用户和身份管理指南

流程

1. 以 admin 用户身份登录到控制面板。
2. 选择 Identity > Users。
3. 单击 创建用户。
4. 为用户输入用户名、电子邮件和初步密码。
5. 从 Primary Project 列表中选择一个项目。
6. 从 Role 列表中选择该用户的角色。默认角色为 member。
7. 单击 创建用户。

流程

1. 以 admin 用户身份登录控制面板。
2. 选择 Identity > Users。
3. 在 Actions 列中，单击 Edit。
4. 在 Update User 窗口中，您可以更新 User Name, Email, and Primary Project。
5. 单击 Update User。

流程

1. 在仪表板中作为 admin 用户，选择 Identity > Users。
2. 在 Actions 列中，单击箭头，再选择 Enable User 或 Disable User。在 Enabled 列中，值被更新为 True 或 False。

流程

1. 在仪表板中作为 admin 用户，选择 Identity > Users。
2. 选择您要删除的用户。
3. 单击 Delete Users。此时会显示 Confirm Delete Users 窗口。
4. 单击 Delete Users 以确认操作。

流程

1. 列出可用的预定义角色：

   $ openstack role list
   +----------------------------------+-----------------+
   | ID                               | Name            |
   +----------------------------------+-----------------+
   | 01d92614cd224a589bdf3b171afc5488 | admin           |
   | 034e4620ed3d45969dfe8992af001514 | member          |
   | 0aa377a807df4149b0a8c69b9560b106 | ResellerAdmin   |
   | 9369f2bf754443f199c6d6b96479b1fa | heat_stack_user |
   | cfea5760d9c948e7b362abc1d06e557f | reader          |
   | d5cb454559e44b47aaa8821df4e11af1 | swiftoperator   |
   | ef3d3f510a474d6c860b4098ad658a29 | service         |
   +----------------------------------+-----------------+

2. 查看指定角色的详情：

   $ openstack role show admin

   示例

   $ openstack role show admin
   +-----------+----------------------------------+
   | Field     | Value                            |
   +-----------+----------------------------------+
   | domain_id | None                             |
   | id        | 01d92614cd224a589bdf3b171afc5488 |
   | name      | admin                            |
   +-----------+----------------------------------+

流程

1. 创建 new-role 角色：

   $ openstack role create <role_name>

2. 要为项目分配用户，请使用以下命令首先查找用户、角色和项目名称或 ID：

   • OpenStack 用户列表
   • OpenStack 角色列表
   • OpenStack 项目列表

3. 为 user-project 对分配角色。

   $ openstack role add <role_name> --user <user_name> --project <project_name>

   以下示例将 admin 角色分配给 demo 项目中的 admin 用户：

   $ openstack role add admin --user admin --project demo

4. 验证用户 admin 的角色分配：

   $ openstack role assignment list --user <user_name> --project <project_name> --names

   下例验证 admin 用户是否已分配给 demo 项目，其角色为 admin。

1. 创建 grp-Auditors 组：

   $ openstack group create grp-Auditors
   +-------------+----------------------------------+
   | Field       | Value                            |
   +-------------+----------------------------------+
   | description |                                  |
   | domain_id   | default                          |
   | id          | 2a4856fc242142a4aa7c02d28edfdfff |
   | name        | grp-Auditors                     |
   +-------------+----------------------------------+

2. 查看 keystone 组列表：

   $ openstack group list --long
   +----------------------------------+--------------+-----------+-------------+
   | ID                               | Name         | Domain ID | Description |
   +----------------------------------+--------------+-----------+-------------+
   | 2a4856fc242142a4aa7c02d28edfdfff | grp-Auditors | default   |             |
   +----------------------------------+--------------+-----------+-------------+

3. 使用 member 角色时，授予 grp-Auditors 组权限来访问 demo 项目：

   $ openstack role add member --group grp-Auditors --project demo

4. 将现有用户 user1 添加到 grp-Auditors 组中：

   $ openstack group add user grp-Auditors user1
   user1 added to group grp-Auditors

5. 确认 user1 是 grp-Auditors 的成员：

   $ openstack group contains user grp-Auditors user1
   user1 in group grp-Auditors

6. 查看分配给 user1 的有效权限：

   $ openstack role assignment list --effective --user user1
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+
   | Role                             | User                             | Group | Project                          | Domain | Inherited |
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+
   | 9fe2ff9ee4384b1894a90878d3e92bab | 3fefe5b4f6c948e6959d1feaef4822f2 |       | 0ce36252e2fb4ea8983bed2a568fa832 |        | False     |
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+

1. 以具有管理特权的用户身份登录控制面板。
2. 选择 Identity > Projects。
3. 点击 Create Project。
4. 在 Project Information 选项卡中，输入项目的名称和描述。默认选中 Enabled 复选框。
5. 在 Project Members 选项卡上，将成员添加到 All Users 列表中的项目。
6. 在 Quotas 选项卡上，指定项目的资源限值。
7. 点击 Create Project。

