3.5. Keystone 域

Keystone 域是高级别安全界限，逻辑分组项目、用户和组。因此，它们可用于集中管理所有基于 Keystone 的身份组件。随着帐户域、服务器、存储和其他资源的引入，现在可逻辑分组为多个项目（以前称为称为租户），它们本身可以在主帐户容器下分组。此外，还可在帐户域内管理多个用户，并为每个项目分配不同的角色。

身份 V3 API 支持多个域。不同域的用户可能会在不同的身份验证后端表示。它们甚至可能具有不同的属性，它们必须映射到一组角色和特权，这些属性在策略定义中使用的，以访问各种服务资源。

如果规则可能仅指定管理员用户和属于项目的用户的访问权限，则映射可能很简单。在其他情况下，云管理员可能需要批准每个项目的映射例程。

特定于域的身份验证驱动程序允许使用特定域的配置文件为多个域配置身份服务。启用驱动程序并设置特定于域的配置文件位置，发生在 /var/lib/config-data/puppet-generated/keystone/keystone.conf 文件的 [identity] 部分中。例如：

[identity]
domain_specific_drivers_enabled = True
domain_config_dir = /var/lib/config-data/puppet-generated/keystone/etc/keystone/domains/

[identity]
domain_specific_drivers_enabled = True
domain_config_dir = /var/lib/config-data/puppet-generated/keystone/etc/keystone/domains/

任何没有特定域配置文件的域都将在主 /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf 文件中使用选项。