第 1 章 Image 服务(glance)

流程

1. 根据您的要求，在 undercloud 上的环境文件中使用 ExtraConfig 参数添加新间隔：

   parameter_defaults:
     ControllerExtraConfig:
       glance::config::glance_api_config:
         DEFAULT/cache_prefetcher_interval:
           value: '<300>'

   将 <300> 替换为您要作为预缓存镜像的间隔的秒数。

2. 在调整 /home/stack/templates/ 中的环境文件中的间隔后，以 stack 用户身份登录并部署配置：

   $ openstack overcloud deploy --templates \
   -e /home/stack/templates/<env_file>.yaml

   将 <env_file> 替换为包含您添加的 ExtraConfig 设置的环境文件名称。

   重要

   如果您在创建 overcloud 时传递任何额外的环境文件，请使用 -e 选项再次传递这些文件，以避免对 overcloud 进行不必要的更改。

流程

1. 以 stack 用户身份登录 undercloud，再识别 controller-0 的调配 IP 地址：

   (undercloud) [stack@site-undercloud-0 ~]$ openstack server list -f value -c Name -c Networks | grep controller
   overcloud-controller-1 ctlplane=192.168.24.40
   overcloud-controller-2 ctlplane=192.168.24.13
   overcloud-controller-0 ctlplane=192.168.24.71
   (undercloud) [stack@site-undercloud-0 ~]$

2. 要对 overcloud 进行身份验证，默认将存储在 /home/stack/overcloudrc 中的凭证复制到 controller-0 ：

   $ scp ~/overcloudrc heat-admin@192.168.24.71:/home/heat-admin/

3. 连接到 controller-0 ：

   $ ssh heat-admin@192.168.24.71

4. 在 controller-0 上，以 heat-admin 用户身份识别 glance_api 服务的 IP 地址。在以下示例中，IP 地址是 172.25.1.105 ：

   (overcloud) [root@controller-0 ~]# grep -A 10 '^listen glance_api' /var/lib/config-data/puppet-generated/haproxy/etc/haproxy/haproxy.cfg
   listen glance_api
    server central-controller0-0.internalapi.redhat.local 172.25.1.105:9292 check fall 5 inter 2000 rise 2

5. 由于 glance-cache-manage 命令只能在 glance_api 容器中可用，因此创建一个脚本，以执行要向 overcloud 进行身份验证的环境变量的节点。在 controller-0 上的 /home/heat-admin 中创建一个名为 glance_pod.sh 的脚本，其内容如下：

   sudo podman exec -ti \
    -e NOVA_VERSION=$NOVA_VERSION \
    -e COMPUTE_API_VERSION=$COMPUTE_API_VERSION \
    -e OS_USERNAME=$OS_USERNAME \
    -e OS_PROJECT_NAME=$OS_PROJECT_NAME \
    -e OS_USER_DOMAIN_NAME=$OS_USER_DOMAIN_NAME \
    -e OS_PROJECT_DOMAIN_NAME=$OS_PROJECT_DOMAIN_NAME \
    -e OS_NO_CACHE=$OS_NO_CACHE \
    -e OS_CLOUDNAME=$OS_CLOUDNAME \
    -e no_proxy=$no_proxy \
    -e OS_AUTH_TYPE=$OS_AUTH_TYPE \
    -e OS_PASSWORD=$OS_PASSWORD \
    -e OS_AUTH_URL=$OS_AUTH_URL \
    -e OS_IDENTITY_API_VERSION=$OS_IDENTITY_API_VERSION \
    -e OS_COMPUTE_API_VERSION=$OS_COMPUTE_API_VERSION \
    -e OS_IMAGE_API_VERSION=$OS_IMAGE_API_VERSION \
    -e OS_VOLUME_API_VERSION=$OS_VOLUME_API_VERSION \
    -e OS_REGION_NAME=$OS_REGION_NAME \
   glance_api /bin/bash

6. Source overcloudrc 文件，运行 glance_pod.sh 脚本，以使用必要的环境变量在 glance_api 中执行以在 overcloud Controller 节点中进行身份验证。

   [heat-admin@controller-0 ~]$ source overcloudrc
   (overcloudrc) [heat-admin@central-controller-0 ~]$ bash glance_pod.sh
   ()[glance@controller-0 /]$

