5.5. 示例：创建高级用户角色

要自定义 keystone 角色的权限，请更新服务的 policy.json 文件。这意味着您可以更精细地定义分配给一类用户的权限。这个示例使用以下权限 为您的部署 创建一个高级用户角色：

启动实例。
停止一个实例。
管理连接到实例的卷。

此角色的目的是为某些用户授予其他权限，而无需授予 admin 访问权限。要使用这些权限，您必须为自定义角色授予以下权限：

启动一个实例：" os_compute_api:servers:start": "role:PowerUsers"
停止实例：" os_compute_api:servers:stop": "role:PowerUsers"
将实例配置为使用特定卷：" os_compute_api:servers:create:attach_volume": "role:PowerUsers"
列出附加到实例的卷：" os_compute_api:os-volumes-attachments:index": "role:PowerUsers"
Attach a volume: "os_compute_api:os-volumes-attachments:create": "role:PowerUsers"
查看附加卷的详情：" os_compute_api:os-volumes-attachments:show": "role:PowerUsers"
更改附加到实例的卷：" os_compute_api:os-volumes-attachments:update": "role:PowerUsers"
删除附加到实例的卷：" os_compute_api:os-volumes-attachments:delete": "role:PowerUsers"

注意

当您修改 policy.json 文件时，您将覆盖默认策略。因此，PowerUsers 的成员是唯一可以执行这些操作的用户。要允许 管理员用户 保留这些权限，您可以为 admin_or_power_user 创建规则。您还可以使用一些基本条件逻辑来定义 role:PowerUsers 或 role:Admin。

要确保在命令行会话中使用 keystone v3 API，请提供定义 v3 端点和设置的 rc 文件：

OS_AUTH_URL=http://controller-hostname.lab.local:5000/v3
OS_USERNAME=username
OS_PASSWORD=password
OS_USER_DOMAIN_NAME=Default
OS_PROJECT_DOMAIN_NAME=Default
OS_PROJECT_NAME=project-name
OS_IDENTITY_API_VERSION=3

创建自定义 keystone 角色：

$ openstack role create PowerUsers
+-----------+----------------------------------+
| Field     | Value                            |
+-----------+----------------------------------+
| domain_id | None                             |
| id        | 7061a395af43455e9057ab631ad49449 |
| name      | PowerUsers                      |
+-----------+----------------------------------+

在角色中添加现有用户，并将角色分配给项目：
```
$ openstack role add --project [PROJECT_NAME] --user [USER_ID] [PowerUsers-ROLE_ID]
```
注意
角色分配仅与一个项目配对。这意味着，当您为用户分配角色时，您也同时定义 target 项目。如果您希望用户收到相同的角色，但对于不同的项目，您必须单独为他们分配该角色，但以不同的项目为目标。

查看默认 nova 策略设置：

$ oslopolicy-policy-generator --namespace nova

通过将以下条目添加到 /var/lib/config-data/puppet-generated/nova/etc/nova/policy.json 来为新的 PowerUsers 角色创建自定义权限：

注意

在部署前测试您的策略更改，以验证它们是否按预期工作。

{
"os_compute_api:servers:start": "role:PowerUsers",
"os_compute_api:servers:stop": "role:PowerUsers",
"os_compute_api:servers:create:attach_volume": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:index": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:create": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:show": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:update": "role:PowerUsers",
"os_compute_api:os-volumes-attachments:delete": "role:PowerUsers"
}

保存此文件并重新启动 nova 容器时，您将实施这些更改。添加到 PowerUsers keystone 角色的用户会收到这些权限。

5.5. 示例：创建高级用户角色

学习

尝试、购买和销售

社区

关于红帽文档

让开源更具包容性

關於紅帽

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links