1. SELinux를 구성합니다.

   # setsebool -P authlogin_nsswitch_use_ldap=on

   출력에는 다음과 유사한 메시지가 포함될 수 있습니다. 그들은 무시될 수 있습니다:

   Full path required for exclude: net:[4026532245].

2. 도메인 디렉터리를 생성합니다.

   # mkdir /var/lib/config-data/puppet-generated/keystone/etc/keystone/domains/
   # chown 42425:42425 /var/lib/config-data/puppet-generated/keystone/etc/keystone/domains/

3. 여러 백엔드를 사용하도록 keystone을 구성합니다.

   참고

   yum install crudini 를 사용하여 crudini를 설치해야 할 수 있습니다.

   # crudini --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf identity domain_specific_drivers_enabled true
   # crudini --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf identity domain_config_dir /etc/keystone/domains
   # crudini --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf assignment driver sql

   참고

   director를 사용하는 경우 /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf 는 Puppet에서 관리합니다. 결과적으로 openstack overcloud deploy 프로세스를 실행할 때마다 추가하는 사용자 정의 설정을 덮어쓸 수 있습니다. 따라서 매번 이 구성을 수동으로 다시 추가해야 할 수 있습니다. director 기반 배포의 경우 4장. director와 함께 도메인별 LDAP 백엔드 사용 에서 참조하십시오.

4. 대시보드에서 여러 도메인을 활성화합니다. /var/lib/config-data/puppet-generated/horizon/etc/openstack-dashboard/local_settings 에 다음 행을 추가합니다.

   OPENSTACK_API_VERSIONS = {
       "identity": 3
   }
   OPENSTACK_KEYSTONE_MULTIDOMAIN_SUPPORT = True
   OPENSTACK_KEYSTONE_DEFAULT_DOMAIN = 'Default'

   참고

   director를 사용하는 경우 /var/lib/config-data/puppet-generated/horizon/etc/openstack-dashboard/local_settings 가 Puppet에서 관리합니다. 결과적으로 openstack overcloud deploy 프로세스를 실행할 때마다 추가하는 사용자 정의 설정을 덮어쓸 수 있습니다. 따라서 매번 이 구성을 수동으로 다시 추가해야 할 수 있습니다.

   horizon 컨테이너를 다시 시작하여 설정을 적용합니다.

   $ sudo docker restart horizon

5. 추가 백엔드를 구성합니다.

   이 예제에서 LAB 은 ID 서비스 도메인으로 사용할 NetBIOS 이름입니다.

   1. AD DS 통합을 위한 keystone 도메인을 만듭니다.

      이전에 검색한 NetBIOS 이름 값을 도메인 이름으로 사용합니다. 이 방법을 사용하면 로그인 프로세스 중에 사용자에게 일관된 도메인 이름을 표시할 수 있습니다. 예를 들어 NetBIOS 이름이 LAB 인 경우:

      $ openstack domain create LAB

      참고

      이 명령을 사용할 수 없는 경우 # 소스 overcloudrc-v3를 실행하여 명령줄 세션에 keystone v3 을 활성화했는지 확인합니다.

   2. 구성 파일을 생성합니다.

      AD DS 백엔드를 추가하려면 /var/lib/config-data/puppet-generated/keystone/etc/keystone/domains/keystone.LAB.conf 라는 새 파일에 LDAP 설정을 입력합니다. AD DS 배포에 맞게 아래 샘플 설정을 편집해야 합니다.

      [ldap]
      url                  = ldaps://addc.lab.local:636
      user                  = CN=svc-ldap,OU=labUsers,DC=lab,DC=local
      password                 = RedactedComplexPassword
      suffix                   = DC=lab,DC=local
      user_tree_dn             = OU=labUsers,DC=lab,DC=local
      user_objectclass         = person
      user_filter                  = (|(memberOf=cn=grp-openstack,OU=labUsers,DC=lab,DC=local)(memberOf=cn=grp-openstack-admin,OU=labUsers,DC=lab,DC=local)(memberOf=memberOf=cn=grp-openstack-demo,OU=labUsers,DC=lab,DC=local))
      user_id_attribute        = sAMAccountName
      user_name_attribute      = sAMAccountName
      user_mail_attribute      = mail
      user_pass_attribute      =
      user_enabled_attribute   = userAccountControl
      user_enabled_mask        = 2
      user_enabled_default     = 512
      user_attribute_ignore    = password,tenant_id,tenants
      group_objectclass        = group
      group_tree_dn            = OU=labUsers,DC=lab,DC=local
      group_filter             = (CN=grp-openstack*)
      group_id_attribute       = cn
      group_name_attribute     = name
      use_tls                  = False
      tls_cacertfile                  =/etc/pki/ca-trust/source/anchors/anchorsaddc.lab.local.pem
      
      query_scope                  = sub
      chase_referrals                  = false
      