7. 使用 glance image-list 等命令来验证容器是否可以针对 overcloud 运行经过身份验证的命令。

   ()[glance@controller-0 /]$ glance image-list
   +--------------------------------------+----------------------------------+
   | ID                                   | Name                             |
   +--------------------------------------+----------------------------------+
   | ad2f8daf-56f3-4e10-b5dc-d28d3a81f659 | cirros-0.4.0-x86_64-disk.img       |
   +--------------------------------------+----------------------------------+
   ()[glance@controller-0 /]$

流程

1. 以 admin 用户身份，将镜像队列为缓存：

   $ glance-cache-manage --host=<host_ip> queue-image <image_id>

   • 将 <host_ip> 替换为运行 glance-api 容器的 Controller 节点的 IP 地址。

   • 将 <image_id> 替换为您要队列的镜像的 ID。

     当您排队要预缓存的镜像时，cache_images 定期作业会同时列出所有排队的镜像。

     注意

     由于镜像缓存是每个节点的本地缓存，如果使用 HA（有 3、5 或 7 控制器）部署 Red Hat OpenStack Platform，那么在您运行 glance-cache-manage 命令时，您必须使用 --host 选项指定主机地址。

2. 运行以下命令，以查看镜像缓存中的镜像：

   $ glance-cache-manage --host=<host_ip> list-cached

   将 <host_ip> 替换为环境中主机的 IP 地址。

流程

1. 作为云管理员，创建单独的 heat 模板文件，如 lock-down-glance-metadef-api.yaml，使其包含镜像服务 metadef API 的策略覆盖：

   ...
   parameter_defaults:
     GlanceApiPolicies: {
   	glance-metadef_default: { key: 'metadef_default', value: '' },
   	glance-metadef_admin: { key: 'metadef_admin', value: 'role:admin' },
   	glance-get_metadef_namespace: { key: 'get_metadef_namespace', value: 'rule:metadef_default' },
   	glance-get_metadef_namespaces: { key: 'get_metadef_namespaces', value: 'rule:metadef_default' },
   	glance-modify_metadef_namespace: { key: 'modify_metadef_namespace', value: 'rule:metadef_admin' },
   	glance-add_metadef_namespace: { key: 'add_metadef_namespace', value: 'rule:metadef_admin' },
   	glance-delete_metadef_namespace: { key: 'delete_metadef_namespace', value: 'rule:metadef_admin' },
   	glance-get_metadef_object: { key: 'get_metadef_object', value: 'rule:metadef_default' },
   	glance-get_metadef_objects: { key: 'get_metadef_objects', value: 'rule:metadef_default' },
   	glance-modify_metadef_object: { key: 'modify_metadef_object', value: 'rule:metadef_admin' },
   	glance-add_metadef_object: { key: 'add_metadef_object', value: 'rule:metadef_admin' },
   	glance-delete_metadef_object: { key: 'delete_metadef_object', value: 'rule:metadef_admin' },
   	glance-list_metadef_resource_types: { key: 'list_metadef_resource_types', value: 'rule:metadef_default' },
   	glance-get_metadef_resource_type: { key: 'get_metadef_resource_type', value: 'rule:metadef_default' },
   	glance-add_metadef_resource_type_association: { key: 'add_metadef_resource_type_association', value: 'rule:metadef_admin' },
   	glance-remove_metadef_resource_type_association: { key: 'remove_metadef_resource_type_association', value: 'rule:metadef_admin' },
   	glance-get_metadef_property: { key: 'get_metadef_property', value: 'rule:metadef_default' },
   	glance-get_metadef_properties: { key: 'get_metadef_properties', value: 'rule:metadef_default' },
   	glance-modify_metadef_property: { key: 'modify_metadef_property', value: 'rule:metadef_admin' },
   	glance-add_metadef_property: { key: 'add_metadef_property', value: 'rule:metadef_admin' },
   	glance-remove_metadef_property: { key: 'remove_metadef_property', value: 'rule:metadef_admin' },
   	glance-get_metadef_tag: { key: 'get_metadef_tag', value: 'rule:metadef_default' },
   	glance-get_metadef_tags: { key: 'get_metadef_tags', value: 'rule:metadef_default' },
   	glance-modify_metadef_tag: { key: 'modify_metadef_tag', value: 'rule:metadef_admin' },
   	glance-add_metadef_tag: { key: 'add_metadef_tag', value: 'rule:metadef_admin' },
   	glance-add_metadef_tags: { key: 'add_metadef_tags', value: 'rule:metadef_admin' },
   	glance-delete_metadef_tag: { key: 'delete_metadef_tag', value: 'rule:metadef_admin' },
   	glance-delete_metadef_tags: { key: 'delete_metadef_tags', value: 'rule:metadef_admin' }
     }
   
