手順2.1 Network Manager サービスの無効化

1. Network Manager が現在有効化されているかどうかを確認します。

   # systemctl status NetworkManager.service | grep Active:

   • Network Manager サービスが現在インストールされていない場合には、エラーが表示されます。このエラーが表示された場合には、この先の操作を実行して Network Manager サービスを無効にする必要はありません。
   • Network Manager が稼働している場合には、システムは Active: active (running) と表示し、稼働していない場合は Active: inactive (dead) と表示します。Networking Manager がアクティブでない場合には、この先の操作は必要ありません。
2. Network Manager が稼働している場合には、Networking Manager を停止してから無効化する必要があります。

   # systemctl stop NetworkManager.service
   # systemctl disable NetworkManager.service

3. システムの各インターフェースの設定ファイルをテキストエディターで開きます。インターフェースの設定ファイルは、/etc/sysconfig/network-scripts/ ディレクトリーにあり、ファイル名は ifcfg-X の形式です (X は、インターフェース名に置き換えます)。有効なインターフェース名には、eth0、p1p5、em1 などがあります。
   標準のネットワークサービスがインターフェースを制御して、ブート時に自動的にアクティブ化されるように、以下のキーが各インターフェースの設定ファイルで設定されているか確認して、設定されていない場合には手動で以下を追加します。

   NM_CONTROLLED=no
   ONBOOT=yes

4. 標準のネットワークサービスを起動します。

   # systemctl start network.service

5. ネットワークサービスがブート時に起動するように設定します。

   # systemctl enable network.service

手順2.2 firewalld サービスの無効化

1. iptables サービスをインストールします。

   # yum install iptables-services

2. /etc/sysconfig/iptables に定義されている iptables ルールを確認します。

   注記

   以下のコマンドで、現在の firewalld 設定を確認できます。

   # firewall-cmd --list-all

3. iptables ルールに問題がなければ、firewalld を無効化します。

   # systemctl disable firewalld.service

4. firewalld サービスを停止して、iptables サービスを起動します。

   # systemctl stop firewalld.service; systemctl start iptables.service; systemctl start ip6tables.service

5. iptables サービスがブート時に起動するようにを設定します。

   # systemctl enable iptables.service
   # systemctl enable ip6tables.service

手順2.3 データベースのトラフィックを許可するためのファイアウォール設定

1. テキストエディターで /etc/sysconfig/iptables ファイルを開きます。
2. このファイルに、ポート 3306 で TCP トラフィックを許可する INPUT ルールを追加します。新規ルールは、トラフィックを REJECT する INPUT ルールよりも前に記載する必要があります。

   -A INPUT -p tcp -m multiport --dports 3306 -j ACCEPT

3. /etc/sysconfig/iptables ファイルへの変更を保存します。
4. iptables サービスを再起動して、変更を有効にします。

   # systemctl restart iptables.service

手順2.4 データベースサービスの起動

1. mariadb サービスを起動します。

   # systemctl start mariadb.service

2. mariadb サービスがブート時に起動するように設定します。

   # systemctl enable mariadb.service

手順2.5 データベース管理者アカウントの設定

1. MariaDB サービスがインストールされているマシンにログインします。
2. mysql_secure_installation を使用して root パスワードの設定、リモートの root ログインの許可、匿名ユーザーアカウントおよびテストデータベースの削除を行います。

   # mysql_secure_installation

手順2.8 メッセージブローカーのトラフィックのファイアウォール設定

1. テキストエディターで /etc/sysconfig/iptables ファイルを開きます。
2. このファイルに、ポート 5672 で 受信接続を許可する INPUT ルールを追加します。新規ルールは、トラフィックを REJECT する INPUT ルールよりも前に記載する必要があります。

   -A INPUT -p tcp -m tcp --dport 5672  -j ACCEPT

3. /etc/sysconfig/iptables ファイルへの変更を保存します。
4. iptables サービスを再起動して、ファイアウォールの変更を有効にします。

   # systemctl restart iptables.service

手順2.9 RabbitMQ メッセージブローカーを OpenStack で使用するための起動および設定手順

1. rabbitmq-server サービスを立ち上げ、ブート時に起動するように設定します。

   # systemctl start rabbitmq-server.service
   # systemctl enable rabbitmq-server.service

2. rabbitmq-server パッケージのインストール時には、RabbitMQ サービスの guest ユーザーは、デフォルトの guest パスワードとともに自動的に作成されます。Red Hat では、特に IPv6 が利用可能な場合には、このデフォルトパスワードを変更することを強くお勧めします。IPv6 では、RabbitMQ はネットワーク外部からアクセスが可能となる場合があります。

   # rabbitmqctl change_password guest NEW_RABBITMQ_PASS

   NEW_RABBITMQ_PASS は、よりセキュアなパスワードに置き換えます。
3. Block Storage サービス、Compute サービス、OpenStack Networking、Orchestration サービス、Image サービス、Telemetry サービス用の RabbitMQ ユーザーアカウントを作成します。

   # rabbitmqctl add_user cinder CINDER_PASS
   # rabbitmqctl add_user nova NOVA_PASS
   # rabbitmqctl add_user neutron NEUTRON_PASS
   # rabbitmqctl add_user heat HEAT_PASS
   # rabbitmqctl add_user glance GLANCE_PASS
   # rabbitmqctl add_user ceilometer CEILOMETER_PASS

   CINDER_PASS、NOVA_PASS、NEUTRON_PASS、HEAT_PASS、GLANCE_PASS、CEILOMETER_PASS は、各サービスのセキュアなパスワードに置き換えてください。
4. これらの RabbitMQ ユーザーに、全リソースに対する読み取り/書き込みのパーミッションを付与します。

   # rabbitmqctl set_permissions cinder ".*" ".*" ".*"
   # rabbitmqctl set_permissions nova ".*" ".*" ".*"
   # rabbitmqctl set_permissions neutron ".*" ".*" ".*"
   # rabbitmqctl set_permissions heat ".*" ".*" ".*"
   # rabbitmqctl set_permissions glance ".*" ".*" ".*"
   # rabbitmqctl set_permissions ceilometer ".*" ".*" ".*"

手順2.10 RabbitMQ メッセージブローカーでの SSL の有効化

1. 必要な証明書を保管するためのディレクトリーを作成します。

   # mkdir /etc/pki/rabbitmq

2. 証明書用のセキュアなパスワードを選択して、/etc/pki/rabbitmq ディレクトリー内にファイル形式で保存します。

   # echo SSL_RABBITMQ_PW > /etc/pki/rabbitmq/certpw

   SSL_RABBITMQ_PW は、証明書のパスワードに置き換えます。このパスワードは、後で必要な証明書をさらにセキュリティー保護する際に使用します。
3. 証明書のディレクトリーとパスワードファイルのパーミッションを設定します。

   # chmod 700 /etc/pki/rabbitmq
   # chmod 600 /etc/pki/rabbitmq/certpw

4. /etc/pki/rabbitmq/certpw ファイル内のパスワードを使用して /etc/pki/rabbitmq ディレクトリーに証明書データベースファイル (*.db) を作成します。

   # certutil -N -d /etc/pki/rabbitmq -f /etc/pki/rabbitmq/certpw

5. 実稼働環境では、信頼のできるサードパーティーの証明局 (CA) を使用して証明書に署名することを推奨します。サードパーティーの CA には、証明書署名要求 (CSR) が必要となります。

   # certutil -R -d /etc/pki/rabbitmq -s "CN=RABBITMQ_HOST" \
    -a -f /etc/pki/rabbitmq/certpw > RABBITMQ_HOST.csr

   RABBITMQ_HOST は、RabbitMQ メッセージブローカーをホストするサーバーの IP アドレスまたはホスト名に置き換えます。このコマンドにより、RABBITMQ_HOST.csr という名前の CSR とキーファイル (keyfile.key) が生成されます。このキーファイルは、後で RabbitMQ メッセージブローカーが SSL を使用するように設定する際に使用します。

   注記

   一部の CA には、"CN=RABBITMQ_HOST" 以外の追加の値が必要な場合があります。
6. RABBITMQ_HOST.csr をサードパーティーの CA に提供して署名を受けます。CA は署名済みの証明書 (server.crt) と CA ファイル (ca.crt) を提供します。これらのファイルを証明書のデータベースに追加します。

   # certutil -A -d /etc/pki/rabbitmq -n RABBITMQ_HOST -f /etc/pki/rabbitmq/certpw \
    -t u,u,u -a -i /path/to/server.crt
   # certutil -A -d /etc/pki/rabbitmq -n "Your CA certificate" \
    -f /etc/pki/rabbitmq/certpw -t CT,C,C -a -i /path/to/ca.crt

7. RabbitMQ メッセージブローカーがセキュアな通信に証明書ファイルを使用するように設定します。テキストエディターで /etc/rabbitmq/rabbitmq.config の設定ファイルを開き、以下のようにrabbit のセクションを編集します。
   1. 以下の行を探します。

         %% {ssl_listeners, [5671]},

      パーセントの記号を削除して、設定をアンコメントします。

         {ssl_listeners, [5671]},

   2. 次に以下の行まで、下方向にスクロールします。

         %% {ssl_options, [{cacertfile,           "/path/to/testca/cacert.pem"},

      この行と、その次の ssl_options で構成される数行を、以下の内容に置き換えます。

         {ssl_options, [{cacertfile,           "/path/to/ca.crt"},
                        {certfile,             "/path/to/server.crt"},
                        {keyfile,              "/path/to/keyfile.key"},
                        {verify,               verify_peer},
                        {versions,             ['tlsv1.2','tlsv1.1',tlsv1]},
                        {fail_if_no_peer_cert, false}]}