      [identity]
      driver = ldap

      각 설정에 대한 설명:

      설정	설명
      url	인증에 사용할 AD 도메인 컨트롤러입니다. LDAPS 포트 636 을 사용합니다.
      user	LDAP 쿼리에 사용할 AD 계정의 Distinguished 이름입니다. 예를 들어 Get-ADuser svc-ldap | DistinguishedName 을 사용하여 AD에서 svc-ldap 계정의 Distinguished Name값을 찾을 수 있습니다.
      암호	위에서 사용된 AD 계정의 일반 텍스트 암호입니다.
      suffix	AD 도메인의 Distinguished 이름입니다. Get-ADDomain | select DistinguishedName을 사용하여 이 값을 찾을 수 있습니다.
      user_tree_dn	OpenStack 계정이 포함된 조직 단위 (OU)입니다.
      user_objectclass	LDAP 사용자의 유형을 정의합니다. AD의 경우 person 유형을 사용합니다.
      user_filter	ID 서비스에 표시되는 사용자를 필터링합니다. 결과적으로 grp-openstack 그룹의 멤버만 ID 서비스에 정의된 권한을 가질 수 있습니다. 이 값은 그룹의 전체 Distinguished Name: Get-ADGroup grp-openstack | DistinguishedName을 선택합니다.
      user_id_attribute	사용자 ID에 사용할 AD 값을 매핑합니다.
      user_name_attribute	이름에 사용할 AD 값을 매핑합니다.
      user_mail_attribute	사용자 이메일 주소에 사용할 AD 값을 매핑합니다.
      user_pass_attribute	이 값을 비워 둡니다.
      user_enabled_attribute	계정 활성화 여부를 확인하는 AD 설정입니다.
      user_enabled_mask	계정이 활성화되어 있는지 여부를 확인하는 값을 정의합니다. 부울이 반환되지 않는 경우 사용됩니다.
      user_enabled_default	계정이 활성화되었음을 나타내는 AD 값입니다.
      user_attribute_ignore	ID 서비스에서 무시해야 하는 사용자 속성을 정의합니다.
      group_objectclass	그룹에 사용할 AD 값을 매핑합니다.
      group_tree_dn	사용자 그룹을 포함하는 조직 단위 (OU)입니다.
      group_filter	ID 서비스에 표시된 그룹을 필터링합니다.
      group_id_attribute	그룹 ID에 사용할 AD 값을 매핑합니다.
      group_name_attribute	그룹 이름에 사용할 AD 값을 매핑합니다.
      use_tls	TLS를 사용할지 여부를 정의합니다. STARTTLS 대신 LDAPS로 암호화하는 경우 이를 비활성화해야 합니다.
      tls_cacertfile	.crt 인증서 파일의 경로를 지정합니다.
      query_scope	grp-openstack 그룹의 멤버인 사용자를 찾을 때 중첩된 하위 OU 내에서도 검색하도록 ID 서비스를 구성합니다.
      chase_referrals	false 로 설정하면 python-ldap 가 익명 액세스의 모든 추천을 반영하지 않도록 합니다.

6. 구성 파일의 소유권을 keystone 사용자로 변경합니다.

   # chown 42425:42425 /var/lib/config-data/puppet-generated/keystone/etc/keystone/domains/keystone.LAB.conf

7. keystone 서비스를 다시 시작하여 변경 사항을 적용합니다.

   # sudo docker restart keystone

8. admin 사용자에게 도메인에 대한 액세스 권한을 부여합니다.

   참고

   이 경우 OpenStack admin 계정에 실제 AD DS 도메인에 대한 권한이 부여되지 않습니다. 이 경우 domain 이라는 용어는 OpenStack의 keystone 도메인 사용을 나타냅니다.