   …

   有关策略和策略语法的详情，请参考此策略 章节。

2. 在部署 overcloud 时，使用 -e 选项包括部署命令中包含策略覆盖的环境文件：

   $ openstack overcloud deploy -e lock-down-glance-metadef-api.yaml

流程

1. 作为云管理员，登录 undercloud 并为策略覆盖创建一个文件。例如：

   $ cat open-up-glance-api-metadef.yaml

2. 配置策略覆盖文件，允许所有用户进行 metadef API 读写访问：

   GlanceApiPolicies: {
       glance-metadef_default: { key: 'metadef_default', value: '' },
       glance-get_metadef_namespace: { key: 'get_metadef_namespace', value: 'rule:metadef_default' },
       glance-get_metadef_namespaces: { key: 'get_metadef_namespaces', value: 'rule:metadef_default' },
       glance-modify_metadef_namespace: { key: 'modify_metadef_namespace', value: 'rule:metadef_default' },
       glance-add_metadef_namespace: { key: 'add_metadef_namespace', value: 'rule:metadef_default' },
       glance-delete_metadef_namespace: { key: 'delete_metadef_namespace', value: 'rule:metadef_default' },
       glance-get_metadef_object: { key: 'get_metadef_object', value: 'rule:metadef_default' },
       glance-get_metadef_objects: { key: 'get_metadef_objects', value: 'rule:metadef_default' },
       glance-modify_metadef_object: { key: 'modify_metadef_object', value: 'rule:metadef_default' },
       glance-add_metadef_object: { key: 'add_metadef_object', value: 'rule:metadef_default' },
       glance-delete_metadef_object: { key: 'delete_metadef_object', value: 'rule:metadef_default' },
       glance-list_metadef_resource_types: { key: 'list_metadef_resource_types', value: 'rule:metadef_default' },
       glance-get_metadef_resource_type: { key: 'get_metadef_resource_type', value: 'rule:metadef_default' },
       glance-add_metadef_resource_type_association: { key: 'add_metadef_resource_type_association', value: 'rule:metadef_default' },
       glance-remove_metadef_resource_type_association: { key: 'remove_metadef_resource_type_association', value: 'rule:metadef_default' },
       glance-get_metadef_property: { key: 'get_metadef_property', value: 'rule:metadef_default' },
       glance-get_metadef_properties: { key: 'get_metadef_properties', value: 'rule:metadef_default' },
       glance-modify_metadef_property: { key: 'modify_metadef_property', value: 'rule:metadef_default' },
       glance-add_metadef_property: { key: 'add_metadef_property', value: 'rule:metadef_default' },
       glance-remove_metadef_property: { key: 'remove_metadef_property', value: 'rule:metadef_default' },
       glance-get_metadef_tag: { key: 'get_metadef_tag', value: 'rule:metadef_default' },
       glance-get_metadef_tags: { key: 'get_metadef_tags', value: 'rule:metadef_default' },
       glance-modify_metadef_tag: { key: 'modify_metadef_tag', value: 'rule:metadef_default' },
       glance-add_metadef_tag: { key: 'add_metadef_tag', value: 'rule:metadef_default' },
       glance-add_metadef_tags: { key: 'add_metadef_tags', value: 'rule:metadef_default' },
       glance-delete_metadef_tag: { key: 'delete_metadef_tag', value: 'rule:metadef_default' },
       glance-delete_metadef_tags: { key: 'delete_metadef_tags', value: 'rule:metadef_default' }
     }

   注意

   您必须将所有 metadef 策略配置为使用 rule:metadef_default。有关策略和策略语法的详情，请参考此策略 章节。

3. 在部署 overcloud 时，使用 -e 选项在部署命令中包括新策略文件：

   $ openstack overcloud deploy -e open-up-glance-api-metadef.yaml