절차

1. admin 사용자로 대시보드에 로그인합니다.
2. Identity > Users를 선택합니다.
3. 사용자 생성을 클릭합니다.
4. 사용자의 사용자 이름, 이메일, 사전 암호를 입력합니다.
5. 기본 프로젝트 목록에서 프로젝트를 선택합니다.
6. Role 목록에서 사용자의 역할을 선택합니다. 기본 역할은 member 입니다.
7. 사용자 생성을 클릭합니다.

절차

1. 대시보드에 admin 사용자로 로그인합니다.
2. Identity > Users를 선택합니다.
3. 작업 열에서 편집 을 클릭합니다.
4. 사용자 업데이트 창에서 사용자 이름,이메일, 기본 프로젝트를 업데이트할 수 있습니다.
5. 사용자 업데이트를 클릭합니다.

절차

1. 대시보드에서 관리자로서 ID > 사용자를 선택합니다.
2. 작업 열에서 화살표를 클릭하고 사용자 활성화 또는 사용자 비활성화 를 선택합니다. Enabled 열에서 값은 True 또는 False 로 업데이트됩니다.

절차

1. 대시보드에서 관리자로서 ID > 사용자를 선택합니다.
2. 삭제할 사용자를 선택합니다.
3. 사용자 삭제를 클릭합니다. 사용자 삭제 확인 창이 표시됩니다.
4. Delete Users 를 클릭하여 작업을 확인합니다.

절차

1. 사전 정의된 역할을 나열합니다.

   $ openstack role list
   +----------------------------------+-----------------+
   | ID                               | Name            |
   +----------------------------------+-----------------+
   | 01d92614cd224a589bdf3b171afc5488 | admin           |
   | 034e4620ed3d45969dfe8992af001514 | member          |
   | 0aa377a807df4149b0a8c69b9560b106 | ResellerAdmin   |
   | 9369f2bf754443f199c6d6b96479b1fa | heat_stack_user |
   | cfea5760d9c948e7b362abc1d06e557f | reader          |
   | d5cb454559e44b47aaa8821df4e11af1 | swiftoperator   |
   | ef3d3f510a474d6c860b4098ad658a29 | service         |
   +----------------------------------+-----------------+

2. 지정된 역할의 세부 정보를 표시합니다.

   $ openstack role show admin

   예제

   $ openstack role show admin
   +-----------+----------------------------------+
   | Field     | Value                            |
   +-----------+----------------------------------+
   | domain_id | None                             |
   | id        | 01d92614cd224a589bdf3b171afc5488 |
   | name      | admin                            |
   +-----------+----------------------------------+

절차

1. new-role 역할을 생성합니다.

   $ openstack role create <role_name>

2. 프로젝트에 사용자를 할당하려면 먼저 다음 명령을 사용하여 사용자, 역할, 프로젝트 이름 또는 ID를 찾습니다.

   • OpenStack 사용자 목록
   • OpenStack 역할 목록
   • OpenStack 프로젝트 목록

3. 사용자 프로젝트 쌍에 역할을 할당합니다.

   $ openstack role add <role_name> --user <user_name> --project <project_name>

   다음 예제에서는 demo 프로젝트의 admin 사용자에게 admin 역할을 할당합니다.

   $ openstack role add admin --user admin --project demo

4. 사용자 admin 의 역할 할당을 확인합니다.

   $ openstack role assignment list --user <user_name> --project <project_name> --names

   다음 예제에서는 admin 사용자가 admin 역할이 있는 demo 프로젝트에 할당되었는지 확인합니다.

1. grp-Auditors: 그룹을 생성합니다.

   $ openstack group create grp-Auditors
   +-------------+----------------------------------+
   | Field       | Value                            |
   +-------------+----------------------------------+
   | description |                                  |
   | domain_id   | default                          |
   | id          | 2a4856fc242142a4aa7c02d28edfdfff |
   | name        | grp-Auditors                     |
   +-------------+----------------------------------+

2. keystone 그룹 목록을 확인합니다.

   $ openstack group list --long
   +----------------------------------+--------------+-----------+-------------+
   | ID                               | Name         | Domain ID | Description |
   +----------------------------------+--------------+-----------+-------------+
   | 2a4856fc242142a4aa7c02d28edfdfff | grp-Auditors | default   |             |
   +----------------------------------+--------------+-----------+-------------+

3. member 역할을 사용하는 동안 grp-Auditors 그룹에 demo 프로젝트에 액세스할 수 있는 권한을 부여합니다.

