | 10b5b34df21d485ca044433818d134be |       | 11fccd8369824baa9fc87cf01023fd87 |        | True      |
   | 034e4620ed3d45969dfe8992af001514 | 10b5b34df21d485ca044433818d134be |       | b4f1d6f59ddf413fa040f062a0234871 |        | True      |
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+

3. 상속된 권한을 제거합니다.

   $ openstack role remove --user user1 --project private-cloud member --inherited

4. 변경 사항의 결과를 검토합니다. 상속된 권한이 제거되었으며 결과 출력이 비어 있습니다.

   $ openstack role assignment list --effective --user user1 --user-domain corp