   1. LAB 도메인의 ID 를 가져옵니다.

      # openstack domain show LAB
      +---------+----------------------------------+
      | Field   | Value                            |
      +---------+----------------------------------+
      | enabled | True                             |
      | id      | 6800b0496429431ab1c4efbb3fe810d4 |
      | name    | LAB                              |
      +---------+----------------------------------+

   2. admin 사용자의 ID 값을 가져옵니다.

      # openstack user list --domain default | grep admin
      | 3d75388d351846c6a880e53b2508172a | admin      |

   3. admin 역할의 ID 값을 가져옵니다.

      # openstack role list
      +----------------------------------+---------------+
      | ID                               | Name          |
      +----------------------------------+---------------+
      | 544d48aaffde48f1b3c31a52c35f01f9 | SwiftOperator |
      | 6d005d783bf0436e882c55c62457d33d | ResellerAdmin |
      | 785c70b150ee4c778fe4de088070b4cf | admin         |
      | 9fe2ff9ee4384b1894a90878d3e92bab | _member_      |
      +----------------------------------+---------------+

   4. 반환된 도메인 및 admin ID를 사용하여 admin 사용자를 keystone LAB 도메인의 admin 역할에 추가하는 명령을 구성합니다.

      # openstack role add --domain 6800b0496429431ab1c4efbb3fe810d4 --user 3d75388d351846c6a880e53b2508172a 785c70b150ee4c778fe4de088070b4cf

   5. 명령에 NetBIOS 이름을 추가하여 AD DS 도메인의 사용자 목록을 확인합니다.

      참고

      재부팅 또는 서비스를 다시 시작한 후 LDAP를 쿼리할 수 있는 시간이 걸릴 수 있습니다.

      # openstack user list --domain LAB

   6. 로컬 ID 서비스 데이터베이스에서 서비스 계정을 확인합니다.

      # openstack user list --domain default

1. AD 그룹 목록을 검색합니다.

   # openstack group list --domain LAB
   +------------------------------------------------------------------+---------------------+
   | ID                                                               | Name                |
   +------------------------------------------------------------------+---------------------+
   | 185277be62ae17e498a69f98a59b66934fb1d6b7f745f14f5f68953a665b8851 | grp-openstack       |
   | a8d17f19f464c4548c18b97e4aa331820f9d3be52654aa8094e698a9182cbb88 | grp-openstack-admin |
   | d971bb3bd5e64a454cbd0cc7af4c0773e78d61b5f81321809f8323216938cae8 | grp-openstack-demo  |
   +------------------------------------------------------------------+---------------------+

2. 역할 목록을 검색합니다.

   # openstack role list
   +----------------------------------+---------------+
   | ID                               | Name          |
   +----------------------------------+---------------+
   | 0969957bce5e4f678ca6cef00e1abf8a | ResellerAdmin |
   | 1fcb3c9b50aa46ee8196aaaecc2b76b7 | admin         |
   | 9fe2ff9ee4384b1894a90878d3e92bab | _member_      |
   | d3570730eb4b4780a7fed97eba197e1b | SwiftOperator |
   +----------------------------------+---------------+

3. 이러한 역할 중 하나 이상에 추가하여 Active Directory 그룹에 프로젝트에 대한 액세스 권한을 부여합니다. 예를 들어 grp-openstack-demo 그룹의 사용자가 demo 프로젝트의 일반 사용자가 되도록 하려면 _member_ 역할에 그룹을 추가해야 합니다.

   # openstack role add --project demo --group d971bb3bd5e64a454cbd0cc7af4c0773e78d61b5f81321809f8323216938cae8  _member_

1. AD 사용자 목록을 검색합니다.

   # openstack user list --domain LAB
    +------------------------------------------------------------------+----------------+
   | ID                                                               | Name           |
   +------------------------------------------------------------------+----------------+
   | 1f24ec1f11aeb90520079c29f70afa060d22e2ce92b2eba7784c841ac418091e | user1          |
   | 12c062faddc5f8b065434d9ff6fce03eb9259537c93b411224588686e9a38bf1 | user2          |
   | afaf48031eb54c3e44e4cb0353f5b612084033ff70f63c22873d181fdae2e73c | user3          |
   | e47fc21dcf0d9716d2663766023e2d8dc15a6d9b01453854a898cabb2396826e | user4          |
   +------------------------------------------------------------------+----------------+

2. 역할 목록을 검색합니다.

