사용자에게 기본 프로젝트 및 역할을 할당할 수 있습니다. OpenStack 대시보드(horizon)로 생성하는 사용자는 기본적으로 ID 서비스 사용자입니다. ID 서비스에 포함된 LDAP 프로바이더를 구성하여 Active Directory 사용자를 통합할 수 있습니다.

기본 프로젝트를 포함하여 사용자 세부 정보를 업데이트할 수 있습니다.

대시보드를 사용하여 사용자를 비활성화할 수 있습니다. 이 작업은 사용자를 삭제하는 것과 달리 되돌릴 수 있습니다.

제한 사항:

이로 인해 비활성화한 사용자는 다음을 수행할 수 없습니다.

다른 사용자를 삭제하려면 관리 역할이 있는 사용자여야 합니다. 이 작업은 되돌릴 수 없습니다.

admin 의 역할을 사용자에게 할당하면 이 사용자는 모든 프로젝트의 리소스를 확인, 변경, 생성 또는 삭제할 수 있는 권한이 있습니다. 이 사용자는 공개적으로 사용 가능한 Glance 이미지 또는 공급자 네트워크와 같이 프로젝트에서 액세스할 수 있는 공유 리소스를 생성할 수 있습니다. 또한 admin 역할이 있는 사용자는 사용자를 생성하거나 삭제하고 역할을 관리할 수 있습니다.

사용자에게 admin 역할을 할당하는 프로젝트는 openstack 명령이 실행되는 기본 프로젝트입니다. 예를 들어 development 라는 프로젝트의 admin 사용자가 다음 명령을 실행하면 development 프로젝트에서 internal-network 라는 네트워크가 생성됩니다.

openstack network create internal-network

admin 사용자는 --project 매개변수를 사용하여 모든 프로젝트에서 internal-network 를 생성할 수 있습니다.

openstack network create internal-network --project testing

관리자는 기존 역할의 세부 정보를 볼 수 있습니다.

관리자는 다음 명령 집합과 함께 ID 서비스(keystone) 클라이언트를 사용하여 역할을 만들고 관리할 수 있습니다. 각 Red Hat OpenStack Platform 배포에는 하나 이상의 프로젝트, 한 명의 사용자 및 하나의 역할이 함께 연결되어 있어야 합니다.

두 개 이상의 프로젝트에 사용자를 할당할 수 있습니다. 사용자를 여러 프로젝트에 할당하려면 역할을 생성하고 사용자-프로젝트 쌍에 해당 역할을 할당합니다.

$ openstack role assignment list --user admin --project demo --names
+-------+---------------+-------+--------------+--------+--------+-----------+
| Role  | User          | Group | Project      | Domain | System | Inherited |
+-------+---------------+-------+--------------+--------+--------+-----------+
| admin | admin@Default |       | demo@Default |        |        | False     |
+-------+---------------+-------+--------------+--------+--------+-----------+

ID 서비스(keystone)는 액세스 제어를 시행하여 사용자가 특정 역할에 할당되었는지 확인합니다. ID 서비스는 암시된 역할 할당을 사용합니다. 사용자를 역할에 명시적으로 할당하면 사용자를 암시적으로 추가 역할에 할당할 수도 있습니다. Red Hat OpenStack Platform에서 암시된 기본 역할을 볼 수 있습니다.

$ openstack implied role list
+----------------------------------+-----------------+----------------------------------+-------------------+
| Prior Role ID                    | Prior Role Name | Implied Role ID                  | Implied Role Name |
+----------------------------------+-----------------+----------------------------------+-------------------+
| 54454217f38247e5a2131c8a47138d32 | admin           | b59703369e194123b5c77dad60d11a25 | member            |
| b59703369e194123b5c77dad60d11a25 | member          | 382761de4a9c4414b6f8950f8580897c | reader            |
+----------------------------------+-----------------+----------------------------------+-------------------+

권한이 더 높은 역할은 권한이 적은 역할과 연관된 권한을 나타냅니다. 위의 기본 암시적 역할에서 admin은 member을 의미하며 멤버는 reader를 의미합니다. 암시적 역할을 사용하면 사용자의 역할 할당이 누적 처리되므로 사용자가 하위 역할을 상속합니다.

openstack implied role delete manager --implied-role poweruser

그룹을 만들고 그룹에 권한을 할당합니다. 그룹의 멤버는 그룹에 할당한 동일한 권한을 상속받습니다.