      • /path/to/ca.crt は、CA 証明書への絶対パスに置き換えます。
      • /path/to/server.crt は、署名済みの証明書への絶対パスに置き換えます。
      • /path/to/keyfile.key はキーファイルへの絶対パスに置き換えます。
8. 特定の TLS 暗号化バージョンのみのサポートを含めるように rabbitmq.config を編集して、SSLv3 を無効化します。

   {rabbit, [
   {ssl_options, [{versions, ['tlsv1.2','tlsv1.1',tlsv1]}]},
   ]}

9. RabbitMQ サービスを再起動し、変更を有効にします。

   # systemctl restart rabbitmq-server.service

手順3.2 Identity サービスの SQL データベース接続の設定

• connection 設定キーの値を設定します。

  # openstack-config --set /etc/keystone/keystone.conf \
     sql connection mysql://USER:PASS@IP/DB

  以下の値を置き換えてください。

  • USER は、Identity サービスのデータベースのユーザー名 (通常は keystone) に置き換えます。
  • PASS は選択したデータベースユーザーのパスワードに置き換えます。
  • IP は、Identity サーバーの IP アドレスまたはホスト名に置き換えます。
  • DB は、Identity サービスのデータベースの名前 (通常は keystone) に置き換えます。

手順3.4 Identity サービスのトラフィックを許可するためのファイアウォール設定

1. テキストエディターで /etc/sysconfig/iptables ファイルを開きます。
2. このファイルに、ポート 5000 および 35357 で TCP トラフィックを許可する INPUT ルールを追加します。新規ルールは、トラフィックを REJECT する INPUT ルールよりも前に記載する必要があります。

   -A INPUT -p tcp -m multiport --dports 5000,35357 -j ACCEPT

3. /etc/sysconfig/iptables ファイルへの変更を保存します。
4. iptables サービスを再起動して、変更を有効にします。

   # systemctl restart iptables.service

手順3.5 Identity サービスのデータベースへのデータ投入

1. Identity サービスをホストするシステムにログインします。
2. keystone ユーザーに切り替え、/etc/keystone/keystone.conf で特定されているデータベースを初期化してデータを投入します。

   # su keystone -s /bin/sh -c "keystone-manage db_sync"

手順3.6 コレクション内のエンティティー数の制限

1. テキストエディターで /etc/keystone/keystone.conf を開きます。
2. [DEFAULT] セクションで list_limit を使用してグローバル値を設定します。
3. オプションで、個別のセクションで特定の制限を指定することで、このグローバル値を無効にすることができます。以下に例を示します。

   [assignment]
   list_limit = 100
   

手順4.3 Object Storage サービス用のアイデンティティーレコードの作成

1. Keystone に管理ユーザーとしてアクセスするためのシェルを設定します。

   # source ~/keystonerc_admin

2. swift ユーザーを作成します。

   [(keystone_admin)]# openstack user create --password PASSWORD swift
   +----------+----------------------------------+
   | Field    | Value                            |
   +----------+----------------------------------+
   | email    | None                             |
   | enabled  | True                             |
   | id       | 00916f794cec438ea7f14ee0769e6964 |
   | name     | swift                            |
   | username | swift                            |
   +----------+----------------------------------+

   PASSWORD は、Object Storageサービスが Identityサービスとの認証を行う際に使用するセキュアなパスワードに置き換えます。
3. services テナントのコンテキスト内で、swift ユーザーと admin ロールを関連付けます。

   [(keystone_admin)]# openstack role add --project services --user swift admin

4. swift Object Storage サービスのエントリーを作成します。

   [(keystone_admin)]# openstack service create --name swift \
       --description "Swift Storage Service" \
       object-store

5. swift エンドポイントエントリーを作成します。

   [(keystone_admin)]# openstack endpoint create \
       --publicurl 'http://IP:8080/v1/AUTH_%(tenant_id)s' \
       --adminurl 'http://IP:8080/v1' \
       --internalurl 'http://IP:8080/v1/AUTH_%(tenant_id)s' \
       --region RegionOne \
       swift

   IP は Object Storage のプロキシサービスをホストするサーバーの IP アドレスまたは完全修飾ドメイン名に置き換えます。

手順4.4 Object Storage サービスのストレージノードの設定

1. ext4 または XFS のファイルシステムでデバイスをフォーマットします。xattr を必ず有効化してください。
2. /etc/fstab ファイルにデバイスを追加して、ブート時には /srv/node/ の下にマウントされるようにします。blkid コマンドを使用して、デバイスの一意 ID を検索して、この一意の ID を使用してデバイスをマウントします。

   注記

   ext4 を使用する場合には、user_xattr オプションを指定してファイルシステムをマウントすることにより、拡張属性を有効化するようにしてください (XFS の場合は、拡張属性はデフォルトで有効化されます)。
3. 各ノードで実行中の各サービスが使用する TCP ポートを開くようにファイアウォールを設定します。サービスデフォルトでは、アカウントサービスはポート 6202、コンテナーサービスはポート 6201、オブジェクトサービスはポート 6200 を使用します。
   1. テキストエディターで /etc/sysconfig/iptables ファイルを開きます。
   2. アカウント、コンテナー、オブジェクトのサービスが使用するポートで TCP トラフィックを許可する INPUT ルールを追加します。この新規ルールは、reject-with icmp-host-prohibited よりも前に記載する必要があります。

      -A INPUT -p tcp -m multiport --dports 6200,6201,6202,873 -j ACCEPT

   3. /etc/sysconfig/iptables ファイルへの変更を保存します。
   4. iptables サービスを再起動して、ファイアウォールの変更を有効にします。

      # systemctl restart iptables.service

4. /srv/node/ のコンテンツの所有者を swift:swift に変更します。

   # chown -R swift:swift /srv/node/

5. /srv/node/ 配下の全ディレクトリーの SELinux コンテキストを正しく設定します。

   # restorecon -R /srv

6. /etc/swift/swift.conf ファイルにハッシュプレフィックスを追加します。

   # openstack-config --set /etc/swift/swift.conf swift-hash swift_hash_path_prefix \
      $(openssl rand -hex 10)

7. /etc/swift/swift.conf ファイルにハッシュサフィックスを追加します。

   # openstack-config --set /etc/swift/swift.conf swift-hash swift_hash_path_suffix \
      $(openssl rand -hex 10)

8. ストレージサービスがリッスンする IP アドレスを設定します。Object Storage クラスター内の全ノードにある全サービスに対して以下のコマンドを実行します。

   # openstack-config --set /etc/swift/object-server.conf \
      DEFAULT bind_ip NODE_IP_ADDRESS
   # openstack-config --set /etc/swift/account-server.conf \
      DEFAULT bind_ip NODE_IP_ADDRESS
   # openstack-config --set /etc/swift/container-server.conf \
      DEFAULT bind_ip NODE_IP_ADDRESS

   NODE_IP_ADDRESS は、設定するノードの IP アドレスに置き換えます。
9. 現在設定中のノードから全 Object Storage サービスノードに /etc/swift/swift.conf をコピーします。

   重要

   /etc/swift/swift.conf ファイルは、すべての Object Storage サービスノードで全く同じである必要があります。
10. ノードで実行するサービスを起動します。

    # systemctl start openstack-swift-account.service
    # systemctl start openstack-swift-container.service
    # systemctl start openstack-swift-object.service

11. サービスがブート時に起動するように設定します。

    # systemctl enable openstack-swift-account.service
    # systemctl enable openstack-swift-container.service
    # systemctl enable openstack-swift-object.service

手順4.5 Object Storage サービスのプロキシサービスの設定

1. 適切なサービスユーザーの正しい認証情報でプロキシーサーバーの設定ファイルを更新します。

   # openstack-config --set /etc/swift/proxy-server.conf \
         filter:authtoken auth_host IP
   # openstack-config --set /etc/swift/proxy-server.conf \
         filter:authtoken admin_tenant_name services
   # openstack-config --set /etc/swift/proxy-server.conf \
         filter:authtoken admin_user swift
   # openstack-config --set /etc/swift/proxy-server.conf \
         filter:authtoken admin_password PASSWORD

   以下の値を置き換えてください。

   • IP は、Identity サーバーの IP アドレスまたはホスト名に置き換えます。
   • services は、Object Storage サービス用に作成されたテナントの名前に置き換えます (上記の例では、この値を services に設定)。
   • swift は、Object Storage サービス用に作成されたサービスユーザーの名前に置き換えます (上記の例では、この値を swift に設定)。
   • PASSWORD は、サービスユーザーに関連付けられたパスワードに置き換えます。
2. memcached および openstack-swift-proxy サービスを起動します。

   # systemctl start memcached.service
   # systemctl start openstack-swift-proxy.service

3. memcached および openstack-swift-proxy サービスがブート時に起動するように設定します。

   # systemctl enable memcached.service
   # systemctl enable openstack-swift-proxy.service

4. Object Storage プロキシーサービスをホストするサーバーへの受信接続を許可します。テキストエディターで /etc/sysconfig/iptables ファイルを開き、ポート 8080 の TCP トラフィックを許可する INPUT ルールを追加します。新規ルールは、トラフィックを REJECT する INPUT ルールよりも前に記載するようにしてください。

   -A INPUT -p tcp -m multiport --dports 8080 -j ACCEPT

   重要

   上記のルールにより、全リモートホストから Swift プロキシーを実行するシステムへの通信がポート 8080 で許可されます。より制限の厳しいファイアウォールルールの作成についての説明は、『Red Hat Enterprise Linux セキュリティーガイド』を参照してください。

   https://access.redhat.com/site/documentation/ja-JP/Red_Hat_Enterprise_Linux/
5. iptables サービスを再起動して、変更を有効にします。

