将 Keystone 与 Ceph 对象网关使用指南

流程

1. 创建 Swift 服务：

   Copy to Clipboard Toggle word wrap

   [root@swift~]# openstack service create --name=swift --description="Swift Service" object-store

   创建服务将回显服务设置。

   表 2.1. 示例

   字段	值
   description	Swift 服务
   enabled	True
   id	37c4c0e79571404cb4644201a4a6e5ee
   name	swift
   type	object-store

流程

1. 创建指向 Ceph 对象网关的 OpenStack 端点：

   语法

   Copy to Clipboard Toggle word wrap

   openstack endpoint create --region REGION_NAME swift admin "URL"
   openstack endpoint create --region REGION_NAME swift public "URL"
   openstack endpoint create --region REGION_NAME swift internal "URL"

   将 REGION_NAME 替换为网关的 zone group name 或 region 名称的名称。使用适合 Ceph 对象网关的 URL 替换 URL。

   示例

   Copy to Clipboard Toggle word wrap

   [root@osp ~]# openstack endpoint create --region us-west swift admin "http://radosgw.example.com:8080/swift/v1"
   [root@osp ~]# openstack endpoint create --region us-west swift public "http://radosgw.example.com:8080/swift/v1"
   [root@osp ~]# openstack endpoint create --region us-west swift internal "http://radosgw.example.com:8080/swift/v1"

   字段	值
   adminURL	http://radosgw.example.com:8080/swift/v1
   id	e4249d2b60e44743a67b5e5b38c18dd3
   internalURL	http://radosgw.example.com:8080/swift/v1
   publicURL	http://radosgw.example.com:8080/swift/v1
   region	us-west
   service_id	37c4c0e79571404cb4644201a4a6e5ee
   service_name	swift
   service_type	object-store

   设置端点将输出服务端点设置。

流程

1. 验证配置文件中的设置：

流程

1. 将 OpenSSL 证书转换为 db 格式：

   示例

   Copy to Clipboard Toggle word wrap

   [root@osp ~]# mkdir /var/ceph/nss
   
   [root@osp ~]# mkdir /var/ceph/nss openssl x509 -in /etc/keystone/ssl/certs/ca.pem -pubkey | \
       certutil -d /var/ceph/nss -A -n ca -t "TCu,Cu,Tuw"
   [root@osp ~]# mkdir /var/ceph/nss openssl x509 -in /etc/keystone/ssl/certs/signing_cert.pem -pubkey | \
       certutil -A -d /var/ceph/nss -n signing_cert -t "P,P,P"

2. 在运行 Ceph 对象网关的节点中安装 Keystone 的 SSL 证书。或者，将可配置的 rgw_keystone_verify_ssl 设置的值设置为 false。

   将 rgw_keystone_verify_ssl 设置为 false 表示网关不会尝试验证证书。

流程

1. 编辑管理节点上的 Ceph 配置文件。
2. 导航到 [client.radosgw.INSTANCE_NAME]， 其中 INSTANCE_NAME 是要配置的网关实例的名称。

3. 为每个网关实例执行以下操作：

   1. 将 rgw_s3_auth_use_keystone 设置设置为 true。
   2. 将 thenss_db_path 设置设置为 NSS 数据库存储的路径。

4. 提供身份验证凭证：

   可以配置 Keystone 服务租户、适用于 OpenStack 身份 API 的 v2.0 版本的 Keystone 用户和密码，这与系统管理员倾向于配置 OpenStack 服务的方式类似。提供用户名和密码可避免向 rgw_keystone_admin_token 设置提供共享 secret。

   重要

   红帽建议在生产环境中通过 admin 令牌禁用身份验证。服务租户凭据应当具有 admin 特权。

   所需的配置选项有：

   Copy to Clipboard Toggle word wrap

   rgw_keystone_admin_user = KEYSTONE_TENANT_USER_NAME
   rgw_keystone_admin_password = KEYSTONE_TENANT_USER_PASSWORD
   rgw_keystone_admin_tenant = KEYSTONE_TENANT_NAME

   Ceph 对象网关用户映射到 Keystone 租户。Keystone 用户在 上分配有不同的角色，可能有多个租户。当 Ceph 对象网关获取票据时，它将查看租户，以及分配给该票据的用户角色，并且根据可配置的 rgw_keystone_accepted_roles 接受或拒绝请求。

   典型的配置可能具有以下设置：

   示例

   Copy to Clipboard Toggle word wrap

   [client.radosgw.gateway]
   rgw_keystone_url = {keystone server url:keystone server admin port}
   ##Authentication using an admin token. Not preferred.
   #rgw_keystone_admin_token = {keystone admin token}
   ##Authentication using username, password and tenant. Preferred.
   rgw_keystone_admin_user = _KEYSTONE_TENANT_USER_NAME_
   rgw_keystone_admin_password =  _KEYSTONE_TENANT_USER_PASSWORD_
   rgw_keystone_admin_tenant =  _KEYSTONE_TENANT_NAME_
   rgw_keystone_accepted_roles = _KEYSTONE_ACCEPTED_USER_ROLES_
   ##
   rgw_keystone_token_cache_size = _NUMBER_OF_TOKENS_TO_CACHE_
   rgw_keystone_revocation_interval = _NUMBER_OF_SECONDS_BEFORE_CHECKING_REVOKED_TICKETS_
   rgw_keystone_make_new_tenants = _TRUE_FOR_PRIVATE_TENANT_FOR_EACH_NEW_USER_
   rgw_s3_auth_use_keystone = true
   nss_db_path = _PATH_TO_NSS_DB_

流程

1. 保存 Ceph 配置文件并将其分发到每个 Ceph 节点后，重启 Ceph 对象网关实例：