대시보드를 사용하여 keystone 그룹의 멤버십을 관리할 수 있습니다. 그러나 명령줄을 사용하여 그룹에 역할 권한을 할당해야 합니다. 자세한 내용은 명령줄 사용을 참조하십시오.

다음 명령을 실행하여 현재 설정된 사용자의 할당량 값을 나열합니다.

$ nova quota-show --user [USER] --tenant [TENANT]

$ nova quota-show --user demoUser --tenant demo
+-----------------------------+-------+
| Quota                       | Limit |
+-----------------------------+-------+
| instances                   | 10    |
| cores                       | 20    |
| ram                         | 51200 |
| floating_ips                | 5     |
| fixed_ips                   | -1    |
| metadata_items              | 128   |
| injected_files              | 5     |
| injected_file_content_bytes | 10240 |
| injected_file_path_bytes    | 255   |
| key_pairs                   | 100   |
| security_groups             | 10    |
| security_group_rules        | 20    |
| server_groups               | 10    |
| server_group_members        | 10    |
+-----------------------------+-------+

다음 명령을 실행하여 특정 할당량 값을 업데이트합니다.

$ nova quota-update --user [USER] --[QUOTA_NAME] [QUOTA_VALUE] [TENANT]
$ nova quota-show --user [USER] --tenant [TENANT]

$ nova quota-update --user demoUser --floating-ips 10 demo
$ nova quota-show --user demoUser --tenant demo
+-----------------------------+-------+
| Quota                       | Limit |
+-----------------------------+-------+
| instances                   | 10    |
| cores                       | 20    |
| ram                         | 51200 |
| floating_ips                | 10    |
| ...                         |       |
+-----------------------------+-------+

$ nova help quota-update

오브젝트 스토리지 할당량은 다음 카테고리로 분류할 수 있습니다.

컨테이너 할당량 또는 계정 할당량을 설정하려면 오브젝트 스토리지 프록시 서버에 proxy-server.conf 파일의 [pipeline:main] 섹션에 container _quotas 또는 account_quotas (또는 둘 다) 매개변수가 추가되어야 합니다.

[pipeline:main]
pipeline = catch_errors [...] tempauth container-quotas \
account-quotas slo dlo proxy-logging proxy-server

[filter:account_quotas]
use = egg:swift#account_quotas

[filter:container_quotas]
use = egg:swift#container_quotas

다음 명령을 사용하여 Object Storage 할당량을 보고 업데이트합니다. 프로젝트에 포함된 모든 사용자는 프로젝트에 배치된 할당량을 볼 수 있습니다. 프로젝트에서 Object Storage 할당량을 업데이트하려면 프로젝트에서 ResellerAdmin의 역할이 있어야 합니다.

계정 할당량을 보려면 다음을 수행합니다.

# swift stat

Account: AUTH_b36ed2d326034beba0a9dd1fb19b70f9
Containers: 0
Objects: 0
Bytes: 0
Meta Quota-Bytes: 214748364800
X-Timestamp: 1351050521.29419
Content-Type: text/plain; charset=utf-8
Accept-Ranges: bytes

할당량을 업데이트하려면 다음을 수행합니다.

# swift post -m quota-bytes:<BYTES>

예를 들어 계정에 5GB 할당량을 배치하려면 다음을 수행합니다.

# swift post -m quota-bytes:5368709120

클라우드 관리자는 프로젝트를 만들고 관리할 수 있습니다. 프로젝트는 OpenStack 사용자 및 그룹을 할당할 수 있는 공유 가상 리소스 풀입니다. 각 프로젝트에서 공유 가상 리소스의 할당량을 구성할 수 있습니다. Red Hat OpenStack Platform을 사용하여 서로의 권한 및 리소스를 방해하지 않는 여러 프로젝트를 만들 수 있습니다. 사용자는 둘 이상의 프로젝트와 연결할 수 있습니다. 각 사용자에게는 할당되는 각 프로젝트에 대한 역할이 할당되어야 합니다.