   # systemctl restart iptables.service

手順4.6 Object Storage サービスのリングファイルの構築

1. サービスごとに 1 リングを構築します。ビルダーファイル、partition power、レプリカ数、および パーティション再割り当ての最小間隔 を指定します。

   # swift-ring-builder /etc/swift/object.builder create part_power replica_count min_part_hours
   # swift-ring-builder /etc/swift/container.builder create part_power replica_count min_part_hours
   # swift-ring-builder /etc/swift/account.builder create part_power replica_count min_part_hours

2. リングが作成されたら、account リングにデバイスを追加します。

   # swift-ring-builder /etc/swift/account.builder add zX-SERVICE_IP:6202/dev_mountpt part_count

   以下の値を置き換えてください。
   • X は、指定したゾーンに対応する整数に置き換えます (例: z1 はゾーン 1 に対応)。
   • SERVICE_IP は、アカウント、コンテナー、オブジェクトのサービスがリッスンする必要のある IP アドレスに置き換えます。IP は、Object Storage サービスのストレージノードの設定中に指定した bind_ip の値と一致する必要があります。
   • dev_mountpt は、デバイスがマウントされる /srv/node のサブディレクトリーに置き換えます。
   • part_count は、partition power (パーティションのべき乗) の計算に使用した partition count (パーティション数) に置き換えます。

   注記

   上記の手順は、リングに追加する (クラスター内の各ノード上の) デバイスごとに繰り返してください。
3. container と object のリングの両方にデバイスを追加します。

   # swift-ring-builder /etc/swift/container.builder add zX-SERVICE_IP:6201/dev_mountpt part_count
   # swift-ring-builder /etc/swift/object.builder add zX-SERVICE_IP:6200/dev_mountpt part_count

   変数は前のステップで使用したのと同じ値に置き換えます。

   注記

   上記のコマンドは、リングに追加する (クラスター内の各ノード上の) デバイスごとに繰り返してください。
4. リング内の複数のデバイスにパーティションを分散します。

   # swift-ring-builder /etc/swift/account.builder rebalance
   # swift-ring-builder /etc/swift/container.builder rebalance
   # swift-ring-builder /etc/swift/object.builder rebalance

5. /etc/swift ディレクトリーにリングファイルが 3 つあるかどうかを確認します。次のコマンドを実行してください。

   # ls /etc/swift/*gz 

   これらのファイルは以下のように表示されるはずです。

   /etc/swift/account.ring.gz  /etc/swift/container.ring.gz  /etc/swift/object.ring.gz

6. openstack-swift-proxy サービスを再起動します。

   # systemctl restart openstack-swift-proxy.service

7. 前の手順で作成したばかりのファイルを含む、/etc/swift/ ディレクトリー内の全ファイルの所有権を root ユーザーと swift グループに設定します。

   重要

   マウントポイントはすべて root が所有し、マウント済みファイルシステムの全 root は swift が所有する必要があります。以下のコマンドを実行する前に、すべてのデバイスがすでにマウント済みで、それらを root が所有していることを確認してください。

   # chown -R root:swift /etc/swift

8. クラスター内の各ノードに各リングビルダーファイルをコピーして、 /etc/swift/ 配下に保管します。

手順5.2 Image サービスの SQL データベース接続の設定

1. glance-api.conf ファイルで sql_connection の設定キーの値を設定します。

   # openstack-config --set /etc/glance/glance-api.conf \
      DEFAULT sql_connection mysql://USER:PASS@IP/DB

   以下の値を置き換えてください。

   • USER は、Image サービスのデータベースのユーザー名 (通常は glance) に置き換えます。
   • PASS は選択したデータベースユーザーのパスワードに置き換えます。
   • IP は、データベースサービスをホストするシステムの IP アドレスまたはホスト名に置き換えます。
   • DB は、Image サービスのデータベースの名前 (通常は glance) に置き換えます。
2. glance-registry.conf ファイルで sql_connection の設定キーの値を設定します。

   # openstack-config --set /etc/glance/glance-registry.conf \
      DEFAULT sql_connection mysql://USER:PASS@IP/DB

   USER、PASS、IP、DB は、上記のステップで使用した値と同じ値に置き換えます。

手順5.3 Image サービス用のアイデンティティーレコードの作成

1. Keystone に管理ユーザーとしてアクセスするためのシェルを設定します。

   # source ~/keystonerc_admin

2. glance ユーザーを作成します。

   [(keystone_admin)]# openstack user create --password PASSWORD glance
   +----------+----------------------------------+
   | Field    | Value                            |
   +----------+----------------------------------+
   | email    | None                             |
   | enabled  | True                             |
   | id       | b1f665b15a7943ccb4668c9e78e98a7c |
   | name     | glance                           |
   | username | glance                           |
   +----------+----------------------------------+

   PASSWORD は、Image サービスが Identity サービスとの認証を行う際に使用するセキュアなパスワードに置き換えます。
3. services テナントのコンテキスト内で、glance ユーザーと admin ロールを関連付けます。

   [(keystone_admin)]# openstack role add --project services --user glance admin

4. glance の Image サービスのエントリーを作成します。

   [(keystone_admin)]# openstack service create --name glance \
           --description "Glance Image Service" \
           image

5. glance エンドポイントエントリーを作成します。

   [(keystone_admin)]#openstack endpoint create \
           --publicurl 'http://IP:9292' \ 
           --adminurl 'http://IP:9292' \  
           --internalurl 'http://IP:9292' \
           --region RegionOne \
           glance

   IP は、Image サービスをホストするサーバーの IP アドレスまたはホスト名に置き換えます。

手順5.4 Image サービスが Identity サービスを使用して認証を行うための設定

1. glance-api サービスを設定します。

   # openstack-config --set /etc/glance/glance-api.conf \
      paste_deploy flavor keystone
   # openstack-config --set /etc/glance/glance-api.conf \
      keystone_authtoken auth_host IP
   # openstack-config --set /etc/glance/glance-api.conf \
      keystone_authtoken auth_port 35357
   # openstack-config --set /etc/glance/glance-api.conf \
      keystone_authtoken auth_protocol http
   # openstack-config --set /etc/glance/glance-api.conf \      
      keystone_authtoken admin_tenant_name services
   # openstack-config --set /etc/glance/glance-api.conf \
      keystone_authtoken admin_user glance
   # openstack-config --set /etc/glance/glance-api.conf \
      keystone_authtoken admin_password PASSWORD

2. glance-registry サービスを設定します。

   # openstack-config --set /etc/glance/glance-registry.conf \
      paste_deploy flavor keystone
   # openstack-config --set /etc/glance/glance-registry.conf \
      keystone_authtoken auth_host IP
   # openstack-config --set /etc/glance/glance-registry.conf \
      keystone_authtoken auth_port 35357   
   # openstack-config --set /etc/glance/glance-registry.conf \
      keystone_authtoken auth_protocol http
   # openstack-config --set /etc/glance/glance-registry.conf \
      keystone_authtoken admin_tenant_name services
   # openstack-config --set /etc/glance/glance-registry.conf \
      keystone_authtoken admin_user glance
   # openstack-config --set /etc/glance/glance-registry.conf \
      keystone_authtoken admin_password PASSWORD

手順5.5 Image サービスが Object Storage サービスを使用するように設定する手順

1. default_store 設定キーを swift に設定します。

   # openstack-config --set /etc/glance/glance-api.conf \
      DEFAULT default_store swift

2. swift_store_auth_address 設定キーを Identity サービスのパブリックエンドポイントに設定します。

   # openstack-config --set /etc/glance/glance-api.conf \
      DEFAULT swift_store_auth_address http://IP:5000/v2.0/

3. Object Storage サービスでイメージを保管するコンテナーを追加します。

   # openstack-config --set /etc/glance/glance-api.conf \
      DEFAULT swift_store_create_container_on_put True

4. swift_store_user 設定キーは、認証に使用するテナントとユーザーが含まれるように、TENANT:USER: の形式で設定します。

   # openstack-config --set /etc/glance/glance-api.conf \
      DEFAULT swift_store_user services:swift

   • 本ガイドの手順に従って Object Storage をデプロイする場合には (上記のコマンド例に記載されているように)、上記の値をそれぞれ services テナントと swift ユーザーに置き換えてください。
   • 本ガイドの手順には従わずに Object Storage をデプロイする場合には、上記の値はその環境の適切な Object Storage テナントとユーザーに置き換える必要があります。
5. swift_store_key 設定キーを Object Storage サービスのデプロイ時に swift ユーザー用に指定したパスワードに設定します。

   # openstack-config --set /etc/glance/glance-api.conf \
      DEFAULT swift_store_key PASSWORD

手順5.6 Image サービスのトラフィックを許可するためのファイアウォール設定

1. テキストエディターで /etc/glance/glance-api.conf ファイルを開き、以下のパラメーターの前に付いているコメント文字を削除します。

   bind_host = 0.0.0.0
   bind_port = 9292

2. テキストエディターで /etc/sysconfig/iptables ファイルを開きます。
3. ポート 9292 で TCP トラフィックを許可する INPUT ルールを追加します。新規ルールは、トラフィックを REJECT する INPUT ルールよりも前に記載する必要があります。

   -A INPUT -p tcp -m multiport --dports 9292 -j ACCEPT

4. /etc/sysconfig/iptables ファイルへの変更を保存します。
5. iptables サービスを再起動して、変更を有効にします。

   # systemctl restart iptables.service

手順5.7 Image サービス (glance) が RabbitMQ メッセージブローカーを使用するための設定

1. RabbitMQ を通知機能として設定します。

   # openstack-config --set /etc/glance/glance-api.conf \
      DEFAULT notification_driver messaging

2. RabbitMQ のホスト名を設定します。

   # openstack-config --set /etc/glance/glance-api.conf \
      DEFAULT rabbit_host RABBITMQ_HOST

   RABBITMQ_HOST は、メッセージブローカーの IP アドレスまたはホスト名に置き換えます。
3. メッセージブローカーのポートを 5672 に設定します。