   # openstack role list
   +----------------------------------+---------------+
   | ID                               | Name          |
   +----------------------------------+---------------+
   | 544d48aaffde48f1b3c31a52c35f01f9 | SwiftOperator |
   | 6d005d783bf0436e882c55c62457d33d | ResellerAdmin |
   | 785c70b150ee4c778fe4de088070b4cf | admin         |
   | 9fe2ff9ee4384b1894a90878d3e92bab | _member_      |
   +----------------------------------+---------------+

3. 이러한 역할 중 하나 이상에 추가하여 사용자에게 프로젝트에 대한 액세스 권한을 부여합니다. 예를 들어 user1 이 demo 프로젝트의 일반 사용자가 되도록 하려면 member 역할에 추가합니다.

   # openstack role add --project demo --user 1f24ec1f11aeb90520079c29f70afa060d22e2ce92b2eba7784c841ac418091e _member_

   또는 user1 이 demo 프로젝트의 관리자인 경우 admin 역할에 추가합니다.

   # openstack role add --project demo --user 1f24ec1f11aeb90520079c29f70afa060d22e2ce92b2eba7784c841ac418091e admin

   결과적으로 user1 은 도메인 필드에 LAB 을 입력하는 경우 AD DS 사용자 이름과 암호를 입력하여 대시보드에 로그인할 수 있습니다.

1. SELinux를 구성합니다.

   # setsebool -P authlogin_nsswitch_use_ldap=on

   출력에는 다음과 유사한 메시지가 포함될 수 있습니다. 그들은 무시될 수 있습니다:

   Full path required for exclude: net:[4026532245].

2. 도메인 디렉터리를 생성합니다.

   # mkdir /var/lib/config-data/puppet-generated/keystone/etc/keystone/domains/
   # chown 42425:42425 /var/lib/config-data/puppet-generated/keystone/etc/keystone/domains/

3. 여러 백엔드를 사용하도록 ID 서비스를 구성합니다.

   참고

   yum install crudini 를 사용하여 crudini를 설치해야 할 수 있습니다.

   # crudini --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf identity domain_specific_drivers_enabled true
   # crudini --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf identity domain_config_dir /etc/keystone/domains
   # crudini --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf assignment driver sql

   참고

   director를 사용하는 경우 /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf 는 Puppet에서 관리합니다. 결과적으로 openstack overcloud deploy 프로세스를 실행할 때마다 추가하는 사용자 정의 설정을 덮어쓸 수 있습니다. 따라서 매번 이 구성을 수동으로 다시 추가해야 할 수 있습니다. director 기반 배포의 경우 4장. director와 함께 도메인별 LDAP 백엔드 사용 에서 참조하십시오.

4. 대시보드에서 여러 도메인을 활성화합니다. /var/lib/config-data/puppet-generated/horizon/etc/openstack-dashboard/local_settings 에 다음 행을 추가합니다.

   OPENSTACK_API_VERSIONS = {
       "identity": 3
   }
   OPENSTACK_KEYSTONE_MULTIDOMAIN_SUPPORT = True
   OPENSTACK_KEYSTONE_DEFAULT_DOMAIN = 'Default'

   참고

   director를 사용하는 경우 /var/lib/config-data/puppet-generated/horizon/etc/openstack-dashboard/local_settings 가 Puppet에서 관리합니다. 결과적으로 openstack overcloud deploy 프로세스를 실행할 때마다 추가하는 사용자 정의 설정을 덮어쓸 수 있습니다. 따라서 매번 이 구성을 수동으로 다시 추가해야 할 수 있습니다.

   horizon 컨테이너를 다시 시작하여 설정을 적용합니다.

   $ sudo docker restart horizon

5. 추가 백엔드를 구성합니다.

   1. IdM 통합을 위한 keystone 도메인을 생성합니다. 새 keystone 도메인에 사용할 이름을 결정한 다음 도메인을 생성합니다. 예를 들어 이 명령은 LAB:이라는 keystone 도메인을 생성합니다.

      $ openstack domain create LAB

   2. 구성 파일을 생성합니다.

      IdM 백엔드를 추가하려면 /var/lib/config-data/puppet-generated/keystone/etc/keystone/domains/keystone.LAB.conf 라는 새 파일에 LDAP 설정을 입력합니다(랩이 이전에 생성된 도메인 이름임). IdM 배포에 맞게 아래 샘플 설정을 편집해야 합니다.