보안 그룹은 프로젝트 인스턴스에 할당할 수 있는 IP 필터 규칙 집합이며 인스턴스에 대한 네트워킹 액세스를 정의합니다. 보안 그룹은 프로젝트에 따라 다릅니다. 프로젝트 구성원은 해당 보안 그룹에 대한 기본 규칙을 편집하고 새 규칙 세트를 추가할 수 있습니다.

모든 프로젝트에는 정의된 다른 보안 그룹이 없는 인스턴스에 적용되는 기본 보안 그룹이 있습니다. 기본값을 변경하지 않는 한 이 보안 그룹은 들어오는 모든 트래픽을 거부하고 인스턴스에서 나가는 트래픽만 허용합니다.

인스턴스를 생성하는 동안 인스턴스에 직접 보안 그룹을 적용하거나 실행 중인 인스턴스의 포트에 적용할 수 있습니다.

필요한 송신을 허용하는 그룹을 생성하지 않고 기본 보안 그룹을 삭제하지 마십시오. 예를 들어 인스턴스에서 DHCP 및 메타데이터를 사용하는 경우 인스턴스에 DHCP 서버 및 메타데이터 에이전트로 이그레스를 허용하는 보안 그룹 규칙이 필요합니다.

openstack domain list를 사용하여 도메인 목록을 볼 수 있습니다.

$ openstack domain list
+----------------------------------+------------------+---------+--------------------+
| ID                               | Name             | Enabled | Description        |
+----------------------------------+------------------+---------+--------------------+
| 3abefa6f32c14db9a9703bf5ce6863e1 | TestDomain       | True    |                    |
| 69436408fdcb44ab9e111691f8e9216d | corp             | True    |                    |
| a4f61a8feb8d4253b260054c6aa41adb | federated_domain | True    |                    |
| default                          | Default          | True    | The default domain |
+----------------------------------+------------------+---------+--------------------+

openstack domain create를 사용하여 새 도메인을 생성할 수 있습니다.

$ openstack domain create TestDomain
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description |                                  |
| enabled     | True                             |
| id          | 3abefa6f32c14db9a9703bf5ce6863e1 |
| name        | TestDomain                       |
+-------------+----------------------------------+

openstack domain show 를 사용하여 도메인의 세부 정보를 볼 수 있습니다.

$ openstack domain show TestDomain
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description |                                  |
| enabled     | True                             |
| id          | 3abefa6f32c14db9a9703bf5ce6863e1 |
| name        | TestDomain                       |
+-------------+----------------------------------+

LDAP 서버에서 인증하거나 LDAP 서버에서 ID 정보를 검색하도록 ID 서비스(keystone)를 구성한 경우 CA 인증서를 사용하여 ID 서비스의 LDAP 통신을 보호할 수 있습니다.

Active Directory에서 CA 인증서를 가져오고 CA 인증서 파일을 PEM(개인 정보 보호 강화 메일) 파일 형식으로 변환하고, ID 서비스에 대해 보안 LDAP 통신을 구성해야 합니다. CA 신뢰가 구성되는 위치 및 방법에 따라 세 가지 방법 중 하나로 이 구성을 수행할 수 있습니다.

CA_NAME="WIN2012DOM-WIN2012-CA"
AD_SUFFIX="dc=win2012dom,dc=com" LDAPURL="ldap://win2012.win2012dom.com"
ADMIN_DN="cn=Administrator,cn=Users,$AD_SUFFIX"
ADMINPASSWORD="MyPassword"

CA_CERT_DN="cn=latexmath:[$CA_NAME,cn=certification authorities,cn=public key services,cn=services,cn=configuration,$]AD_SUFFIX"

TMP_CACERT=/tmp/cacert.`date +'%Y%m%d%H%M%S'`.$$.pem

ldapsearch -xLLL -H
latexmath:[$LDAPURL -D `echo \"$]ADMIN_DN"`-W -s base -b`echo
"$CA_CERT_DN"` objectclass=* cACertificate