   # openstack-config --set /etc/glance/glance-api.conf \
      DEFAULT rabbit_port 5672

4. RabbitMQ の設定時に Image サービス用に作成した RabbitMQ ユーザー名とパスワードを設定します。

   # openstack-config --set /etc/glance/glance-api.conf \
      DEFAULT rabbit_userid glance
   # openstack-config --set /etc/glance/glance-api.conf \
      DEFAULT rabbit_password GLANCE_PASS

   glance および GLANCE_PASS は、Image サービス用に作成した RabbitMQ ユーザー名とパスワードに置き換えます。
5. RabbitMQ の起動時に、glance ユーザーに全リソースに対するパーミッションが付与されます。このアクセスは、特別に仮想ホスト / を介して行われます。Image サービスがこの仮想ホストに接続されるように設定します。

   # openstack-config --set /etc/glance/glance-api.conf \
      DEFAULT rabbit_virtual_host /

手順5.8 Image サービスのデータベースへのデータ投入

1. Image サービスをホストするシステムにログインします。
2. glance ユーザーに切り替えます。

   # su glance -s /bin/sh

3. /etc/glance/glance-api.conf および /etc/glance/glance-registry.conf で特定されているデータベースを初期化し、データを投入します。

   $ glance-manage db_sync

手順5.9 Image サービスと Compute サービスがローカルファイルシステムでイメージを送受信するための設定

1. openstack-nova-compute に要求される Image のファイルシステムメタデータを公開するための JSON ドキュメントを作成します。
2. Image サービスが JSON ドキュメントを使用するように設定します。
3. openstack-nova-compute が Image サービスによって提供されるファイルシステムメタデータを使用するように設定します。

手順5.12 テストディスクイメージのダウンロード

1. https://access.redhat.com に進み、自分のアカウント情報を使用して Red Hat カスタマーポータルにログインします。
2. メニューバーで ダウンロード をクリックします。
3. A-Z をクリックして、製品のダウンロードをアルファベット順に並べ替えます。
4. Red Hat Enterprise Linux をクリックして 製品のダウンロード ページにアクセスします。
5. KVM Guest Image のダウンロードリンクをクリックします。

手順5.13 Image サービスへのディスクイメージのアップロード

1. 設定済みユーザー (管理者アカウントは必要なし) として keystone にアクセスするシェルを設定します。

   # source ~/keystonerc_userName

2. ディスクイメージをインポートします。

   [(keystone_userName)]# glance image-create --name "NAME" \
           --is-public IS_PUBLIC \
           --disk-format DISK_FORMAT \
           --container-format CONTAINER_FORMAT \
           --file IMAGE

   以下の値を置き換えてください。
   • NAME は、ディスクイメージにより参照されるユーザー名に置き換えます。
   • IS_PUBLIC は true または false に置き換えます。
     • true: 全ユーザーがイメージを表示/使用することができます。
     • false: 管理者のみがイメージを表示/使用することができます。
   • DISK_FORMAT には、ディスクイメージの形式を指定します。有効な値には、aki、ami、ari、iso、qcow2、raw、vdi、vhd、vmdk が含まれます。仮想マシンディスクイメージの形式が不明な場合には、qemu-img info コマンドを使用してその形式の特定を試みます。
   • CONTAINER_FORMAT には、イメージのコンテナーの形式を指定します。イメージに関連した追加のメタデータが含まれる ovf や ami などのファイル形式でイメージがパッケージされていない限りは、コンテナーの形式は bare となります。
   • IMAGE は (アップロード用の) イメージファイルへのローカルパスに置き換えます。アップロードするイメージがローカルではアクセスできないが、リモートの URL でアクセスできる場合には、--file パラメーターの代わりに --location パラメーターで URL を指定します。イメージをオブジェクトストアにコピーするには --copy-from 引数も指定する必要があります。この引数を指定しない場合は、毎回必要に応じてリモートからイメージへアクセスされます。
   glance image-create の構文についての詳しい情報は、help ページを参照してください。

   [(keystone_userName)]# glance help image-create

   上記のコマンドの出力からイメージの一意名をメモしてください。
3. イメージが正常にアップロードされていることを確認します。

    [(keystone_userName)]# glance image-show IMAGE_ID
   +------------------+--------------------------------------+
   | Property         | Value                                |
   +------------------+--------------------------------------+
   | checksum         | 2f81976cae15c16ef0010c51e3a6c163     |
   | container_format | bare                                 |
   | created_at       | 2013-01-25T14:45:48                  |
   | deleted          | False                                |
   | disk_format      | qcow2                                |
   | id               | 0ce782c6-0d3e-41df-8fd5-39cd80b31cd9 |
   | is_public        | True                                 |
   | min_disk         | 0                                    |
   | min_ram          | 0                                    |
   | name             | RHEL 6.6                             |
   | owner            | b1414433c021436f97e9e1e4c214a710     |
   | protected        | False                                |
   | size             | 25165824                             |
   | status           | active                               |
   | updated_at       | 2013-01-25T14:45:50                  |
   +------------------+--------------------------------------+

   IMAGE_ID は、イメージの一意名に置き換えます。

手順6.2 Block Storage サービス用のアイデンティティーレコードの作成

1. Keystone に管理ユーザーとしてアクセスするためのシェルを設定します。

   # source ~/keystonerc_admin

2. cinder ユーザーを作成します。

   [(keystone_admin)]# openstack user create --password PASSWORD cinder
   +----------+----------------------------------+
   | Field    | Value                            |
   +----------+----------------------------------+
   | email    | None                             |
   | enabled  | True                             |
   | id       | cb4dafc849df4ea180e9e29346a29038 |
   | name     | cinder                           |
   | username | cinder                           |
   +----------+----------------------------------+

   PASSWORD は、Block Storage サービスが Identity サービスとの認証を行う際に使用するセキュアなパスワードに置き換えます。
3. services テナントのコンテキスト内で、cinder ユーザーと admin ロールを関連付けます。

   [(keystone_admin)]# openstack role add --project services --user cinder admin

4. cinder および cinderv2 Block Storage サービスエントリーを作成します。

   [(keystone_admin)]# openstack service create --name cinder \
           --description "Cinder Volume Service" \
           volume

5. cinder エンドポイントエントリーを作成します。

   [(keystone_admin)]# openstack endpoint create \
      --publicurl 'http://IP:8776/v1/%(tenant_id)s' \
      --adminurl 'http://IP:8776/v1/%(tenant_id)s' \
      --internalurl 'http://IP:8776/v1/%(tenant_id)s'\ 
      --region RegionOne \
      cinder

   IP は、Block Storage API サービス (openstack-cinder-api) をホストするシステムの IP アドレスまたはホスト名に置き換えます。複数の API サービスインスタンスをインストールして実行するには、各インスタンスの IP アドレスまたはホスト名を使用してこのステップを繰り返します。

手順6.3 Block Storage サービスが Identity サービスを使用して認証を行うための設定

1. 認証ストラテジーを keystone に設定します。

   # openstack-config --set /etc/cinder/cinder.conf \
      DEFAULT auth_strategy keystone

2. Block Storage サービスが使用する必要のある Identity サービスのホストを設定します。

   # openstack-config --set /etc/cinder/cinder.conf \
      keystone_authtoken auth_host IP

   IP は、Identity サービスをホストするシステムの IP アドレスまたはホスト名に置き換えます。
3. Block Storage サービスが正しいテナントとして認証を行うように設定します。

   # openstack-config --set /etc/cinder/cinder.conf \
      keystone_authtoken admin_tenant_name services

   services は、OpenStack Networking を使用するために作成したテナントの名前に置き換えます。本ガイドの例では、services を使用しています。
4. Block Storage サービスが cinder の管理ユーザーアカウントを使用して認証を行うように設定します。

   # openstack-config --set /etc/cinder/cinder.conf \
      keystone_authtoken admin_user cinder

5. Block Storage サービスが正しい cinder の管理ユーザーアカウントを使用するように設定します。

   # openstack-config --set /etc/cinder/cinder.conf \
      keystone_authtoken admin_password PASSWORD

   PASSWORD は、cinder ユーザーの作成時に設定したパスワードに置き換えます。

手順6.4 Block Storage サービスのトラフィックを許可するためのファイアウォール設定

1. テキストエディターで /etc/sysconfig/iptables ファイルを開きます。
2. このファイルに、ポート 3260 および 8776 で TCP トラフィックを許可する INPUT ルールを追加します。新規ルールは、トラフィックを REJECT する INPUT ルールよりも前に記載する必要があります。

   -A INPUT -p tcp -m multiport --dports 3260,8776 -j ACCEPT

3. /etc/sysconfig/iptables ファイルへの変更を保存します。
4. iptables サービスを再起動して、変更を有効にします。

   # systemctl restart iptables.service

手順6.5 Block Storage サービスが RabbitMQ メッセージブローカーを使用するための設定

1. RPC バックエンドとして RabbitMQ を設定します。

   # openstack-config --set /etc/cinder/cinder.conf \
      DEFAULT rpc_backend cinder.openstack.common.rpc.impl_kombu

2. RabbitMQ のホスト名を設定します。

   # openstack-config --set /etc/cinder/cinder.conf \
      DEFAULT rabbit_host RABBITMQ_HOST

   RABBITMQ_HOST は、メッセージブローカーの IP アドレスまたはホスト名に置き換えます。
3. メッセージブローカーのポートを 5672 に設定します。

