在云计算平台的实际部署中认证服务是基石中的基石。无论是虚拟机、存储还是网络资源所有操作都需要一个统一的身份验证和授权中心。OpenStack 作为主流的开源云平台其认证服务 Keystone 的安装与配置是每一位云平台运维和开发工程师必须掌握的技能。很多朋友在初次接触时会被其复杂的配置项和多组件交互搞得晕头转向网上教程又往往版本不一、步骤零散。本文将为你提供一份从零开始的、手把手的 Keystone 安装与配置实战指南。我们将基于一个最小化的实验环境详细拆解每一个步骤解释每一个关键配置项的作用并最终完成一个可用的 Keystone 服务。无论你是正在学习云计算的学生还是需要搭建开发测试环境的工程师都可以按照本文的步骤一步步完成搭建并理解其背后的原理。1. 背景与核心概念为什么需要 Keystone在深入动手之前我们必须先理解 Keystone 在 OpenStack 生态中的角色。你可以把 OpenStack 想象成一个庞大的“云资源商城”里面有计算Nova、存储Cinder/Swift、网络Neutron等各种“店铺”服务。而 Keystone 就是这个商城的“总服务台”和“安保中心”。它的核心职责包括身份认证 (Authentication): 验证用户或程序的身份。就像进入商城需要出示会员卡或验证身份。授权 (Authorization): 确认用户是否有权限进行某项操作。比如普通会员可能无法进入VIP专区的店铺。服务目录 (Service Catalog): 提供一个所有可用服务及其访问端点的清单。告诉用户“计算店铺在3楼A区网络店铺在2楼B区”。令牌 (Token): 发放一个有时效性的“临时通行证”Token。用户拿着这个 Token 去访问其他服务时其他服务会向 Keystone 验证该 Token 是否有效且有权访问。核心概念解析User: 使用云资源的实体可以是人、系统或服务。每个用户必须属于一个Domain早期版本属于Tenant/Project。Project (Tenant): 资源隔离的基本单元。一个项目下可以拥有虚拟机、网络、存储等资源。用户必须关联到至少一个项目才能使用资源。Role: 定义用户权限的标签如admin,member,reader。权限的具体含义由各个服务如 Nova来定义。Domain: 一个更高层次的命名空间用于隔离项目、用户和组。在大型部署中非常有用本文实验环境使用默认的defaultDomain。Service Endpoint: Service 指 OpenStack 的一个服务如nova,cinder。Endpoint 是该服务的访问地址通常分为public公网、internal内网、admin管理三种类型。理解了这些我们就知道安装 Keystone 的目标建立一个能管理用户、项目、角色并能发放和验证令牌的中心服务。2. 环境准备与版本说明我们的实验将在一个干净的环境中进行这有助于排除干扰理解核心流程。实验环境说明操作系统: Ubuntu 22.04 LTS (Jammy Jellyfish)。这是目前 LTS 版本中较新且稳定的选择。其他发行版如 CentOS 7/8 步骤类似但包管理命令yum/dnfvsapt和部分配置文件路径不同。OpenStack 版本: Yoga (2022.2)。我们选择 Yoga 版本因为它是一个成熟的长期支持版本文档和社区资源丰富。后续安装其他组件时也请保持版本一致。数据库: MariaDB 10.6。Keystone 需要后端数据库来存储其数据用户、项目、令牌等。消息队列: RabbitMQ 3.10。用于服务内部通信虽然 Keystone 本身对消息队列依赖不重但为后续集成其他服务做准备。Web 服务器: Apache2 mod_wsgi。Keystone 本身是一个 WSGI 应用通常通过 Apache 来提供 HTTP 服务。网络: 假设你有一台独立的服务器或虚拟机我们将其称为“控制节点”。确保网络通畅主机名设置正确如controller。重要前提系统为全新安装或已重置避免端口冲突和配置残留。拥有root权限或sudo权限。主机名已静态配置/etc/hosts。编辑 hosts 文件确保能解析自身sudo vim /etc/hosts添加一行假设你的服务器 IP 是 192.168.1.100主机名是 controller192.168.1.100 controller确保系统时间准确建议配置 NTP 服务。3. 基础环境搭建数据库与消息队列Keystone 依赖于数据库和消息队列。我们先完成这些基础设施的安装与配置。3.1 安装与配置 MariaDB 数据库首先更新系统并安装 MariaDB 服务器和客户端sudo apt update sudo apt upgrade -y sudo apt install mariadb-server python3-pymysql -y安装完成后需要进行安全配置。运行以下命令并按照提示操作建议设置 root 密码并移除匿名用户、禁止远程 root 登录等sudo mysql_secure_installation接下来我们需要为 Keystone 创建一个专用的数据库和用户。连接到 MariaDBsudo mysql -u root -p在 MariaDB 提示符下执行以下 SQL 命令-- 创建 keystone 数据库 CREATE DATABASE keystone CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci; -- 创建 keystone 数据库用户并授予权限 -- 请将 ‘KEYSTONE_DBPASS’ 替换为一个强密码并记住它 GRANT ALL PRIVILEGES ON keystone.* TO keystonelocalhost IDENTIFIED BY KEYSTONE_DBPASS; GRANT ALL PRIVILEGES ON keystone.