-----BEGIN CERTIFICATE-----
MIIDbzCCAlegAwIBAgIQQD14hh1Yz7tPFLXCkKUOszANB... -----END
CERTIFICATE-----

LDAPTLS_CACERT=/path/cacert.pem ldapsearch -xLLL -ZZ -H $LDAPURL -s base -b "" "objectclass=*" currenttime

dn: currentTime:
20141022050611.0Z

# echo Q | openssl s_client -connect $HOST:$PORT | sed -n -e '/BEGIN CERTIFICATE/,/END CERTIFICATE/ p'

애플리케이션 자격 증명은 사용자가 대시보드에서 셀프 서비스 기능으로 사용할 수 있습니다. 이 예제에서는 사용자가 애플리케이션 자격 증명을 만든 다음 이를 사용하여 토큰을 생성하는 방법을 보여줍니다.

애플리케이션 자격 증명을 사용하여 keystone에 애플리케이션을 인증할 수 있습니다. 애플리케이션 자격 증명을 사용하는 경우 keystone_authtoken 설정은 v3applicationcredential 을 인증 유형으로 사용하며 자격 증명 생성 프로세스 중에 수신하는 자격 증명을 포함합니다. 다음 값을 입력합니다.

예를 들면 다음과 같습니다.

[keystone_authtoken]
auth_url = http://10.0.0.10:5000/v3
auth_type = v3applicationcredential
application_credential_id = "6cb5fa6a13184e6fab65ba2108adf50c"
application_credential_secret = "<example password>"

명령줄을 사용하여 애플리케이션 자격 증명을 생성하고 삭제할 수 있습니다.

create 하위 명령은 현재 소싱된 계정을 기반으로 애플리케이션 자격 증명을 생성합니다. 예를 들어 admin 사용자로 소싱할 때 자격 증명을 생성하면 애플리케이션 자격 증명에 동일한 역할이 부여됩니다.

$ openstack application credential create --description "App Creds - All roles" AppCredsUser
+--------------+----------------------------------------------------------------------------------------+
| Field        | Value                                                                                  |
+--------------+----------------------------------------------------------------------------------------+
| description  | App Creds - All roles                                                                  |
| expires_at   | None                                                                                   |
| id           | fc17651c2c114fd6813f86fdbb430053                                                       |
| name         | AppCredsUser                                                                           |
| project_id   | 507663d0cfe244f8bc0694e6ed54d886                                                       |
| roles        | member reader admin                                                                    |
| secret       | fVnqa6I_XeRDDkmQnB5lx361W1jHtOtw3ci_mf_tOID-09MrPAzkU7mv-by8ykEhEa1QLPFJLNV4cS2Roo9lOg |
| unrestricted | False                                                                                  |
+--------------+----------------------------------------------------------------------------------------+

기본적으로 결과 역할 멤버십에는 자격 증명을 생성한 계정에 할당된 모든 역할이 포함됩니다. 특정 역할에만 액세스를 위임하여 역할 멤버십을 제한할 수 있습니다.

$ openstack application credential create --description "App Creds - Member" --role member AppCredsUser
+--------------+----------------------------------------------------------------------------------------+
| Field        | Value                                                                                  |
+--------------+----------------------------------------------------------------------------------------+
| description  | App Creds - Member                                                                     |
| expires_at   | None                                                                                   |
| id           | e21e7f4b578240f79814085a169c9a44                                                       |
| name         | AppCredsUser                                                                           |
| project_id   | 507663d0cfe244f8bc0694e6ed54d886                                                       |
| roles        | member                                                                                 |
| secret       | XCLVUTYIreFhpMqLVB5XXovs_z9JdoZWpdwrkaG1qi5GQcmBMUFG7cN2htzMlFe5T5mdPsnf5JMNbu0Ih-4aCg |
| unrestricted | False                                                                                  |
+--------------+----------------------------------------------------------------------------------------+

애플리케이션 자격 증명을 삭제하려면 다음을 수행합니다.

$ openstack application credential delete AppCredsUser