      [ldap]
      url =  ldaps://idm.lab.local
      user = uid=svc-ldap,cn=users,cn=accounts,dc=lab,dc=local
      user_filter = (memberOf=cn=grp-openstack,cn=groups,cn=accounts,dc=lab,dc=local)
      password = RedactedComplexPassword
      user_tree_dn = cn=users,cn=accounts,dc=lab,dc=local
      user_objectclass = inetUser
      user_id_attribute = uid
      user_name_attribute = uid
      user_mail_attribute = mail
      user_pass_attribute =
      group_tree_dn               = cn=groups,cn=accounts,dc=lab,dc=local
      group_objectclass              = groupOfNames
      group_id_attribute            = cn
      group_name_attribute       =  cn
      group_member_attribute  = member
      group_desc_attribute        = description
      use_tls                  = False
      query_scope                  = sub
      chase_referrals                  = false
      tls_cacertfile =/etc/pki/ca-trust/source/anchors/anchorsca.crt
      
      [identity]
      driver = ldap

      각 설정에 대한 설명:

      설정	설명
      url	인증에 사용할 IdM 서버입니다. LDAPS 포트 636 을 사용합니다.
      user	LDAP 쿼리에 사용할 IdM 계정입니다.
      암호	위에서 사용된 IdM 계정의 일반 텍스트 암호입니다.
      user_filter	ID 서비스에 표시되는 사용자를 필터링합니다. 결과적으로 grp-openstack 그룹의 멤버만 ID 서비스에 정의된 권한을 가질 수 있습니다.
      user_tree_dn	IdM의 OpenStack 계정 경로입니다.
      user_objectclass	LDAP 사용자의 유형을 정의합니다. IdM의 경우 inetUser 유형을 사용합니다.
      user_id_attribute	사용자 ID에 사용할 IdM 값을 매핑합니다.
      user_name_attribute	이름에 사용할 IdM 값을 매핑합니다.
      user_mail_attribute	사용자 이메일 주소에 사용할 IdM 값을 매핑합니다.
      user_pass_attribute	이 값을 비워 둡니다.

      참고

      IdM 그룹과의 통합은 중첩 그룹이 아닌 직접 멤버만 반환합니다. 결과적으로 LDAP_MATCHING_RULE_IN_CHAIN 또는:1.2. 840.113556.1.4.1941: 을 사용하는 쿼리는 현재 IdM에서 작동하지 않습니다.

6. 구성 파일의 소유권을 keystone 사용자로 변경합니다.

   # chown 42425:42425 /var/lib/config-data/puppet-generated/keystone/etc/keystone/domains/keystone.LAB.conf

7. admin 사용자에게 도메인에 대한 액세스 권한을 부여합니다.

   참고

   이 경우 OpenStack admin 계정에 IdM의 권한이 부여되지 않습니다. 이 경우 domain이라는 용어는 OpenStack의 keystone 도메인 사용을 나타냅니다.

   1. LAB 도메인의 ID 를 가져옵니다.

      $ openstack domain show LAB
      +---------+----------------------------------+
      | Field   | Value                            |
      +---------+----------------------------------+
      | enabled | True                             |
      | id      | 6800b0496429431ab1c4efbb3fe810d4 |
      | name    | LAB                              |
      +---------+----------------------------------+

   2. admin 사용자의 ID 값을 가져옵니다.

      $ openstack user list --domain default | grep admin
      
      | 3d75388d351846c6a880e53b2508172a | admin      |

   3. admin 역할의 ID 값을 가져옵니다.

      # openstack role list
      +----------------------------------+---------------+
      | ID                               | Name          |
      +----------------------------------+---------------+
      | 544d48aaffde48f1b3c31a52c35f01f9 | SwiftOperator |
      | 6d005d783bf0436e882c55c62457d33d | ResellerAdmin |
      | 785c70b150ee4c778fe4de088070b4cf | admin         |
      | 9fe2ff9ee4384b1894a90878d3e92bab | _member_      |
      +----------------------------------+---------------+

   4. 반환된 도메인 및 admin ID를 사용하여 admin 사용자를 keystone LAB 도메인의 admin 역할에 추가하는 명령을 구성합니다.

      $ openstack role add --domain 6800b0496429431ab1c4efbb3fe810d4 --user 3d75388d351846c6a880e53b2508172a 785c70b150ee4c778fe4de088070b4cf

8. keystone 서비스를 다시 시작하여 변경 사항을 적용합니다.

   $ sudo docker restart keystone

9. 명령에 keystone 도메인 이름을 추가하여 IdM 도메인의 사용자 목록을 확인합니다.