* TO keystone% IDENTIFIED BY KEYSTONE_DBPASS; -- 刷新权限 FLUSH PRIVILEGES; -- 退出 EXIT;关键解释utf8mb4字符集支持更广泛的字符如 emoji是当前推荐的选择。我们创建了从localhost和任意主机 (%) 的访问权限这为后续可能的远程管理或高可用部署留有余地。在生产环境中应严格限制访问源。3.2 安装与配置 RabbitMQ 消息队列虽然 Keystone 的独立运行对 RabbitMQ 依赖不高但它是 OpenStack 服务间通信的标准组件提前安装好是标准做法。sudo apt install rabbitmq-server -y启动服务并设置为开机自启sudo systemctl enable rabbitmq-server sudo systemctl start rabbitmq-server为 OpenStack 创建一个专用用户例如openstack并设置密码sudo rabbitmqctl add_user openstack RABBIT_PASS # 请将 RABBIT_PASS 替换为强密码授予该用户对所有虚拟主机的配置、读、写权限sudo rabbitmqctl set_permissions openstack .* .* .*验证用户是否添加成功sudo rabbitmqctl list_users你应该能看到openstack用户。4. Keystone 服务安装与核心配置基础环境就绪后我们开始安装和配置 Keystone 本身。4.1 安装 Keystone 及相关组件Ubuntu 系统提供了 OpenStack 的云归档仓库方便我们安装特定版本。首先添加仓库并安装 Keystonesudo apt install software-properties-common -y sudo add-apt-repository cloud-archive:yoga -y sudo apt update sudo apt install keystone apache2 libapache2-mod-wsgi-py3 python3-openstackclient -y安装包说明keystone: Keystone 服务本体。apache2和libapache2-mod-wsgi-py3: 用于通过 Apache 托管 Keystone 的 WSGI 应用。python3-openstackclient: OpenStack 命令行客户端后续我们将用它来与 Keystone 交互。4.2 配置 Keystone 数据库连接Keystone 的主配置文件是/etc/keystone/keystone.conf。在修改前建议先备份sudo cp /etc/keystone/keystone.conf /etc/keystone/keystone.conf.bak使用crudini工具如果没有则安装sudo apt install crudini -y或直接编辑文件来修改配置。这里我们使用crudini它更清晰# 配置数据库连接使用上一步创建的密码 sudo crudini --set /etc/keystone/keystone.conf database connection mysqlpymysql://keystone:KEYSTONE_DBPASScontroller/keystone # 配置 Fernet 令牌提供者。Fernet 是一种对称加密令牌无需持久化到数据库性能更好。 sudo crudini --set /etc/keystone/keystone.conf token provider fernet关键解释connection字符串格式mysqlpymysql://用户名:密码数据库主机/数据库名。provider fernet指定使用 Fernet 令牌。相比 UUID 令牌Fernet 更安全、高效是当前版本的默认推荐。4.3 初始化 Keystone 数据库现在用我们刚才的配置来填充数据库表结构sudo su -s /bin/sh -c keystone-manage db_sync keystone这个命令以keystone系统用户的身份运行数据库同步。执行成功后不会有太多输出。你可以通过登录 MariaDB 查看keystone数据库是否生成了许多表来验证。4.4 初始化 Fernet 密钥仓库Fernet 令牌需要加密密钥。我们需要初始化密钥仓库sudo keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone sudo keystone-manage credential_setup --keystone-user keystone --keystone-group keystone这些密钥文件通常位于/etc/keystone/fernet-keys/目录下。务必保护好这个目录。4.5 引导 Keystone 服务创建初始域、项目、用户、角色这是最关键的一步。我们将使用keystone-manage bootstrap命令来创建初始的管理员账户、项目、角色等。这个命令一次性完成多个操作是 Yoga 及之后版本推荐的方式。sudo keystone-manage bootstrap --bootstrap-password ADMIN_PASS \ --bootstrap-admin-url http://controller:5000/v3/ \ --bootstrap-internal-url http://controller:5000/v3/ \ --bootstrap-public-url http://controller:5000/v3/ \ --bootstrap-region-id RegionOne参数详解--bootstrap-password ADMIN_PASS: 设置初始管理员用户admin的密码。