一、keystone服务概念

创新互联专注于企业成都全网营销推广、网站重做改版、顺庆网站定制设计、自适应品牌网站建设、HTML5建站、商城网站建设、集团公司官网建设、外贸网站制作、高端网站制作、响应式网页设计等建站业务，价格优惠性价比高，为顺庆等各大城市提供网站开发制作服务。

服务

Keystone被组织为在一个或多个端点上公开的一组内部服务。其中许多服务由前端以组合方式使用。例如，身份验证调用将使用Identity服务验证用户/项目凭据，并在成功时创建并返回带有令牌服务的令牌。

身份

Identity服务提供身份验证凭据验证以及有关用户 和组的数据。在基本情况下，此数据由Identity服务管理，允许它还处理与此数据关联的所有CRUD操作。在更复杂的情况下，数据由权威后端服务管理。例如，身份服务充当LDAP的前端。在这种情况下，LDAP服务器是真实的来源，身份服务的作用是准确地传递该信息。

用户

Users表示单个API使用者。用户本身必须由特定域拥有，因此所有用户名不是全局唯一的，而是仅对其域唯一。

组

Groups是表示用户集合的容器。组本身必须由特定域拥有，因此所有组名称不是 全局唯一的，而是仅对其域唯一。

资源

资源服务提供有关项目和域的数据。

项目

Projects代表ownershipOpenStack 的基本单元，因为OpenStack中的所有资源都应归特定项目所有。项目本身必须由特定域拥有，因此所有项目名称不是 全局唯一的，但对于其域是唯一的。如果未指定项目的域，则将其添加到默认域。

域

Domains是项目，用户和组的高级容器。每个都归一个域所有。每个域定义一个名称空间，其中存在API可见的名称属性。Keystone提供了一个默认域名，名称为“默认”。

在Identity v3 API中，属性的唯一性如下：

• 域名。所有领域的全球独特性。

• 角色名称。在拥有的域内独一无二。

• 用户名。在拥有的域内独一无二。

• 项目名。在拥有的域内独一无二。

• 团队名字。在拥有的域内独一无二。

由于其容器架构，域可以用作委派OpenStack资源管理的方式。如果授予适当的分配，则域中的用户仍可以访问另一个域中的资源。

作业

Assignment服务提供有关角色和角色分配的数据。

角色

Roles规定最终用户可以获得的授权级别。角色可以在域或项目级别授予。可以在单个用户或组级别分配角色。角色名称在拥有域中是唯一的。

角色分配

一个3元组，有一个Role，一个Resource和一个Identity。

令牌

一旦用户的凭证已经过验证，令牌服务就会验证和管理用于验证请求的令牌。

二、登陆并修改openstack管理员密码

在完成openstack搭建后，按照http://serverip/dashboard/ 登陆，登陆提示会需要admin管理员账户密码。默认密码保存在keystonerc_admin 文件

cat keystonerc_admin

export OS_PASSWORD后面就是默认密码，后进入dashboard界面登陆

登陆进去后，可以在设置修改管理员密码

完成后，同时要修改 keystonerc_admin文件中export OS_PASSWORD后密码，然后按照如下命令配置生效

source keystonerc_admin     #重新加载

注意，admin用户是管理员，可以拥有整个资源的权限，默认分配到admin的项目组中，所以在管理界面修改完成管理员密码后必须修改keystonetc_admin的文件的中的密码，不然会导致其他组件服务认证失败

三、创建项目与用户

3.1创建项目

 首先创建一个项目，在身份管理中点击项目

创建项目名称为test-cloud,域信息和域ID因为是测试环境，都保持默认

项目成员为登陆云服务的租户名称，可以后期添加，目前保持默认，配额是限制该项目资源的使用，测试环境下保持默认即可

点击完成创建，即可创建好项目test_cloud,可以作为vdc(虚拟数据中心）提供给租户使用

3.2创建用户

为test_cloud创建一个管理员，负责分配资源，名称为vdc_admin。在身份验证-用户中创建，如下所示：

说明：

1、选择项目test_cloud代表使用此资源

2、选择角色_member_

然后再以vdc_admin登陆openstack，可以看到可获取的资源的明显不同

四、创建外部网络

4.1 openstack中网络概念

在openstack中，所有的网络服务都是由neutron实现。openstack官方对neutron中描述如下：

OpenStack网络（neutron）管理OpenStack环境中所有虚拟网络基础设施（VNI），物理网络基础设施（PNI）的接入层。OpenStack网络允许租户创建包括像 firewall， :term:`load balancer`和 :term:`virtual private network (×××)`等这样的高级虚拟网络拓扑。

网络服务提供网络，子网以及路由这些对象的抽象概念。每个抽象概念都有自己的功能，可以模拟对应的物理设备：网络包括子网，路由在不同的子网和网络间进行路由转发。

对于任意一个给定的网络都必须包含至少一个外部网络。不像其他的网络那样，外部网络不仅仅是一个定义的虚拟网络。相反，它代表了一种OpenStack安装之外的能从物理的，外部的网络访问的视图。外部网络上的IP地址可供外部网络上的任意的物理设备所访问

外部网络之外，任何 Networking 设置拥有一个或多个内部网络。这些软件定义的网络直接连接到虚拟机。仅仅在给定网络上的虚拟机，或那些在通过接口连接到相近路由的子网上的虚拟机，能直接访问连接到那个网络上的虚拟机。