   $ openstack user list --domain LAB

10. 로컬 keystone 데이터베이스에서 서비스 계정을 확인합니다.

    $ openstack user list --domain default

1. IdM 그룹 목록을 검색합니다.

   $ openstack group list --domain LAB
   +------------------------------------------------------------------+---------------------+
   | ID                                                               | Name                |
   +------------------------------------------------------------------+---------------------+
   | 185277be62ae17e498a69f98a59b66934fb1d6b7f745f14f5f68953a665b8851 | grp-openstack       |
   | a8d17f19f464c4548c18b97e4aa331820f9d3be52654aa8094e698a9182cbb88 | grp-openstack-admin |
   | d971bb3bd5e64a454cbd0cc7af4c0773e78d61b5f81321809f8323216938cae8 | grp-openstack-demo  |
   +------------------------------------------------------------------+---------------------+

2. 역할 목록을 검색합니다.

   $ openstack role list
   +----------------------------------+---------------+
   | ID                               | Name          |
   +----------------------------------+---------------+
   | 0969957bce5e4f678ca6cef00e1abf8a | ResellerAdmin |
   | 1fcb3c9b50aa46ee8196aaaecc2b76b7 | admin         |
   | 9fe2ff9ee4384b1894a90878d3e92bab | _member_      |
   | d3570730eb4b4780a7fed97eba197e1b | SwiftOperator |
   +----------------------------------+---------------+

3. 이러한 역할 중 하나 이상에 추가하여 IdM 그룹에 프로젝트에 대한 액세스 권한을 부여합니다. 예를 들어 grp-openstack-demo 그룹의 사용자가 demo 프로젝트의 일반 사용자가 되도록 하려면 _member_ 역할에 그룹을 추가해야 합니다.

   $ openstack role add --project demo --group d971bb3bd5e64a454cbd0cc7af4c0773e78d61b5f81321809f8323216938cae8  _member_

1. IdM 사용자 목록을 검색합니다.

   # openstack user list --domain LAB
    +------------------------------------------------------------------+----------------+
   | ID                                                               | Name           |
   +------------------------------------------------------------------+----------------+
   | 1f24ec1f11aeb90520079c29f70afa060d22e2ce92b2eba7784c841ac418091e | user1          |
   | 12c062faddc5f8b065434d9ff6fce03eb9259537c93b411224588686e9a38bf1 | user2          |
   | afaf48031eb54c3e44e4cb0353f5b612084033ff70f63c22873d181fdae2e73c | user3          |
   | e47fc21dcf0d9716d2663766023e2d8dc15a6d9b01453854a898cabb2396826e | user4          |
   +------------------------------------------------------------------+----------------+

2. 역할 목록을 검색합니다.

   # openstack role list
   +----------------------------------+---------------+
   | ID                               | Name          |
   +----------------------------------+---------------+
   | 544d48aaffde48f1b3c31a52c35f01f9 | SwiftOperator |
   | 6d005d783bf0436e882c55c62457d33d | ResellerAdmin |
   | 785c70b150ee4c778fe4de088070b4cf | admin         |
   | 9fe2ff9ee4384b1894a90878d3e92bab | _member_      |
   +----------------------------------+---------------+

3. 이러한 역할 중 하나 이상에 추가하여 사용자에게 프로젝트에 대한 액세스 권한을 부여합니다. 예를 들어 user1 이 demo 프로젝트의 일반 사용자가 되도록 하려면 member 역할에 추가합니다.

   # openstack role add --project demo --user 1f24ec1f11aeb90520079c29f70afa060d22e2ce92b2eba7784c841ac418091e _member_

   또는 user1 이 demo 프로젝트의 관리자인 경우 admin 역할에 추가합니다.

   # openstack role add --project demo --user 1f24ec1f11aeb90520079c29f70afa060d22e2ce92b2eba7784c841ac418091e admin

   결과적으로 user1 은 Domain 필드에 LAB 을 입력하는 경우 IdM 사용자 이름과 암호를 입력하여 대시보드에 로그인할 수 있습니다.

1. IdM에서 테스트 사용자를 생성하고 사용자를 grp-openstack IdM 그룹에 추가합니다.
2. 사용자를 demo 테넌트의 _member_ 역할에 추가합니다.
3. IdM test 사용자의 자격 증명을 사용하여 대시보드에 로그인합니다.
4. 각 탭을 클릭하여 오류 메시지 없이 성공적으로 표시되는지 확인합니다.
5. 대시보드를 사용하여 테스트 인스턴스를 빌드합니다.