请将ADMIN_PASS替换为一个非常强壮的密码并妥善保存--bootstrap-*-url: 分别设置 Keystone 的管理、内部、公网访问端点。在实验环境中我们通常使用同一个地址和端口5000。--bootstrap-region-id RegionOne: 指定区域名称。OpenStack 可以支持多区域这里我们使用默认的RegionOne。执行此命令后它会自动创建default域Domain。admin项目Project。admin用户User并赋予其admin角色Role。在admin项目上为admin用户分配admin角色。创建service项目用于部署其他 OpenStack 服务。注册keystone服务并创建对应的端点Endpoint。5. 配置 Apache HTTP ServerKeystone 将通过 Apache 来提供服务。我们需要配置 Apache 来托管 Keystone 的 WSGI 应用。5.1 配置 Apache 虚拟主机编辑 Apache 的 Keystone 配置文件sudo vim /etc/apache2/sites-available/keystone.conf将以下配置内容粘贴进去如果文件已有内容请替换。这里我们配置监听 5000 端口Keystone 的主 API 端口和 35357 端口旧版管理端口某些老客户端可能用到Yoga 版本后主要用 5000Listen 5000 Listen 35357 VirtualHost *:5000 WSGIDaemonProcess keystone-public processes5 threads1 userkeystone groupkeystone display-name%{GROUP} WSGIProcessGroup keystone-public WSGIScriptAlias / /usr/bin/keystone-wsgi-public WSGIApplicationGroup %{GLOBAL} WSGIPassAuthorization On ErrorLogFormat %{cu}t %M ErrorLog /var/log/apache2/keystone-error.log CustomLog /var/log/apache2/keystone-access.log combined Directory /usr/bin Require all granted /Directory /VirtualHost VirtualHost *:35357 WSGIDaemonProcess keystone-admin processes5 threads1 userkeystone groupkeystone display-name%{GROUP} WSGIProcessGroup keystone-admin WSGIScriptAlias / /usr/bin/keystone-wsgi-admin WSGIApplicationGroup %{GLOBAL} WSGIPassAuthorization On ErrorLogFormat %{cu}t %M ErrorLog /var/log/apache2/keystone-error.log CustomLog /var/log/apache2/keystone-access.log combined Directory /usr/bin Require all granted /Directory /VirtualHost配置解释WSGIDaemonProcess: 定义运行 WSGI 应用的进程/线程池以keystone用户身份运行提高安全性。WSGIScriptAlias: 将 URL 路径映射到实际的 WSGI 脚本。Keystone 安装后会在/usr/bin/下提供keystone-wsgi-public和keystone-wsgi-admin这两个脚本。ErrorLog和CustomLog: 定义日志位置便于排查问题。5.2 启用配置并重启 Apache启用我们刚刚创建的站点配置并禁用 Apache 的默认站点避免冲突sudo a2ensite keystone sudo a2dissite 000-default重启 Apache 服务以使配置生效sudo systemctl restart apache2设置 Apache 开机自启sudo systemctl enable apache2检查 Apache 和 Keystone 服务状态sudo systemctl status apache2确保状态为active (running)。同时检查 5000 和 35357 端口是否在监听sudo netstat -tnlp | grep -E ‘:(5000|35357)’你应该能看到 Apache 进程正在监听这两个端口。6. 创建环境变量脚本与首次验证为了方便后续使用命令行客户端我们创建一个包含管理员凭证的环境变量脚本。