   $ openstack role add member --group grp-Auditors --project demo

4. 기존 사용자 user1 을 grp-Auditors 그룹에 추가합니다.

   $ openstack group add user grp-Auditors user1
   user1 added to group grp-Auditors

5. user1 이 grp-Auditors:의 멤버인지 확인합니다.

   $ openstack group contains user grp-Auditors user1
   user1 in group grp-Auditors

6. user1 에 할당된 유효한 권한을 검토합니다.

   $ openstack role assignment list --effective --user user1
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+
   | Role                             | User                             | Group | Project                          | Domain | Inherited |
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+
   | 9fe2ff9ee4384b1894a90878d3e92bab | 3fefe5b4f6c948e6959d1feaef4822f2 |       | 0ce36252e2fb4ea8983bed2a568fa832 |        | False     |
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+

1. 관리 권한이 있는 사용자로 대시보드에 로그인합니다.
2. Identity > Projects를 선택합니다.
3. 프로젝트 만들기를 클릭합니다.
4. 프로젝트 정보 탭에서 프로젝트에 대한 이름 및 설명을 입력합니다. Enabled 확인란은 기본적으로 선택됩니다.
5. 프로젝트 멤버 탭의 모든 사용자 목록에서 프로젝트에 멤버를 추가합니다.
6. Quotas 탭에서 프로젝트에 대한 리소스 제한을 지정합니다.
7. 프로젝트 만들기를 클릭합니다.

1. 관리 권한이 있는 사용자로 대시보드에 로그인합니다.
2. Identity > Projects를 선택합니다.
3. 프로젝트 작업 열에서 화살표를 클릭하고 프로젝트 편집을 클릭합니다.
4. 프로젝트 편집 창에서 프로젝트를 업데이트하여 이름 또는 설명을 변경하고 프로젝트를 활성화하거나 일시적으로 비활성화할 수 있습니다.
5. 프로젝트 멤버 탭에서 프로젝트에 멤버를 추가하거나 필요에 따라 제거합니다.
6. 저장을 클릭합니다.

1. 관리 권한이 있는 사용자로 대시보드에 로그인합니다.
2. Identity > Projects를 선택합니다.
3. 프로젝트 작업 열에서 화살표를 클릭하고 할당량 수정 을 클릭합니다.
4. 필요에 따라 Quota 탭에서 프로젝트 할당량을 수정합니다.
5. 저장을 클릭합니다.

1. 관리 권한이 있는 사용자로 대시보드에 로그인합니다.
2. Identity > Projects를 선택합니다.
3. 프로젝트 작업 열에서 화살표를 클릭하고 Set as Active Project 를 클릭합니다.
4. 또는 관리자가 아닌 사용자로 프로젝트 작업 열에서 Set as Active Project 를 클릭하여 열의 기본 작업이 됩니다.

절차

1. --disable 옵션을 사용하여 도메인을 비활성화합니다.

   $ openstack domain set TestDomain --disable

2. 도메인이 비활성화되었는지 확인합니다.

   $ openstack domain show TestDomain
   +-------------+----------------------------------+
   | Field       | Value                            |
   +-------------+----------------------------------+
   | description |                                  |
   | enabled     | False                            |
   | id          | 3abefa6f32c14db9a9703bf5ce6863e1 |
   | name        | TestDomain                       |
   +-------------+----------------------------------+

3. 필요한 경우 --enable 옵션을 사용하여 도메인을 다시 활성화합니다.

   $ openstack domain set TestDomain --enable

절차

1. /path/cacert.pem이라는 파일을 만들고 헤더 및 도어에 Active Directory에서 CA 인증서를 가져온 LDAP 쿼리의 내용을 포함합니다.

   -----BEGIN CERTIFICATE-----
   MIIDbzCCAlegAwIBAgIQQD14hh1Yz7tPFLXCkKUOszANB... -----END
   CERTIFICATE-----

2. 문제 해결을 위해 다음 쿼리를 실행하여 LDAP가 작동하는지 확인하고 PEM 인증서 파일이 올바르게 생성되었는지 확인할 수 있습니다.

   LDAPTLS_CACERT=/path/cacert.pem ldapsearch -xLLL -ZZ -H $LDAPURL -s base -b "" "objectclass=*" currenttime

   쿼리에서 다음과 유사한 결과를 반환해야 합니다.

   dn: currentTime:
   20141022050611.0Z

3. 웹 서버에서 호스팅한 경우 다음 명령을 실행하여 CA 인증서를 가져옵니다.