如果外部网络想要访问实例或者相反实例想要访问外部网络，那么网络之间的路由就是必要的了。每一个路由都配有一个网关用于连接到外部网络，以及一个或多个连接到内部网络的接口。就像一个物理路由一样，子网可以访问同一个路由上其他子网中的机器，并且机器也可以访问路由的网关访问外部网络。

另外，你可以将外部网络的IP地址分配给内部网络的端口。不管什么时候一旦有连接连接到子网，那个连接被称作端口。你可以给实例的端口分配外部网络的IP地址。通过这种方式，外部网络上的实体可以访问实例.

neutron利用了linux重要网络技术，相关概念如下：

bridge：网桥，Linux中用于表示一个能连接不同网络设备的虚拟设备，linux中

传统实现的网桥类似一个hub设备，而ovs管理的网桥一般类似交换机。

br-int：bridge-integration，综合网桥，常用于表示实现主要内部网络功能的网

桥。

br-ex：bridge-external，外部网桥，通常表示负责跟外部网络通信的网桥。

GRE：General Routing Encapsulation，一种通过封装来实现隧道的方式。在

openstack中一般是基于L3的gre，即original pkt/GRE/IP/Ethernet

VETH：虚拟ethernet接口，通常以pair的方式出现，一端发出的网包，会被另

一端接收，可以形成两个网桥之间的通道。

qvb：neutron veth, Linux Bridge-side

qvo：neutron veth, OVS-side

TAP设备：模拟一个二层的网络设备，可以接受和发送二层网包。

TUN设备：模拟一个三层的网络设备，可以接受和发送三层网包。

iptables：Linux 上常见的实现安全策略的防火墙软件。

Vlan：虚拟 Lan，同一个物理 Lan 下用标签实现隔离，可用标号为1-4094。

VXLAN：一套利用 UDP 协议作为底层传输协议的 Overlay 实现。一般认为作

为 VLan 技术的延伸或替代者。

namespace：用来实现隔离的一套机制，不同 namespace 中的资源之间彼此

不可见。

Neutron管理下面的实体：

网络：隔离的 L2 域，可以是虚拟、逻辑或交换。

子网：隔离的 L3 域，IP 地址块。其中每个机器有一个 IP，同一个子网的主机彼此 L3 可见。

端口：网络上虚拟、逻辑或交换端口。 所有这些实体都是虚拟的，拥有自动生成的唯一标示id，支持CRUD功能，并在数据库中跟踪记录状态。

网络隔离的 L2 广播域，一般是创建它的用户所有。用户可以拥有多个网络。网络是最基础的，子网和端口都需要关联到网络上。网络上可以有多个子网。同一个网络上的主机一般可以通过交换机或路由器连通起来。

子网隔离的 L3 域，子网代表了一组分配了 IP 的虚拟机。每个子网必须有一个 CIDR 和关联到一个网络。IP 可以从 CIDR 或者用户指定池中选取。子网可能会有一个网关、一组 DNS 和主机路由。不同子网之间 L3 是互相不可见的，必须通过一个三层网关（即路由器）经过 L3 上进行通信。

端口可以进出流量的接口，往往绑定上若干 MAC 地址和 IP 地址，以进行寻址。一般为虚拟交换机上的虚拟接口。虚拟机挂载网卡到端口上，通过端口访问网络。当端口有 IP 的时候，意味着它属于某个子

逻辑概念如下图所示：

大致架构如下：（VLAN模式）

由于本次采用allinone的部署，控制节点和网络节点合并在一起，同时，测试环境下只有一个网卡。

4.2将neutron与外部网络连接

neuntron主要是通过br-ex与外部网络连接通讯

首先将/etc/sysconfig/network-scripts/ifcfg-ens192(实际情况物理网卡名称可能不同，如kvm中为eth0),复制为/etc/sysconfig/network-scripts/ifcfg-br-ex,

编辑/ etc / sysconfig / network-scripts / ifcfg-br-ex，重点修改如下内容

DEVICE=br-ex DEVICETYPE=ovs TYPE=OVSBridge BOOTPROTO=static IPADDR=172.31.208.100  # 这个ip地址就是ens01网卡的ip地址                     NETMASK=255.255.255.0   GATEWAY=192.168.122.1   DNS1=192.168.122.1     ONBOOT=yes

然后修改/etc/sysconfig/network-scripts/ifcfg-ens192

DEVICE=ens192 TYPE=OVSPort DEVICETYPE=ovs OVS_BRIDGE=br-ex ONBOOT=yes

完成修改保存后，重启网络服务

systemctl restart network

现在，使用Neutron创建外部网络。

. keystonerc_admin neutron net-create external_network --provider:network_type flat --provider:physical_network extnet  --router:external

然后我们就可以在openstack dashbord中看到创建好的外部网路

4.2 配置子网

    使用之间创建好的vdc_admin登陆，开始创建网络,名称为public

然后定义子网private_network网段为分配私网网段，192.168.1.0/24

下一步，定义子网dhcp地址范围和dns信息，这里不用添加主机路由

完成私网网络配置后，还需要配置一个路由器，虚拟机实例分配到私网地址后，通过该路由器进行snat到exernal网络，再到外部物理网络

然后点击新建的路由器router,添加接口

此时就完成了路由器的添加。

此时查看网络拓扑，如下所示：

可以看，虚拟网络public已经通过虚拟机路由器与外部网络是连通的了

配置完成，可以再命令行中验证创建的网络情况

另外有需要云服务器可以了解下创新互联cdcxhl.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。

文章名称：openstack-修改管理员密码与创建外部网路-创新互联
当前地址：http://azwzsj.com/article/ccdjis.html