6.1 创建管理员 OpenRC 脚本创建一个文件例如admin-openrc.shvim admin-openrc.sh加入以下内容请根据你的实际密码和主机IP进行修改export OS_USERNAMEadmin export OS_PASSWORDADMIN_PASS # 替换为 keystone-manage bootstrap 时设置的密码 export OS_PROJECT_NAMEadmin export OS_USER_DOMAIN_NAMEDefault export OS_PROJECT_DOMAIN_NAMEDefault export OS_AUTH_URLhttp://controller:5000/v3 export OS_IDENTITY_API_VERSION3 export OS_REGION_NAMERegionOne export OS_AUTH_TYPEpassword然后加载这个脚本以设置环境变量source admin-openrc.sh为了安全建议设置该脚本的权限为仅当前用户可读chmod 600 admin-openrc.sh6.2 验证 Keystone 安装现在使用 OpenStack 命令行客户端来验证我们的 Keystone 服务是否正常工作。1. 获取令牌Token令牌是访问 OpenStack API 的凭证。我们尝试获取一个管理员令牌。openstack token issue如果配置正确你将看到类似以下的输出其中包含一个长的id字段即令牌以及令牌的过期时间、所属用户和项目等信息。这证明认证流程是通的。----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | Field | Value | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | expires | 2023-10-27T09:30:000000 | | id | gAAAAAB...很长一串 Fernet 令牌 | | project_id | 8c4c5e3b1d7a4f19b5c6a8d2e3f4a1b7 | | user_id | 1a2b3c4d5e6f7g8h9i0j1k2l3m4n5o6p | -----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------2. 列出已有用户、项目、角色我们可以用命令行列出当前已有的实体验证bootstrap命令创建的默认数据。# 列出用户 openstack user list # 列出项目 openstack project list # 列出角色 openstack role list # 列出服务目录 openstack catalog list你应该能看到admin用户、admin和service项目、admin角色以及已注册的keystone服务及其端点。3. 测试服务端点直接使用curl命令测试 Keystone 的 API 端点是否可访问curl -i http://controller:5000/v3/你应该收到一个包含HTTP/1.1 300 Multiple Choices的响应这表明 Keystone API 根路径可访问并返回了可用的 API 版本信息。7. 创建常规项目、用户与角色实战演练仅仅有管理员账户还不够。在实际使用中我们需要为不同的团队或用户创建普通项目、用户和角色。下面我们演示如何创建一个名为demo的项目、用户并为其分配member角色。7.1 创建demo项目openstack project create --domain default --description “Demo Project” demo7.2 创建demo用户并设置密码openstack user create --domain default --password-prompt demo执行命令后会提示你输入并确认该用户的密码。7.3 创建member角色如果不存在通常admin角色是自带的但member角色可能需要手动创建。先检查是否存在openstack role list | grep member如果不存在则创建它openstack role create member7.4 将member角色授予demo用户在demo项目上openstack role add --project demo --user demo member这条命令的含义是在demo项目上给demo用户添加member角色。7.5 验证非管理员用户现在我们创建一个普通用户的 OpenRC 脚本来测试vim demo-openrc.sh内容如下替换DEMO_PASS为你为demo用户设置的密码export OS_USERNAMEdemo export OS_PASSWORDDEMO_PASS export OS_PROJECT_NAMEdemo export OS_USER_DOMAIN_NAMEDefault export OS_PROJECT_DOMAIN_NAMEDefault export OS_AUTH_URLhttp://controller:5000/v3 export OS_IDENTITY_API_VERSION3 export OS_REGION_NAMERegionOne export OS_AUTH_TYPEpassword加载该脚本并尝试获取令牌source demo-openrc.sh openstack token issue这次你获取到的令牌的project_id应该对应demo项目user_id对应demo用户。尝试列出用户openstack user list你会收到一个403 Forbidden错误因为demo用户只有member角色默认没有查看所有用户的权限。这正好说明了基于角色的访问控制RBAC在起作用。8. 常见问题与排查思路在安装配置过程中你可能会遇到一些问题。下面是一些常见问题及其解决方法。问题现象可能原因排查步骤与解决方案openstack token issue返回401 Unauthorized1. 管理员密码错误。2. 环境变量OS_AUTH_URL设置错误。3. Apache 服务未运行或配置错误。4. Keystone 数据库未正确初始化。1. 检查admin-openrc.sh中的OS_PASSWORD。