   # openstack-config --set /etc/cinder/cinder.conf \
      DEFAULT rabbit_port 5672

4. RabbitMQ の設定時に Block Storage サービス用に作成した RabbitMQ ユーザー名とパスワードを設定します。

   # openstack-config --set /etc/cinder/cinder.conf \
      DEFAULT rabbit_userid cinder

   # openstack-config --set /etc/cinder/cinder.conf \
      DEFAULT rabbit_password CINDER_PASS

   cinder および CINDER_PASS は、Block Storage サービス用に作成された RabbitMQ ユーザー名とパスワードに置き換えます。
5. RabbitMQ の起動時に、cinder ユーザーに全リソースに対するパーミッションが付与されます。このアクセスは、特別に仮想ホスト / を介して行われます。Block Storage サービスがこの仮想ホストに接続されるように設定します。

   # openstack-config --set /etc/cinder/cinder.conf \
      DEFAULT rabbit_virtual_host /

1. メッセージブローカーとの SSL 通信を有効化します。

   # openstack-config --set /etc/cinder/cinder.conf \
    DEFAULT rabbit_use_ssl True
   # openstack-config --set /etc/cinder/cinder.conf \
    DEFAULT kombu_ssl_certfile /path/to/client.crt
   # openstack-config --set /etc/cinder/cinder.conf \
    DEFAULT kombu_ssl_keyfile /path/to/clientkeyfile.key

   以下の値を置き換えてください。
   • /path/to/client.crt はエクスポートされたクライアント証明書の絶対パスに置き換えます。
   • /path/to/clientkeyfile.key はエクスポートされたキーファイルの絶対パスに置き換えます。
2. 証明書がサードパーティーの認証局 (CA) によって署名されている場合には、次のコマンドを実行する必要もあります。

   # openstack-config --set /etc/cinder/cinder.conf \
    DEFAULT kombu_ssl_ca_certs /path/to/ca.crt

   /path/to/ca.crt は、サードパーティー CA によって提供された CA ファイルの絶対パスに置き換えます (詳細は 「RabbitMQ メッセージブローカーでの SSL の有効化」 を参照)。

手順6.6 Block Storage サービスのデータベースへのデータ投入

1. Block Storage サービスをホストするシステムにログインします。
2. cinder ユーザーに切り替えます。

   # su cinder -s /bin/sh

3. /etc/cinder/cinder.conf で特定されているデータベースを初期化し、データを投入します。

   $ cinder-manage db sync

手順6.7 openstack-cinder-volume で LVM ストレージをバックエンドとして使用するための設定

1. 物理ボリュームを作成します。

   # pvcreate DEVICE
      Physical volume "DEVICE" successfully created

   DEVICE は、有効かつ未使用のデバイスへのパスに置き換えます。以下はその例です。

   # pvcreate /dev/sdX

2. ボリュームグループを作成します。

   # vgcreate cinder-volumes DEVICE
      Volume group "cinder-volumes" successfully created

   DEVICE は、物理ボリュームの作成時に使用したデバイスへのパスに置き換えます。また、オプションとして、cinder-volumes を別の新規ボリュームグループ名に置き換えます。
3. volume_group 設定キーを、前のステップで作成したボリュームグループ名に設定します。

   # openstack-config --set /etc/cinder/cinder.conf \
      DEFAULT volume_group cinder-volumes

4. volume_driver 設定キーを cinder.volume.drivers.lvm.LVMISCSIDriver に設定することにより、LVM ストレージへのアクセスに正しいボリュームドライバーが使用されるようにします。

   # openstack-config --set /etc/cinder/cinder.conf \
      DEFAULT volume_driver cinder.volume.drivers.lvm.LVMISCSIDriver

手順6.8 SCSI ターゲットデーモンの設定

1. targetcli パッケージをインストールします。

   # yum install targetcli

2. target デーモンを起動し、ブート時に起動するように設定します。

   # systemctl start target.service
   # systemctl enable target.service

3. lioadm iSCSI ターゲットのユーザーランドツールを使用するようにボリュームサービスを設定します。

   # openstack-config --set /etc/cinder/cinder.conf \
      DEFAULT iscsi_helper lioadm

4. iSCSI デーモンがリッスンする必要のある正しい IP アドレスを設定します (ISCSIIP)。

   # openstack-config --set /etc/cinder/cinder.conf \
      DEFAULT iscsi_ip_address ISCSIIP

   ISCSI_IP は、openstack-cinder-volume サービスをホストするサーバーのホスト名または IP アドレスに置き換えます。

手順6.10 Block Storage サービスのインストールのローカルでの検証

1. 管理者ユーザーの識別と認証に使用する環境変数を読み込みます。

   # source ~/keystonerc_admin

2. このコマンドの出力としてエラーが何も返されないことを確認してください。

   # cinder list

3. ボリュームを作成します。

   # cinder create SIZE

   SIZE は、作成するボリュームのサイズを指定するギガバイト (GB) 単位の値に置き換えます。
4. ボリュームを削除します。

   # cinder delete ID

   ID は、ボリュームの作成時に返された識別子に置き換えます。

手順6.11 Block Storage サービスのインストールのリモートでの検証

1. python-cinderclient パッケージをインストールします。

   # yum install -y python-cinderclient

2. 管理者ユーザーの識別と認証に使用する環境変数を読み込みます。

   # source ~/keystonerc_admin

3. このコマンドの出力としてエラーが何も返されないことを確認してください。

   # cinder list

4. ボリュームを作成します。

   # cinder create SIZE

   SIZE は、作成するボリュームのサイズを指定するギガバイト (GB) 単位の値に置き換えます。
5. ボリュームを削除します。

   # cinder delete ID

   ID は、ボリュームの作成時に返された識別子に置き換えます。

手順7.2 OpenStack Networking データベースの作成

1. データベースサービスに接続します。

   # mysql -u root -p

2. 以下の名前のいずれかを指定してデータベースを作成します。

   • ML2 プラグインを使用する場合に、推奨されるデータベース名は neutron_ml2 です。
   • Open vSwitch プラグインを使用する場合に、推奨されるデータベース名は ovs_neutron です。
   • Linux Bridge プラグインを使用する場合に、推奨されるデータベース名は neutron_linux_bridge です。

   以下の例では ML2 用の neutron_ml2 データベースを作成します。

   mysql> CREATE DATABASE neutron_ml2 character set utf8;

3. neutron データベースユーザーを作成し、neutron_ml2 データベースへのアクセスを許可します。

   mysql> GRANT ALL ON neutron_ml2.* TO 'neutron'@'%' IDENTIFIED BY 'PASSWORD';
   mysql> GRANT ALL ON neutron_ml2.* TO 'neutron'@'localhost' IDENTIFIED BY 'PASSWORD';

   PASSWORD は、このユーザーとしてデータベースサーバーとの認証を行う際に使用するセキュアなパスワードに置き換えます。
4. データベースの特権をフラッシュして、設定が即時に反映されるようにします。

   mysql> FLUSH PRIVILEGES;

5. mysql クライアントを終了します。

   mysql> quit

手順7.3 OpenStack Networking SQL データベース接続の設定

1. connection 設定キーの値を設定します。

   # openstack-config --set /etc/neutron/plugin.ini \
      DATABASE sql_connection mysql://USER:PASS@IP/DB

   以下の値を置き換えてください。

   • USER は、OpenStack Networking データベースのユーザー名 (通常は neutron) に置き換えます。
   • PASS は選択したデータベースユーザーのパスワードに置き換えます。
   • IP は、データベースサーバーの IP アドレスまたはホスト名に置き換えます。
   • DB は、OpenStack Networking データベースの名前に置き換えます。

   重要

   この接続設定キーに指定する IP アドレスまたはホスト名は、OpenStack Networking データベースの作成時に OpenStack Networking データベースユーザーがアクセスを許可された IP アドレスまたはホスト名と一致する必要があります。また、データベースがローカルでホストされ、OpenStack Networking データベースの作成時に「localhost」へのアクセス権を付与した場合には、「localost」と入力する必要があります。
2. OpenStack Networking のデータベーススキーマをアップグレードします。

   # neutron-db-manage --config-file /usr/share/neutron/neutron-dist.conf \
      --config-file /etc/neutron/neutron.conf --config-file /etc/neutron/plugin.ini upgrade head

手順7.4 OpenStack Networking 用のアイデンティティーレコードの作成

1. Keystone に管理ユーザーとしてアクセスするためのシェルを設定します。

   # source ~/keystonerc_admin

2. neutron ユーザーを作成します。

   [(keystone_admin)]# openstack user create --password PASSWORD neutron
   +----------+----------------------------------+
   | Field    | Value                            |
   +----------+----------------------------------+
   | email    | None                             |
   | enabled  | True                             |
   | id       | 8f0d819a4ae54bf9b12d01d0fb095805 |
   | name     | neutron                          |
   | username | neutron                          |
   +----------+----------------------------------+

   PASSWORD は、OpenStack Networking が Identity サービスとの認証を行う際に使用するセキュアなパスワードに置き換えます。
3. services テナントのコンテキスト内で、neutron ユーザーと admin ロールを関連付けます。

   [(keystone_admin)]# openstack role add --project services --user neutron admin

4. neutron の OpenStack Networking サービスのエントリーを作成します。

   [(keystone_admin)]# openstack service create --name neutron \
      --description "OpenStack Networking" \
      network

5. neutron のエンドポイントエントリーを作成します。

   [(keystone_admin)]# openstack endpoint create
      --publicurl 'http://IP:9696' \
      --adminurl 'http://IP:9696' \
      --internalurl 'http://IP:9696' \
      --region RegionOne \
      neutron