1. 以具有管理特权的用户身份登录控制面板。
2. 选择 Identity > Projects。
3. 在项目 Actions 列中，单击箭头，再单击 Edit Project。
4. 在 Edit Project 窗口中，您可以更新项目来更改其名称或描述，以及启用或临时禁用项目。
5. 在 项目成员 选项卡上，根据需要为项目添加成员或移除它们。
6. 点击 Save。

1. 以具有管理特权的用户身份登录控制面板。
2. 选择 Identity > Projects。
3. 在项目 Actions 列中，单击箭头，再单击 Modify Quotas。
4. 在" 配额 "选项卡中，根据需要修改项目配额。
5. 点击 Save。

1. 以具有管理特权的用户身份登录控制面板。
2. 选择 Identity > Projects。
3. 在项目 Actions 列中，单击箭头，再单击 Set as Active Project。
4. 或者，作为项目 Actions 列中的非管理员用户，单击 Set as Active Project，这将成为该列中的默认操作。

流程

1. 使用 --disable 选项禁用域：

   $ openstack domain set TestDomain --disable

2. 确认域已被禁用：

   $ openstack domain show TestDomain
   +-------------+----------------------------------+
   | Field       | Value                            |
   +-------------+----------------------------------+
   | description |                                  |
   | enabled     | False                            |
   | id          | 3abefa6f32c14db9a9703bf5ce6863e1 |
   | name        | TestDomain                       |
   +-------------+----------------------------------+

3. 如果需要，使用 --enable 选项重新启用域：

   $ openstack domain set TestDomain --enable

流程

1. 创建名为 /path/cacert.pem 的文件，并在标题和 footer 中包括从 Active Directory 获取的 CA 证书的内容：

   -----BEGIN CERTIFICATE-----
   MIIDbzCCAlegAwIBAgIQQD14hh1Yz7tPFLXCkKUOszANB... -----END
   CERTIFICATE-----

2. 为进行故障排除，您可以执行以下查询来检查 LDAP 是否正常工作，并确保正确创建了 PEM 证书文件。

   LDAPTLS_CACERT=/path/cacert.pem ldapsearch -xLLL -ZZ -H $LDAPURL -s base -b "" "objectclass=*" currenttime

   查询应该返回类似如下的结果：

   dn: currentTime:
   20141022050611.0Z

3. 如果由 Web 服务器托管，则运行以下命令来获取 CA 证书。

   • $HOST=redhat.com

   • $PORT=443

     # echo Q | openssl s_client -connect $HOST:$PORT | sed -n -e '/BEGIN CERTIFICATE/,/END CERTIFICATE/ p'

1. 将含有 PEM 格式的 CA 证书链的文件复制到 /etc/openldap/certs 目录。

2. 编辑 /etc/openldap/ldap.conf 并添加以下指令，用 CA 证书文件的位置和名称替换 [CA_FILE]：

   TLS_CACERT /etc/openldap/certs/[CA_FILE]

3. 重启 horizon 容器：

   # systemctl restart tripleo_horizon

1. 导入并信任证书，用 CA 证书文件的位置和名称替换 [CA_FILE]：

   # certutil -d /etc/openldap/certs -A -n "My CA" -t CT,, -a -i [CA_FILE]
   # certutil -d /etc/openldap/certs -A -n "My CA" -t CT,, -a -i [CA_FILE]

2. 确认正确导入 CA 证书：

   # certutil -d /etc/openldap/certs -L

   您的 CA 证书已被列出，信任属性被设置为 CT、。

3. 重启 horizon 容器：

   # systemctl restart tripleo_horizon

1. 启用 TLS：

   # openstack-config --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf ldap use_tls True

2. 指定证书的位置，使用 CA 证书的名称替换 [CA_FILE]：

   # openstack-config --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf ldap tls_cacertfile [CA_FILE]

3. 指定 LDAP 服务器中的传入 TLS 会话执行的客户端证书检查，将 [CERT_BEHAVIOR] 替换为以下列出的其中之一：

   需求

   将始终从 LDAP 服务器请求证书。如果未提供证书，或者无法针对现有证书颁发机构文件验证证书，会话将被终止。

   allow

   将始终从 LDAP 服务器请求证书。即使未提供证书，会话也会正常进行。如果提供了证书，但无法针对现有的证书颁发机构文件进行验证，证书将被忽略，会话将正常进行。

   never

   绝不会请求证书。

   # openstack-config --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf ldap tls_req_cert [CERT_BEHAVIOR]

4. 重启 keystone 和 horizon 容器：

   # systemctl restart tripleo_keystone
   # systemctl restart tripleo_horizon

1. 创建 test 项目并测试用户帐户：

   1. 创建名为 AppCreds 的项目：

      $ openstack project create AppCreds

   2. 创建名为 AppCredsUser 的用户：

      $ openstack user create --project AppCreds --password-prompt AppCredsUser

   3. 为 AppCredsUser 授予 AppCreds 项目的成员 角色访问权限：

      $ openstack role add --user AppCredsUser --project AppCreds member

2. 以 AppCredsUser 身份登录仪表板并创建应用程序凭证：

   概述 → Identity → Application Credentials → +Create Application Credential。

   注意

   确保下载 clouds.yaml 文件内容，因为您无法在名为 Application Credential 的弹出窗口后再次访问它。

3. 使用 CLI 创建名为 /home/stack/.config/openstack/clouds.yaml 的文件，并粘贴 clouds.yaml 文件的内容。