1. 언더클라우드 노드에서 python-novajoin 패키지를 설치합니다.

   $ sudo yum install python-novajoin

2. 언더클라우드 노드에서 novajoin-ipa-setup 스크립트를 실행하여 배포에 맞게 값을 조정합니다.

   $ sudo /usr/libexec/novajoin-ipa-setup \
       --principal admin \
       --password <IdM admin password> \
       --server <IdM server hostname> \
       --realm <overcloud cloud domain (in upper case)> \
       --domain <overcloud cloud domain> \
       --hostname <undercloud hostname> \
       --precreate

   다음 섹션에서는 생성된 TTL(단시간 암호)을 사용하여 언더클라우드를 등록합니다.

1. novajoin 서비스는 기본적으로 비활성화되어 있습니다. 활성화하려면 다음을 수행합니다.

   [DEFAULT]
   enable_novajoin = true

2. 언더클라우드 노드를 IdM에 등록하려면 One-Time Password(OTP)를 설정해야 합니다.

   ipa_otp = <otp>

3. neutron의 DHCP 서버에서 제공하는 오버클라우드의 도메인 이름이 IdM 도메인(대소문자의 kerberos 영역)과 일치하는지 확인합니다.

   overcloud_domain_name = <domain>

4. 언더클라우드에 적절한 호스트 이름을 설정합니다.

   undercloud_hostname = <undercloud FQDN>

5. IdM을 언더클라우드의 네임서버로 설정합니다.

   undercloud_nameservers = <IdM IP>

6. 대규모 환경의 경우 novajoin 연결 시간 초과 값을 검토해야 합니다. undercloud.conf 에서 이름이 undercloud-timeout.yaml 인 새 파일에 대한 참조를 추가합니다.

   hieradata_override = /home/stack/undercloud-timeout.yaml

   undercloud-timeout.yaml 에 다음 옵션을 추가합니다. 시간 제한 값을 초 단위로 지정할 수 있습니다(예: 5:

   nova::api::vendordata_dynamic_connect_timeout: <timeout value>
   nova::api::vendordata_dynamic_read_timeout: <timeout value>

7. undercloud.conf 파일을 저장합니다.

8. 언더클라우드 배포 명령을 실행하여 기존 언더클라우드에 변경 사항을 적용합니다.

   $ openstack undercloud install

검증

1. 언더클라우드의 키 항목의 키탭 파일을 확인합니다.

    [root@undercloud-0 ~]# klist -kt
    Keytab name: FILE:/etc/krb5.keytab
    KVNO Timestamp           Principal
    ---- ------------------- ------------------------------------------------------
       1 04/28/2020 12:22:06 host/undercloud-0.redhat.local@REDHAT.LOCAL
       1 04/28/2020 12:22:06 host/undercloud-0.redhat.local@REDHAT.LOCAL
   
   
    [root@undercloud-0 ~]# klist -kt /etc/novajoin/krb5.keytab
    Keytab name: FILE:/etc/novajoin/krb5.keytab
    KVNO Timestamp           Principal
    ---- ------------------- ------------------------------------------------------
       1 04/28/2020 12:22:26 nova/undercloud-0.redhat.local@REDHAT.LOCAL
       1 04/28/2020 12:22:26 nova/undercloud-0.redhat.local@REDHAT.LOCAL

2. /etc/krb.keytab 파일을 호스트 원칙으로 테스트합니다.

    [root@undercloud-0 ~]# kinit -k
    [root@undercloud-0 ~]# klist
    Ticket cache: KEYRING:persistent:0:0
    Default principal: host/undercloud-0.redhat.local@REDHAT.LOCAL
   
    Valid starting       Expires              Service principal
    05/04/2020 10:34:30  05/05/2020 10:34:30  krbtgt/REDHAT.LOCAL@REDHAT.LOCAL
   
    [root@undercloud-0 ~]# kdestroy
    Other credential caches present, use -A to destroy all

3. novajoin /etc/novajoin/krb.keytab 파일을 nova 원칙으로 테스트합니다.