   IP は、OpenStack Networking ノードとして機能するサーバーの IP アドレスまたはホスト名に置き換えます。

手順7.5 OpenStack Networking サービスが Identity サービスを使用して認証を行うための設定

1. 認証ストラテジーを keystone に設定します。

   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT auth_strategy keystone

2. OpenStack Networking が使用する必要のある Identity サービスのホストを設定します。

   # openstack-config --set /etc/neutron/neutron.conf \
      keystone_authtoken auth_host IP

   IP は、Identity サービスをホストするシステムの IP アドレスまたはホスト名に置き換えます。
3. OpenStack Networking が正しいテナントとして認証を行うように設定します。

   # openstack-config --set /etc/neutron/neutron.conf \
      keystone_authtoken admin_tenant_name services

   services は、OpenStack Networking を使用するために作成したテナントの名前に置き換えます。本ガイドの例では、services を使用しています。
4. OpenStack Networking が neutron の管理ユーザーアカウントを使用して認証を行うように設定します。

   # openstack-config --set /etc/neutron/neutron.conf \
      keystone_authtoken admin_user neutron

5. OpenStack Networking が neutron の管理ユーザーアカウントのパスワードを使用して認証を行うように設定します。

   # openstack-config --set /etc/neutron/neutron.conf \
      keystone_authtoken admin_password PASSWORD

   PASSWORD は、neutron ユーザーの作成時に設定したパスワードに置き換えます。

手順7.6 OpenStack Networking のトラフィックを許可するためのファイアウォール設定

1. テキストエディターで /etc/sysconfig/iptables ファイルを開きます。
2. ポート 9696 で TCP トラフィックを許可する INPUT ルールを追加します。新規ルールは、トラフィックを REJECT する INPUT ルールよりも前に記載する必要があります。

   -A INPUT -p tcp -m multiport --dports 9696 -j ACCEPT

3. /etc/sysconfig/iptables ファイルへの変更を保存します。
4. iptables サービスを再起動して、変更を有効にします。

   # systemctl restart iptables.service

手順7.7 OpenStack Networking サービスが RabbitMQ メッセージブローカーを使用するための設定

1. RPC バックエンドとして RabbitMQ を設定します。

   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT rpc_backend neutron.openstack.common.rpc.impl_kombu

2. OpenStack Networking が RabbitMQ ホストに接続するように設定します。

   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT rabbit_host RABBITMQ_HOST

   RABBITMQ_HOST は、メッセージブローカーの IP アドレスまたはホスト名に置き換えます。
3. メッセージブローカーのポートを 5672 に設定します。

   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT rabbit_port 5672

4. RabbitMQ の設定時に OpenStack Networking 用に作成した RabbitMQ ユーザー名とパスワードを設定します。

   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT rabbit_userid neutron
   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT rabbit_password NEUTRON_PASS

   neutron および NEUTRON_PASS は、OpenStack Networking 用に作成した RabbitMQ ユーザー名とパスワードに置き換えます。
5. RabbitMQ の起動時に、neutron ユーザーに全リソースに対するパーミッションが付与されます。このアクセスは、特別に仮想ホスト / を介して行われます。Networking サービスがこの仮想ホストに接続されるように設定します。

   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT rabbit_virtual_host /

手順7.8 OpenStack Networking と RabbitMQ メッセージブローカーとの間の SSL 通信の有効化

1. メッセージブローカーとの SSL 通信を有効化します。

   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT rabbit_use_ssl True
   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT kombu_ssl_certfile /path/to/client.crt
   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT kombu_ssl_keyfile /path/to/clientkeyfile.key

   以下の値を置き換えてください。
   • /path/to/client.crt はエクスポートされたクライアント証明書の絶対パスに置き換えます。
   • /path/to/clientkeyfile.key はエクスポートされたキーファイルの絶対パスに置き換えます。
2. 証明書がサードパーティーの認証局 (CA) によって署名されている場合には、次のコマンドを実行する必要もあります。

   # openstack-config --set /etc/neutron/neutron.conf \
    DEFAULT kombu_ssl_ca_certs /path/to/ca.crt

   /path/to/ca.crt は、サードパーティー CA によって提供された CA ファイルの絶対パスに置き換えます (詳細は 「RabbitMQ メッセージブローカーでの SSL の有効化」 を参照)。

手順7.9 OpenStack Networking が Compute サービスとネットワークトポロジーの変更について通信するように設定する手順

1. OpenStack Networking がコンピュートコントローラーノードに接続されるように設定します。

   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT nova_url http://CONTROLLER_IP:8774/v2

   CONTROLLER_IP は、コンピュートコントローラーノードの IP アドレスまたはホスト名に置き換えます。
2. nova ユーザーのユーザー名、パスワード、テナントを設定します。

   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT nova_admin_username nova
   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT nova_admin_tenant_id TENANT_ID
   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT nova_admin_password PASSWORD

   TENANT_ID は Compute サービスで使用するために作成したテナントの一意識別子に、PASSWORD は nova ユーザーの作成時に設定したパスワードに置き換えます。
3. 管理者権限で、OpenStack Networking がコンピュートコントローラーノードに接続されるように設定します。

   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT nova_admin_auth_url http://CONTROLLER_IP:35357/v2.0

   CONTROLLER_IP は、コンピュートコントローラーノードの IP アドレスまたはホスト名に置き換えます。
4. OpenStack Networking がコンピュートコントローラーノードに対応する正しいリージョンを使用するように設定します。

   # openstack-config --set /etc/neutron/neutron.conf \
      DEFAULT nova_region_name RegionOne

手順7.12 Open vSwitch プラグインエージェントの設定

1. openvswitch サービスを起動します。

   # systemctl start openvswitch.service

2. openvswitch サービスがブート時に起動するように設定します。

   # systemctl enable openvswitch.service

3. Open vSwitch エージェントを実行する各ホストには、プライベートのネットワークトラフィックに使用される br-int という名前の Open vSwitch ブリッジも必要です。このブリッジは自動的に作成されます。

   警告

   br-int ブリッジは、このエージェントが正しく機能するために必要です。br-int ブリッジは、作成後に、削除したり変更したりしないでください。
4. bridge_mappings 設定キーの値を、物理ネットワークとそれらに関連付けられたネットワークブリッジ (コンマ区切りリスト) に設定します。

   # openstack-config --set /etc/neutron/plugins/ml2/openvswitch_agent.ini \
      ovs bridge_mappings PHYSNET:BRIDGE

   PHYSNET は物理ネットワークの名前に、BRIDGE はネットワークブリッジの名前に置き換えます。
5. neutron-openvswitch-agent サービスを起動します。

   # systemctl start neutron-openvswitch-agent.service

6. neutron-openvswitch-agent サービスがブート時に起動するように設定します。

   # systemctl enable neutron-openvswitch-agent.service

7. neutron-ovs-cleanup サービスがブート時に起動するように設定します。このサービスを使用することで、OpenStack Networking エージェントが tap デバイスの作成と管理を完全に制御できるようにします。

   # systemctl enable neutron-ovs-cleanup.service

手順8.1 Compute の VNC プロキシーパッケージのインストール

• VNC プロキシーのユーティリティーとコンソール認証サービスをインストールします。
  • yum コマンドで openstack-nova-novncproxy パッケージをインストールします。

    # yum install -y openstack-nova-novncproxy

  • yum コマンドで openstack-nova-console パッケージをインストールします。

    # yum install -y openstack-nova-console

手順8.2 Compute の VNC プロキシーのトラフィックを許可するためのファイアウォール設定

1. /etc/sysconfig/iptables ファイルを編集して、-A INPUT -i lo -j ACCEPT の行の下に以下の新しい行を追加します。この行は、-A INPUT -j REJECT ルールの上に配置するようにしてください。

   -A INPUT -m state --state NEW -m tcp -p tcp --dport 6080 -j ACCEPT

2. ファイルを保存してエディターを終了します。

• 同様に、openstack-nova-xvpvncproxy サービスを使用する場合には、以下の新しい行を同じ場所に追加して、TCP ポート 6081 のトラフィックを有効にします。

  -A INPUT -m state --state NEW -m tcp -p tcp --dport 6081 -j ACCEPT

手順8.3 Compute サービスのデータベースの作成

1. データベースサービスに接続します。

   # mysql -u root -p

2. nova データベースを作成します。

   mysql> CREATE DATABASE nova;

3. nova データベースユーザーを作成し、nova データベースへのユーザーアクセスを許可します。

   mysql> GRANT ALL ON nova.* TO 'nova'@'%' IDENTIFIED BY 'PASSWORD';

   mysql> GRANT ALL ON nova.* TO 'nova'@'localhost' IDENTIFIED BY 'PASSWORD';

   PASSWORD は、このユーザーとしてデータベースサーバーとの認証を行う際に使用するセキュアなパスワードに置き換えます。
4. データベースの特権をフラッシュして、設定が即時に反映されるようにします。

   mysql> FLUSH PRIVILEGES;

5. mysql クライアントを終了します。

   mysql> quit

手順8.4 Compute サービスの SQL データベース接続の設定

• sql_connection 設定キーの値を設定します。

  # openstack-config --set /etc/nova/nova.conf \
     DEFAULT sql_connection mysql://USER:PASS@IP/DB

  以下の値を置き換えてください。

  • USER は、Compute サービスのデータベースのユーザー名 (通常は nova) に置き換えます。
  • PASS は選択したデータベースユーザーのパスワードに置き換えます。
  • IP は、Identity サーバーの IP アドレスまたはホスト名に置き換えます。
  • DB は、Compute サービスのデータベースの名前 (通常は nova) に置き換えます。