2. 确认OS_AUTH_URL指向正确的控制器地址和端口http://controller:5000/v3。3. 运行systemctl status apache2和sudo netstat -tnlp | grep :5000检查服务状态和端口。4. 查看 Apache 错误日志/var/log/apache2/keystone-error.log。5. 确认已成功执行keystone-manage db_sync和keystone-manage bootstrap。keystone-manage db_sync失败1. 数据库连接字符串配置错误。2. 数据库用户keystone权限不足。3. MariaDB 服务未启动。1. 检查/etc/keystone/keystone.conf中[database]部分的connection参数确保密码、主机名、数据库名正确。2. 登录 MariaDB确认keystone用户对keystone数据库有全部权限。3. 运行systemctl status mariadb确保数据库服务已启动。Apache 无法启动或重启失败1. 端口 5000 或 35357 被占用。2.keystone.conf语法错误。3. WSGI 脚本路径错误。1. 使用sudo netstat -tnlp | grep -E ‘:(5000|35357)’查看端口占用情况杀死占用进程或修改监听端口。2. 运行sudo apache2ctl configtest检查 Apache 配置语法。3. 确认/usr/bin/keystone-wsgi-public和keystone-wsgi-admin文件存在。能获取 Token 但openstack user list报 403当前用户如demo缺少执行该操作的权限。这是正常现象说明 RBAC 生效。需要使用具有相应角色如admin的用户来执行管理操作。切换回admin用户环境变量即可。服务端点Endpoint列表为空keystone-manage bootstrap可能未成功注册服务或者后续操作误删了端点。1. 使用openstack catalog list检查。2. 可以手动创建服务端点但建议重新审视bootstrap步骤或使用openstack service create和openstack endpoint create命令手动创建。通用排查命令查看日志sudo tail -f /var/log/apache2/keystone-error.logApache 错误日志和sudo tail -f /var/log/keystone/keystone.logKeystone 应用日志如果启用。验证数据库sudo mysql -u keystone -p keystone -e “SHOW TABLES;”查看表是否存在。验证网络连通性curl -v http://controller:5000/v3/查看详细请求响应。9. 最佳实践与工程建议在实验环境成功的基础上如果你计划将其用于开发测试或更严肃的环境请考虑以下最佳实践密码安全绝不使用弱密码ADMIN_PASS、KEYSTONE_DBPASS、RABBIT_PASS等必须使用高强度随机密码。密码管理使用安全的密码管理器存储这些密码并将admin-openrc.sh等脚本放在安全位置或使用交互式输入密码的方式。定期轮换制定策略定期更换关键服务的密码和 Fernet 密钥。配置管理版本控制将/etc/keystone/keystone.conf、Apache 站点配置等关键配置文件纳入版本控制如 Git。配置分离敏感信息如数据库密码可以考虑使用[DEFAULT]部分的config-dir选项从单独的安全文件中读取。备份定期备份 Keystone 数据库。虽然 Fernet 令牌不存于数据库但用户、项目、角色关系等元数据都在数据库中。高可用与性能多节点部署生产环境应在多个控制节点上部署 Keystone并通过负载均衡器如 HAProxy对外提供服务避免单点故障。会话缓存考虑配置 Memcached 或 Redis 作为令牌的缓存后端可以极大提升验证性能。在keystone.conf的[token]和[cache]部分进行配置。Fernet 密钥轮转定期轮转 Fernet 密钥keystone-manage fernet_rotate并确保所有 Keystone 节点同步。安全加固使用 HTTPS在生产环境中必须通过 HTTPSTLS/SSL暴露 Keystone 端点防止凭证和令牌在传输中被窃听。这需要配置 Apache 的 SSL 证书。防火墙严格限制对 5000 和 35357 端口的访问只允许可信网络如管理网络、计算节点网络访问。审计日志启用并监控 Keystone 的审计日志记录所有认证和授权事件。后续集成安装完 Keystone 后接下来通常会安装Glance镜像服务、Nova计算服务、Neutron网络服务等。每个服务都需要在 Keystone 中注册并创建对应的服务用户和端点。牢记流程创建服务用户 - 授权角色 - 注册服务 - 创建端点。本文的bootstrap命令已经为keystone服务完成了这些步骤。至此你已经成功在 Ubuntu 22.04 上部署并配置了 OpenStack Yoga 版本的 Keystone 认证服务完成了从环境准备、软件安装、数据库初始化、服务配置到最终验证的完整流程。你不仅拥有了一个可工作的认证中心还创建了管理员和普通用户并理解了用户-项目-角色的核心模型。这个 Keystone 服务将成为你 OpenStack 云平台的“大脑”。在后续安装其他组件时你都需要回到这里为它们创建服务凭证并让它们知道如何找到 Keystone 进行身份验证。建议你保存好本文中的环境变量脚本和关键命令它们将是你在 OpenStack 世界中进行一切操作的起点。