   • $HOST=redhat.com

   • $PORT=443

     # echo Q | openssl s_client -connect $HOST:$PORT | sed -n -e '/BEGIN CERTIFICATE/,/END CERTIFICATE/ p'

1. PEM 형식의 CA 인증서 체인이 포함된 파일을 /etc/openldap/certs 디렉터리에 복사합니다.

2. /etc/openldap/ldap.conf 를 편집하고 다음 지시문을 추가하여 [CA_FILE]을 CA 인증서 파일의 위치 및 이름으로 바꿉니다.

   TLS_CACERT /etc/openldap/certs/[CA_FILE]

3. Horizon 컨테이너를 다시 시작합니다.

   # systemctl restart tripleo_horizon

1. [CA_FILE]을 CA 인증서 파일의 위치 및 이름으로 교체하여 인증서를 가져오고 신뢰합니다.

   # certutil -d /etc/openldap/certs -A -n "My CA" -t CT,, -a -i [CA_FILE]
   # certutil -d /etc/openldap/certs -A -n "My CA" -t CT,, -a -i [CA_FILE]

2. CA 인증서를 올바르게 가져왔는지 확인합니다.

   # certutil -d /etc/openldap/certs -L

   CA 인증서가 나열되고 신뢰 속성은 gRPC( ,)로 설정됩니다.

3. Horizon 컨테이너를 다시 시작합니다.

   # systemctl restart tripleo_horizon

1. TLS를 활성화합니다.

   # openstack-config --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf ldap use_tls True

2. 인증서 위치를 지정하고 [CA_FILE]을 CA 인증서 이름으로 교체합니다.

   # openstack-config --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf ldap tls_cacertfile [CA_FILE]

3. LDAP 서버에서 들어오는 TLS 세션에서 수행되는 클라이언트 인증서 검사를 지정하고 [CERT_BEHAVIOR]을 아래에 나열된 동작 중 하나로 교체합니다.

   수요

   인증서는 항상 LDAP 서버에서 요청합니다. 인증서를 제공하지 않거나 제공된 인증서를 기존 인증 기관 파일에 대해 확인할 수 없는 경우 세션이 종료됩니다.

   allow

   인증서는 항상 LDAP 서버에서 요청합니다. 이 세션은 인증서를 제공하지 않더라도 정상적으로 진행됩니다. 인증서가 제공되지만 기존 인증 기관 파일에 대해 확인할 수 없는 경우 인증서가 무시되고 세션은 정상적으로 진행됩니다.

   never

   인증서가 요청되지 않습니다.

   # openstack-config --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf ldap tls_req_cert [CERT_BEHAVIOR]

4. keystone 및 horizon 컨테이너를 다시 시작합니다.

   # systemctl restart tripleo_keystone
   # systemctl restart tripleo_horizon

1. 테스트 프로젝트를 생성하고 사용자 계정을 테스트합니다.

   1. AppCreds 라는 프로젝트를 생성합니다.

      $ openstack project create AppCreds

   2. AppCredsUser 라는 사용자를 생성합니다.

      $ openstack user create --project AppCreds --password-prompt AppCredsUser

   3. AppCreds 프로젝트의 멤버 역할에 AppCredsUser 액세스 권한을 부여합니다.

      $ openstack role add --user AppCredsUser --project AppCreds member

2. 대시보드에 AppCredsUser 로 로그인하고 애플리케이션 인증 정보를 만듭니다.

   개요 → ID → 애플리케이션 인증 정보 → + 애플리케이션 인증 정보 생성.

   참고

   애플리케이션 자격 증명 이라는 팝업 창을 닫은 후 clouds.yaml 파일 내용을 다시 다운로드할 수 없는지 확인합니다.

3. CLI를 사용하여 /home/stack/.config/openstack/clouds.yaml 이라는 파일을 생성하고 clouds.yaml 파일의 내용을 붙여넣습니다.

   # This is a clouds.yaml file, which can be used by OpenStack tools as a source
   # of configuration on how to connect to a cloud. If this is your only cloud,
   # just put this file in ~/.config/openstack/clouds.yaml and tools like
   # python-openstackclient will just work with no further config. (You will need
   # to add your password to the auth section)
   # If you have more than one cloud account, add the cloud entry to the clouds
   # section of your existing file and you can refer to them by name with
   # OS_CLOUD=openstack or --os-cloud=openstack
   clouds:
     openstack:
       auth:
         auth_url: http://10.0.0.10:5000/v3
         application_credential_id: "6d141f23732b498e99db8186136c611b"
         application_credential_secret: "<example secret value>"
       region_name: "regionOne"
       interface: "public"
       identity_api_version: 3
       auth_type: "v3applicationcredential"

   참고

   이러한 값은 배포에 따라 다릅니다.