手順8.5 Compute サービス用のアイデンティティーレコードの作成

1. Keystone に管理ユーザーとしてアクセスするためのシェルを設定します。

   # source ~/keystonerc_admin

2. compute ユーザーを作成します。

   [(keystone_admin)]# openstack user create --password PASSWORD compute
   +----------+----------------------------------+
   | Field    | Value                            |
   +----------+----------------------------------+
   | email    | None                             |
   | enabled  | True                             |
   | id       | 421665cdfaa24f93b4e904c81ff702ad |
   | name     | compute                          |
   | username | compute                          |
   +----------+----------------------------------+

   PASSWORD は、Compute サービスが Identity サービスとの認証を行う際に使用するセキュアなパスワードに置き換えます。
3. services テナントのコンテキスト内で、compute ユーザーと admin ロールを関連付けます。

   [(keystone_admin)]# openstack role add --project services --user compute admin

4. compute サービスエントリーを作成します。

   [(keystone_admin)]# openstack service create --name compute \
      --description "OpenStack Compute Service" \
      compute

5. compute エンドポイントエントリーを作成します。

   [(keystone_admin)]# openstack endpoint create \
      --publicurl "http://IP:8774/v2/%(tenant_id)s" \
      --adminurl "http://IP:8774/v2/%(tenant_id)s" \
      --internalurl "http://IP:8774/v2/%(tenant_id)s" \
      --region RegionOne \
      compute

   IP は、Compute API サービスをホストするシステムの IP アドレスまたはホスト名に置き換えます。

手順8.6 Compute サービスが Identity サービスを使用して認証を行うための設定

1. 認証ストラテジーを keystone に設定します。

   # openstack-config --set /etc/nova/nova.conf \
      DEFAULT auth_strategy keystone

2. Compute サービスが使用する必要のある Identity サービスのホストを設定します。

   # openstack-config --set /etc/nova/api-paste.ini \
      filter:authtoken auth_host IP

   IP は、Identity サービスをホストするシステムの IP アドレスまたはホスト名に置き換えます。
3. Compute サービスが正しいテナントとして認証を行うように設定します。

   # openstack-config --set /etc/nova/api-paste.ini \
      filter:authtoken admin_tenant_name services

   services は、Compute サービスを使用するために作成したテナントの名前に置き換えます。本ガイドの例では、services を使用しています。
4. Compute サービスが compute 管理ユーザーアカウントを使用して認証を行うように設定します。

   # openstack-config --set /etc/nova/api-paste.ini \
      filter:authtoken admin_user compute

5. Compute サービスが正しい compute 管理ユーザーアカウントのパスワードを使用するように設定します。

   # openstack-config --set /etc/nova/api-paste.ini \
      filter:authtoken admin_password PASSWORD

   PASSWORD は、compute ユーザーの作成時に設定したパスワードに置き換えます。

手順8.7 Copute サービスのトラフィックを許可するためのファイアウォール設定

1. テキストエディターで /etc/sysconfig/iptables ファイルを開きます。
2. ファイルに以下の行を追記して、5900 から 5999 までの範囲内のポートで TCP トラフィックを許可する INPUT ルールを追加します。新規ルールは、トラフィックを REJECT する INPUT ルールの前に追加する必要があります。

   -A INPUT -p tcp -m multiport --dports 5900:5999 -j ACCEPT

3. このファイルに、ポート 8774 で TCP トラフィックを許可する INPUT ルールを追加します。新規ルールは、トラフィックを REJECT する INPUT ルールよりも前に記載する必要があります。

   -A INPUT -p tcp -m multiport --dports 8774 -j ACCEPT

4. /etc/sysconfig/iptables ファイルへの変更を保存します。
5. iptables サービスを再起動して、変更を有効にします。

   # systemctl restart iptables.service

手順8.8 Compute サービスが RabbitMQ メッセージブローカーを使用するための設定

1. RPC バックエンドとして RabbitMQ を設定します。

   # openstack-config --set /etc/nova/nova.conf \
      DEFAULT rpc_backend rabbit

2. Compute サービスが RabbitMQ ホストに接続するように設定します。

   # openstack-config --set /etc/nova/nova.conf \
      DEFAULT rabbit_host RABBITMQ_HOST

   RABBITMQ_HOST は、メッセージブローカーの IP アドレスまたはホスト名に置き換えます。
3. メッセージブローカーのポートを 5672 に設定します。

   # openstack-config --set /etc/nova/nova.conf \
      DEFAULT rabbit_port 5672

4. RabbitMQ の設定時に Compute サービス用に作成した RabbitMQ ユーザー名とパスワードを設定します。

   # openstack-config --set /etc/nova/nova.conf \
      DEFAULT rabbit_userid nova
   # openstack-config --set /etc/nova/nova.conf \
      DEFAULT rabbit_password NOVA_PASS

   nova および NOVA_PASS は、Compute サービス用に作成したRabbitMQ ユーザー名とパスワードに置き換えます。
5. RabbitMQ の起動時に、nova ユーザーに全リソースに対するパーミッションが付与されます。このアクセスは、特別に仮想ホスト / を介して行われます。Compute サービスがこの仮想ホストに接続されるように設定します。

   # openstack-config --set /etc/nova/nova.conf \
      DEFAULT rabbit_virtual_host /

手順8.9 Compute サービスと RabbitMQ メッセージブローカーとの間の SSL 通信の有効化

1. メッセージブローカーとの SSL 通信を有効化します。

   # openstack-config --set /etc/nova/nova.conf \
      DEFAULT rabbit_use_ssl True
   # openstack-config --set /etc/nova/nova.conf \
      DEFAULT kombu_ssl_certfile /path/to/client.crt
   # openstack-config --set /etc/nova/nova.conf \
      DEFAULT kombu_ssl_keyfile /path/to/clientkeyfile.key

   以下の値を置き換えてください。
   • /path/to/client.crt はエクスポートされたクライアント証明書の絶対パスに置き換えます。
   • /path/to/clientkeyfile.key はエクスポートされたキーファイルの絶対パスに置き換えます。
2. 証明書がサードパーティーの認証局 (CA) によって署名されている場合には、次のコマンドを実行する必要もあります。

   # openstack-config --set /etc/nova/nova.conf \
      DEFAULT kombu_ssl_ca_certs /path/to/ca.crt

   /path/to/ca.crt は、サードパーティー CA によって提供された CA ファイルの絶対パスに置き換えます (詳細は 「RabbitMQ メッセージブローカーでの SSL の有効化」 を参照)。

手順8.11 Compute サービスのデータベースへのデータ投入

1. openstack-nova-conductor サービスのインスタンスをホストしているシステムにログインします。
2. nova ユーザーに切り替えます。

   # su nova -s /bin/sh

3. /etc/nova/nova.conf で特定されているデータベースを初期化し、データを投入します。

   $ nova-manage db sync

手順8.12 Compute サービスの起動

1. Libvirt を使用するには、messagebus を有効化して実行する必要があります。サービスを起動します。

   # systemctl start messagebus.service

2. Compute サービスを使用するには、libvirtd サービスを有効化して実行する必要があります。

   # systemctl start libvirtd.service
   # systemctl enable libvirtd.service

3. API のインスタンスをホストする各システムで API サービスを起動します。各 API インスタンスは、Identity サービスのデータベースで定義された独自のエンドポイントが設定されているか、エンドポイントとしての機能を果たすロードバランサーによってポイントされる必要がある点に注意してください。サービスを起動してブート時に起動するように設定します。

   # systemctl start openstack-nova-api.service
   # systemctl enable openstack-nova-api.service

4. スケジューラーのインスタンスをホストする各システムでスケジューラーを起動します。サービスを起動して、ブート時に起動するように設定します。

   # systemctl start openstack-nova-scheduler.service
   # systemctl enable openstack-nova-scheduler.service

5. コンダクターのインスタンスをホストする各システムでコンダクターを起動します。コンピュートノードからデータベースへの直接のアクセスを制限することによるセキュリティー上のメリットがなくってしまうので、このサービスは、すべてのコンピュートノードでは実行しないことを推奨している点に注意してください。サービスを起動して、ブート時に起動するように設定します。

   # systemctl start openstack-nova-conductor.service
   # systemctl enable openstack-nova-conductor.service

6. 仮想マシンインスタンスをホストする予定の全システムで Compute サービスを起動します。サービスを起動して、ブート時に起動するように設定します。

   # systemctl start openstack-nova-compute.service
   # systemctl enable openstack-nova-compute.service

7. 環境設定によっては、以下のようなサービスも起動する必要がある場合があります。

   openstack-nova-cert

   Compute サービスに対して EC2 API を使用する場合に必要とされる X509 証明書サービス

   注記

   Compute サービスに対して EC2 API を使用する場合は、nova.conf 設定ファイルでオプションを設定する必要があります。詳しい説明は、『Red Hat OpenStack Platform Configuration Reference Guide』の「Configuring the EC2 API」の項を参照してください。このガイドは以下のリンクから入手できます。

   https://access.redhat.com/site/documentation/ja/Red_Hat_Enterprise_Linux_OpenStack_Platform

   openstack-nova-network

   Nova ネットワーキングサービス。OpenStack Networking がインストール/設定済みの場合、またはこれからインストール/設定する予定の場合には、このサービスは起動してはならない点に注意してください。

   openstack-nova-objectstore

   Nova オブジェクトストレージサービス。新規デプロイメントには、Object Storage サービス (Swift) の使用が推奨されます。

手順9.1 Orchestration サービスのデータベースの接続の設定

1. データベースサービスに接続します。

   # mysql -u root -p

2. heat データベースを作成します。

   mysql> CREATE DATABASE heat;

3. heat という名前のデータベースユーザーを作成して、heat データベースへのアクセスを許可します。

   mysql> GRANT ALL ON heat.* TO 'heat'@'%' IDENTIFIED BY 'PASSWORD';
   mysql> GRANT ALL ON heat.* TO 'heat'@'localhost' IDENTIFIED BY 'PASSWORD';