    [root@undercloud-0 ~]# kinit -kt /etc/novajoin/krb5.keytab 'nova/undercloud-0.redhat.local@REDHAT.LOCAL'
    [root@undercloud-0 ~]# klist
    Ticket cache: KEYRING:persistent:0:0
    Default principal: nova/undercloud-0.redhat.local@REDHAT.LOCAL
   
    Valid starting       Expires              Service principal
    05/04/2020 10:39:14  05/05/2020 10:39:14  krbtgt/REDHAT.LOCAL@REDHAT.LOCAL

1. 언더클라우드에 연결합니다.

   $ source ~/stackrc

2. DNS 이름 서버로 IdM을 사용하도록 컨트롤 플레인 서브넷을 구성합니다.

   $ openstack subnet set ctlplane-subnet --dns-nameserver  <idm_server_address>

3. IdM 서버를 사용하도록 환경 파일에서 DnsServers 매개변수를 설정합니다.

   parameter_defaults:
     DnsServers: ["<idm_server_address>"]

   이 매개변수는 일반적으로 사용자 지정 network-environment.yaml 파일에 정의되어 있습니다.

1. IdM 통합을 활성화하려면 /usr/share/openstack-tripleo-heat-templates/environments/predictable-placement/custom-domain.yaml 환경 파일의 사본을 생성합니다.

   $ cp /usr/share/openstack-tripleo-heat-templates/environments/predictable-placement/custom-domain.yaml \
     /home/stack/templates/custom-domain.yaml

2. /home/stack/templates/custom-domain.yaml 환경 파일을 편집하고 배포에 맞게 CloudDomain 및 CloudName* 값을 설정합니다. 예를 들면 다음과 같습니다.

   parameter_defaults:
     CloudDomain: lab.local
     CloudName: overcloud.lab.local
     CloudNameInternal: overcloud.internalapi.lab.local
     CloudNameStorage: overcloud.storage.lab.local
     CloudNameStorageManagement: overcloud.storagemgmt.lab.local
     CloudNameCtlplane: overcloud.ctlplane.lab.local

3. 오버클라우드 배포 프로세스에 다음 환경 파일을 포함합니다.

   • /usr/share/openstack-tripleo-heat-templates/environments/ssl/enable-internal-tls.yaml
   • /usr/share/openstack-tripleo-heat-templates/environments/ssl/tls-everywhere-endpoints-dns.yaml

   • /home/stack/templates/custom-domain.yaml

     예를 들면 다음과 같습니다.

     openstack overcloud deploy \
       --templates \
        -e /usr/share/openstack-tripleo-heat-templates/environments/ssl/enable-internal-tls.yaml \
        -e /usr/share/openstack-tripleo-heat-templates/environments/ssl/tls-everywhere-endpoints-dns.yaml \
        -e /home/stack/templates/custom-domain.yaml \

     결과적으로 배포된 Overcloud 노드가 IdM에 자동으로 등록됩니다.

4. 이는 내부 엔드포인트에 대해서만 TLS를 설정합니다. 외부 끝점의 경우 /usr/share/openstack-tripleo-heat-templates/environments/ssl/enable-tls.yaml 환경 파일을 사용하여 TLS를 추가하는 일반 수단을 사용할 수 있습니다(사용자 정의 인증서 및 키를 추가하도록 수정해야 함). 결과적으로 openstack deploy 명령은 다음과 유사합니다.

   openstack overcloud deploy \
     --templates \
     -e /usr/share/openstack-tripleo-heat-templates/environments/ssl/enable-internal-tls.yaml \
     -e /usr/share/openstack-tripleo-heat-templates/environments/ssl/tls-everywhere-endpoints-dns.yaml \
     -e /home/stack/templates/custom-domain.yaml \
     -e /home/stack/templates/enable-tls.yaml

5. 또는 IdM을 사용하여 공용 인증서를 발행할 수도 있습니다. 이 경우 /usr/share/openstack-tripleo-heat-templates/environments/services/haproxy-public-tls-certmonger.yaml 환경 파일을 사용해야 합니다. 예를 들면 다음과 같습니다.

   openstack overcloud deploy \
     --templates \
      -e /usr/share/openstack-tripleo-heat-templates/environments/ssl/enable-internal-tls.yaml \
      -e /usr/share/openstack-tripleo-heat-templates/environments/ssl/tls-everywhere-endpoints-dns.yaml \
      -e /home/stack/templates/custom-domain.yaml \
      -e /usr/share/openstack-tripleo-heat-templates/environments/services/haproxy-public-tls-certmonger.yaml