4. 애플리케이션 자격 증명을 사용하여 토큰을 생성합니다. 다음 명령을 사용할 때 특정 사용자로 소싱해서는 안 되며 clouds.yaml 파일과 동일한 디렉터리에 있어야 합니다.

   [stack@undercloud-0 openstack]$ openstack --os-cloud=openstack token issue
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | Field      | Value                                                                                                                                                                                                        |
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | expires    | 2018-08-29T05:37:29+0000                                                                                                                                                                                     |
   | id         | gAAAAABbhiMJ4TxxFlTMdsYJpfStsGotPrns0lnpvJq9ILtdi-NKqisWBeNiJlUXwmnoGQDh2CMyK9OeTsuEXnJNmFfKjxiHWmcQVYzAhMKo6_QMUtu_Qm6mtpzYYHBrUGboa_Ay0LBuFDtsjtgtvJ-r8G3TsJMowbKF-yo--O_XLhERU_QQVl3hl8zmMRdmLh_P9Cbhuolt |
   | project_id | 1a74eabbf05c41baadd716179bb9e1da                                                                                                                                                                             |
   | user_id    | ef679eeddfd14f8b86becfd7e1dc84f2                                                                                                                                                                             |
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+

1. 새 애플리케이션 자격 증명 세트를 생성합니다.
2. 기존 자격 증명을 교체하여 애플리케이션 구성 파일에 새 자격 증명을 추가합니다. 자세한 내용은 애플리케이션과 애플리케이션 인증 정보 통합을 참조하십시오.
3. 애플리케이션 서비스를 다시 시작하여 변경 사항을 적용합니다.
4. 필요한 경우 이전 애플리케이션 인증 정보를 삭제합니다. 명령줄 옵션에 대한 자세한 내용은 애플리케이션 인증 정보 관리를 참조하십시오.

1. 만료될 인증 자격 증명을 처음 생성한 OpenStack 사용자로 인증합니다. 예를 들어 애플리케이션 인증 정보를 사용하여 토큰을 생성하는 절차를 사용한 경우 AppCredsUser 로 다시 로그인해야 합니다.

2. AppCred2 라는 애플리케이션 자격 증명을 만듭니다. 이 작업은 OpenStack 대시보드 또는 openstack CLI 인터페이스를 사용하여 수행할 수 있습니다.

   openstack application credential create --description "App Creds 2 - Member" --role member AppCred2

3. 이전 명령의 출력에서 id 및 secret 매개변수를 복사합니다. secret 매개변수 값은 다시 액세스할 수 없습니다.
4. ${HOME}/.config/openstack/clouds.yaml 파일의 application_credential_id 및 application_credential_ secret 매개변수 값을 복사한 시크릿 및 id 값으로 바꿉니다.

검증

1. clouds.yaml을 사용하여 토큰을 생성하여 인증 정보가 예상대로 작동하는지 확인합니다. 다음 명령을 사용할 때 특정 사용자로 소싱해서는 안 되며 clouds.yaml 파일과 동일한 디렉터리에 있어야 합니다.

   [stack@undercloud-0 openstack]$ openstack --os-cloud=openstack token issue

   출력 예:

   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | Field      | Value                                                                                                                                                                                                        |
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | expires    | 2018-08-29T05:37:29+0000                                                                                                                                                                                     |
   | id         | gAAAAABbhiMJ4TxxFlTMdsYJpfStsGotPrns0lnpvJq9ILtdi-NKqisWBeNiJlUXwmnoGQDh2CMyK9OeTsuEXnJNmFfKjxiHWmcQVYzAhMKo6_QMUtu_Qm6mtpzYYHBrUGboa_Ay0LBuFDtsjtgtvJ-r8G3TsJMowbKF-yo--O_XLhERU_QQVl3hl8zmMRdmLh_P9Cbhuolt |
   | project_id | 1a74eabbf05c41baadd716179bb9e1da                                                                                                                                                                             |
   | user_id    | ef679eeddfd14f8b86becfd7e1dc84f2                                                                                                                                                                             |
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+