   PASSWORD は、このユーザーとしてデータベースサーバーとの認証を行う際に使用するセキュアなパスワードに置き換えます。
4. データベースの特権をフラッシュして、設定が即時に反映されるようにします。

   mysql> FLUSH PRIVILEGES;

5. mysql クライアントを終了します。

   mysql> quit

6. sql_connection 設定キーの値を設定します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT sql_connection mysql://heat:PASSWORD@IP/heat

   以下の値を置き換えてください。
   • PASSWORD は heat データベースユーザーのパスワードに置き換えます。
   • IP は、Identity サーバーの IP アドレスまたはホスト名に置き換えます。
7. heat ユーザーとしてデータベースを同期します。

   # runuser -s /bin/sh heat -c "heat-manage db_sync"

手順9.2 Orchestration サービス用のアイデンティティーレコードの作成

1. Keystone に管理ユーザーとしてアクセスするためのシェルを設定します。

   # source ~/keystonerc_admin

2. heat ユーザーを作成します。

   [(keystone_admin)]# openstack user create --password PASSWORD heat
   +----------+----------------------------------+
   | Field    | Value                            |
   +----------+----------------------------------+
   | email    | None                             |
   | enabled  | True                             |
   | id       | 5902673a8d3a4552b813dff31717476b |
   | name     | heat                             |
   | username | heat                             |
   +----------+----------------------------------+

   PASSWORD は、Orchestration サービスが Identity サービスとの認証を行う際に使用するセキュアなパスワードに置き換えます。
3. services テナントのコンテキスト内で、heat ユーザーと admin ロールを関連付けます。

   [(keystone_admin)]# openstack role add --project services --user heat admin

4. heat および heat-cfn のサービスエントリーを作成します。

   [(keystone_admin)]# openstack service create --name heat orchestration
   [(keystone_admin)]# openstack service create --name heat-cfn cloudformation

5. heat および heat-cfn のサービス用のエンドポイントエントリーを作成します。

   [(keystone_admin)]# openstack endpoint create \
      --publicurl 'HEAT_CFN_IP:8000/v1' \
      --adminurl 'HEAT_CFN_IP:8000/v1' \
      --internalurl 'HEAT_CFN_IP:8000/v1' \
      --region RegionOne \
      heat-cfn
   [(keystone_admin)]# openstack endpoint create \
      --publicurl 'HEAT_IP:8004/v1/%(tenant_id)s' \
      --adminurl 'HEAT_IP:8004/v1/%(tenant_id)s' \
      --internalurl 'HEAT_IP:8004/v1/%(tenant_id)s' \
      --region RegionOne \
      heat

   以下の値を置き換えてください。
   • HEAT_CFN_IP は、heat-cfn サービスをホストするシステムの IP アドレスまたはホスト名に置き換えます。
   • HEAT_IP は、heat サービスをホストするシステムの IP アドレスまたはホスト名に置き換えます。

   重要

   HEAT_CFN_IP および HEAT_IP の値には、http:// プレフィックスを付けます。

手順9.4 Orchestration サービスが Identity サービスを使用して認証を行うための設定

1. Orchestration サービスが正しいテナントとして認証を行うように設定します。

   # openstack-config --set /etc/heat/heat.conf \
      keystone_authtoken admin_tenant_name services

   services は、Orchestration サービスを使用するために作成したテナントの名前に置き換えます。本ガイドの例では、services を使用しています。
2. Orchestration サービスが heat 管理ユーザーアカウントを使用して認証を行うように設定します。

   # openstack-config --set /etc/heat/heat.conf \
      keystone_authtoken admin_user heat

3. Orchestration サービスが正しい heat 管理ユーザーアカウントパスワードを使用するように設定します。

   # openstack-config --set /etc/heat/heat.conf \
      keystone_authtoken admin_password PASSWORD

   PASSWORD は、heat ユーザーの作成時に設定したパスワードに置き換えます。
4. Orchestration サービスが使用する必要のある Identity サービスのホストを設定します。

   # openstack-config --set /etc/heat/heat.conf \
      keystone_authtoken service_host KEYSTONE_HOST
   # openstack-config --set /etc/heat/heat.conf \
      keystone_authtoken auth_host KEYSTONE_HOST 
   # openstack-config --set /etc/heat/heat.conf \	
      keystone_authtoken auth_uri http://KEYSTONE_HOST:35357/v2.0
   # openstack-config --set /etc/heat/heat.conf \	
      keystone_authtoken keystone_ec2_uri http://KEYSTONE_HOST:35357/v2.0

   KEYSTONE_HOST は、Identity サービスをホストするサーバーの IP アドレスまたはホスト名に置き換えます。Identity サービスが同じシステムでホストされている場合には、127.0.0.1 を使用してください。
5. 仮想マシンインスタンスの接続先となる heat-api-cfn および heat-api-cloudwatch のサービスのホスト名を設定します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT heat_metadata_server_url HEAT_CFN_HOST:8000
   # openstack-config --set /etc/heat/heat.conf \	
      DEFAULT heat_waitcondition_server_url HEAT_CFN_HOST:8000/v1/waitcondition
   # openstack-config --set /etc/heat/heat.conf \	
      DEFAULT heat_watch_server_url HEAT_CLOUDWATCH_HOST:8003

   以下の値を置き換えてください。
   • HEAT_CFN_HOST は、heat-api-cfn サービスをホストするサーバーの IP アドレスまたはホスト名に置き換えます。
   • HEAT_CLOUDWATCH_HOST は、heat-api-cloudwatch サービスをホストするサーバーの IP アドレスまたはホスト名に置き換えます。

   重要

   全サービスが同じシステム上でホストされている場合でも、127.0.0.1 はどのサービスホスト名にも使用しないでください。この IP アドレスは、各インスタンスのローカルホストを参照するので、そのインスタンスが実際のサービスに到達できなくなります。
6. アプリケーションテンプレートは、オーケストレーションに WaitCondition とシグナル送信を使用します。進捗データを受信するユーザーの Identity ロールを定義してください。デフォルトでは、このロールは heat_stack_user です。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT heat_stack_user_role heat_stack_user

手順9.5 Orchestration サービスが RabbitMQ メッセージブローカーを使用するための設定

1. RPC バックエンドとして RabbitMQ を設定します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT rpc_backend heat.openstack.common.rpc.impl_kombu

2. Orchestration サービスが RabbitMQ ホストに接続するように設定します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT rabbit_host RABBITMQ_HOST

   RABBITMQ_HOST は、メッセージブローカーの IP アドレスまたはホスト名に置き換えます。
3. メッセージブローカーのポートを 5672 に設定します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT rabbit_port 5672

4. RabbitMQ の設定時に Orchestration サービス用に作成した RabbitMQ ユーザー名とパスワードを設定します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT rabbit_userid heat
   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT rabbit_password HEAT_PASS

   heat および HEAT_PASS は、Orchestration サービス用に作成した RabbitMQ ユーザー名とパスワードに置き換えます。
5. RabbitMQ の起動時に、heat ユーザーに全リソースに対するパーミッションが付与されます。このアクセスは、特別に仮想ホスト / を介して行われます。Orchestration サービスがこの仮想ホストに接続されるように設定します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT rabbit_virtual_host /

手順9.6 Orchestration サービスと RabbitMQ メッセージブローカーとの間の SSL 通信の有効化

1. メッセージブローカーとの SSL 通信を有効化します。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT rabbit_use_ssl True
   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT kombu_ssl_certfile /path/to/client.crt
   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT kombu_ssl_keyfile /path/to/clientkeyfile.key

   以下の値を置き換えてください。
   • /path/to/client.crt はエクスポートされたクライアント証明書の絶対パスに置き換えます。
   • /path/to/clientkeyfile.key はエクスポートされたキーファイルの絶対パスに置き換えます。
2. 証明書がサードパーティーの認証局 (CA) によって署名されている場合には、次のコマンドを実行する必要もあります。

   # openstack-config --set /etc/heat/heat.conf \
      DEFAULT kombu_ssl_ca_certs /path/to/ca.crt

   /path/to/ca.crt は、サードパーティー CA によって提供された CA ファイルの絶対パスに置き換えます (詳細は 「RabbitMQ メッセージブローカーでの SSL の有効化」 を参照)。

手順10.2 Dashboard の接続およびロギングの設定

1. ALLOWED_HOSTS パラメーターにアプリケーションがサービス提供可能なホスト/ドメイン名のコンマ区切りリストで指定します。例は以下のとおりです。

   ALLOWED_HOSTS = ['horizon.example.com', 'localhost', '192.168.20.254', ]

2. CACHES の設定は、memcachedの値を使用して更新します。

   SESSION_ENGINE = 'django.contrib.sessions.backends.cache'
   CACHES = {
   	'default': {
   		'BACKEND' : 'django.core.cache.backends.memcached.MemcachedCache',
   		'LOCATION' : 'memcacheURL:port',
   	}
   }

   以下の値を置き換えてください。

   • memcacheURL は、memcached がインストールされたホストの IP アドレスに置き換えます。
   • port は /etc/sysconfig/memcached ファイルの PORT パラメーターからの値に置き換えます。
3. Identity サービスのエンドポイントのホスト URL を以下のように指定します。

   OPENSTACK_KEYSTONE_URL="127.0.0.1"

4. Dashboard のタイムゾーンを更新します。

   TIME_ZONE="UTC"

   タイムゾーンは、Dashboard GUI を使用して更新することも可能です。
5. 設定の変更を有効にするには、Apache サーバーを再起動します。

   # systemctl restart httpd.service