   # This is a clouds.yaml file, which can be used by OpenStack tools as a source
   # of configuration on how to connect to a cloud. If this is your only cloud,
   # just put this file in ~/.config/openstack/clouds.yaml and tools like
   # python-openstackclient will just work with no further config. (You will need
   # to add your password to the auth section)
   # If you have more than one cloud account, add the cloud entry to the clouds
   # section of your existing file and you can refer to them by name with
   # OS_CLOUD=openstack or --os-cloud=openstack
   clouds:
     openstack:
       auth:
         auth_url: http://10.0.0.10:5000/v3
         application_credential_id: "6d141f23732b498e99db8186136c611b"
         application_credential_secret: "<example secret value>"
       region_name: "regionOne"
       interface: "public"
       identity_api_version: 3
       auth_type: "v3applicationcredential"

   注意

   这些值与您的部署有所不同。

4. 使用 Application Credential 生成令牌。使用以下命令时，不得以任何特定用户提供，且您必须位于与 clouds.yaml 文件相同的目录中。

   [stack@undercloud-0 openstack]$ openstack --os-cloud=openstack token issue
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | Field      | Value                                                                                                                                                                                                        |
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | expires    | 2018-08-29T05:37:29+0000                                                                                                                                                                                     |
   | id         | gAAAAABbhiMJ4TxxFlTMdsYJpfStsGotPrns0lnpvJq9ILtdi-NKqisWBeNiJlUXwmnoGQDh2CMyK9OeTsuEXnJNmFfKjxiHWmcQVYzAhMKo6_QMUtu_Qm6mtpzYYHBrUGboa_Ay0LBuFDtsjtgtvJ-r8G3TsJMowbKF-yo--O_XLhERU_QQVl3hl8zmMRdmLh_P9Cbhuolt |
   | project_id | 1a74eabbf05c41baadd716179bb9e1da                                                                                                                                                                             |
   | user_id    | ef679eeddfd14f8b86becfd7e1dc84f2                                                                                                                                                                             |
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+

1. 创建一组新的应用凭据。
2. 将新凭据添加到应用配置文件中，以替换现有的凭据。如需更多信息，请参阅将应用程序凭证与应用程序集成。
3. 重启应用程序服务以应用更改。
4. 删除旧应用程序凭证（如果适用）。有关命令行选项的更多信息，请参阅管理应用程序凭证。

1. 以 OpenStack 用户身份进行身份验证，后者最初创建即将过期的身份验证凭据。例如，如果您使用应用程序凭证 生成令牌的步骤， 则必须再次以 AppCredsUser 身份登录。

2. 创建名为 AppCred2 的应用凭据。这可以通过 OpenStack Dashboard 或 openstack CLI 界面完成：

   openstack application credential create --description "App Creds 2 - Member" --role member AppCred2

3. 复制上一命令输出中的 id 和 secret 参数。secret 参数值无法再次访问。
4. 将 ${HOME}/.config/openstack/clouds.yaml 文件中的 application_credential_id 和 application_credential_secret 参数值替换为您复制的 secret 和 id 值。

验证

1. 使用 clouds.yaml 生成令牌，以确认凭证按预期工作。使用以下命令时，不得作为任何特定用户提供，且必须与 clouds.yaml 文件位于同一个目录中：

   [stack@undercloud-0 openstack]$ openstack --os-cloud=openstack token issue

   输出示例：

   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | Field      | Value                                                                                                                                                                                                        |
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | expires    | 2018-08-29T05:37:29+0000                                                                                                                                                                                     |
   | id         | gAAAAABbhiMJ4TxxFlTMdsYJpfStsGotPrns0lnpvJq9ILtdi-NKqisWBeNiJlUXwmnoGQDh2CMyK9OeTsuEXnJNmFfKjxiHWmcQVYzAhMKo6_QMUtu_Qm6mtpzYYHBrUGboa_Ay0LBuFDtsjtgtvJ-r8G3TsJMowbKF-yo--O_XLhERU_QQVl3hl8zmMRdmLh_P9Cbhuolt |
   | project_id | 1a74eabbf05c41baadd716179bb9e1da                                                                                                                                                                             |
   | user_id    | ef679eeddfd14f8b86becfd7e1dc84f2                                                                                                                                                                             |
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+