流程

1. 以 admin 用户身份登录到控制面板。
2. 选择 Identity > Users。
3. 点 Create User.
4. 输入用户的用户名、电子邮件和初始密码。
5. 从 Primary Project 列表中选择一个项目。
6. 从 Role 列表中选择用户的角色。默认角色是 成员。
7. 点 Create User.

流程

1. 以 admin 用户身份登录控制面板。
2. 选择 Identity > Users。
3. 在 Actions 列中，单击 Edit。
4. 在 Update User 窗口中，您可以更新 User Name, Email, and Primary Project。
5. 单击 Update User。

流程

1. 在仪表板中作为 admin 用户，选择 Identity > Users。
2. 在 Actions 列中，单击箭头，然后选择 Enable User 或 Disable User。在 Enabled 列中，值随后更新为 True 或 False。

流程

1. 在仪表板中作为 admin 用户，选择 Identity > Users。
2. 选择您要删除的用户。
3. 单击 Delete Users。此时会显示 Confirm Delete Users 窗口。
4. 单击 Delete Users 以确认操作。

流程

1. 列出可用的预定义角色：

   $ openstack role list
   +----------------------------------+-----------------+
   | ID                               | Name            |
   +----------------------------------+-----------------+
   | 01d92614cd224a589bdf3b171afc5488 | admin           |
   | 034e4620ed3d45969dfe8992af001514 | member          |
   | 0aa377a807df4149b0a8c69b9560b106 | ResellerAdmin   |
   | 9369f2bf754443f199c6d6b96479b1fa | heat_stack_user |
   | cfea5760d9c948e7b362abc1d06e557f | reader          |
   | d5cb454559e44b47aaa8821df4e11af1 | swiftoperator   |
   | ef3d3f510a474d6c860b4098ad658a29 | service         |
   +----------------------------------+-----------------+

2. 查看指定角色的详情：

   $ openstack role show admin

   示例

   $ openstack role show admin
   +-----------+----------------------------------+
   | Field     | Value                            |
   +-----------+----------------------------------+
   | domain_id | None                             |
   | id        | 01d92614cd224a589bdf3b171afc5488 |
   | name      | admin                            |
   +-----------+----------------------------------+

流程

1. 创建一个 new-role 角色：

   $ openstack role create <role_name>

2. 要为项目分配用户，请使用以下命令查找用户、角色和项目名称或 ID：

   • OpenStack 用户列表
   • OpenStack 角色列表
   • OpenStack 项目列表

3. 将角色分配给用户项目对。

   $ openstack role add <role_name> --user <user_name> --project <project_name>

   以下示例将 admin 角色分配给 demo 项目中的 admin 用户：

   $ openstack role add admin --user admin --project demo

4. 验证用户 admin 的角色分配：

   $ openstack role assignment list --user <user_name> --project <project_name> --names

   以下示例验证 admin 角色是否已将 admin 用户分配给 demo 项目。

1. 创建组 grp-Auditors ：

   $ openstack group create grp-Auditors
   +-------------+----------------------------------+
   | Field       | Value                            |
   +-------------+----------------------------------+
   | description |                                  |
   | domain_id   | default                          |
   | id          | 2a4856fc242142a4aa7c02d28edfdfff |
   | name        | grp-Auditors                     |
   +-------------+----------------------------------+

2. 查看 keystone 组列表：

   $ openstack group list --long
   +----------------------------------+--------------+-----------+-------------+
   | ID                               | Name         | Domain ID | Description |
   +----------------------------------+--------------+-----------+-------------+
   | 2a4856fc242142a4aa7c02d28edfdfff | grp-Auditors | default   |             |
   +----------------------------------+--------------+-----------+-------------+

3. 授予 grp-Auditors 组权限来访问 demo 项目，同时使用 member 角色：

   $ openstack role add member --group grp-Auditors --project demo

4. 将现有用户 user1 添加到 grp-Auditors 组中：

   $ openstack group add user grp-Auditors user1
   user1 added to group grp-Auditors

5. 确认 user1 是 grp-Auditors 的成员：

   $ openstack group contains user grp-Auditors user1
   user1 in group grp-Auditors

6. 查看已分配给 user1 的有效权限：

   $ openstack role assignment list --effective --user user1
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+
   | Role                             | User                             | Group | Project                          | Domain | Inherited |
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+
   | 9fe2ff9ee4384b1894a90878d3e92bab | 3fefe5b4f6c948e6959d1feaef4822f2 |       | 0ce36252e2fb4ea8983bed2a568fa832 |        | False     |
   +----------------------------------+----------------------------------+-------+----------------------------------+--------+-----------+

1. 以具有管理特权的用户身份登录控制面板。
2. 选择 Identity > Projects。
3. 点击 Create Project。
4. 在 Project Information 选项卡中，输入项目的名称和描述。Enabled 复选框会被默认选中。
5. 在项目成员选项卡上，从 All Users 列表向项目添加成员。
6. 在 Quotas 选项卡上，为项目指定资源限值。
7. 点击 Create Project。

1. 以具有管理特权的用户身份登录控制面板。
2. 选择 Identity > Projects。
3. 在项目 Actions 列中，单击箭头，再单击 Edit Project。
4. 在 Edit Project 窗口中，您可以更新一个项目以更改其名称或描述，并启用或禁用项目。
5. 在 项目成员选项卡 上，向项目添加成员，或者根据需要删除它们。
6. 点击 Save。

1. 以具有管理特权的用户身份登录控制面板。
2. 选择 Identity > Projects。
3. 在项目 Actions 列中，单击箭头，再单击 Modify Quotas。
4. 在 Quota 选项卡中，根据需要修改项目配额。
5. 点击 Save。

1. 以具有管理特权的用户身份登录控制面板。
2. 选择 Identity > Projects。
3. 在项目 Actions 列中，单击箭头，再单击 Set as Active Project。
4. 或者，作为非管理员用户，在项目 Actions 列中，单击 Set as Active Project，它将成为列中的默认操作。

流程

1. 使用 --disable 选项禁用域：

   $ openstack domain set TestDomain --disable

2. 确认域已被禁用：

   $ openstack domain show TestDomain
   +-------------+----------------------------------+
   | Field       | Value                            |
   +-------------+----------------------------------+
   | description |                                  |
   | enabled     | False                            |
   | id          | 3abefa6f32c14db9a9703bf5ce6863e1 |
   | name        | TestDomain                       |
   +-------------+----------------------------------+

3. 如果需要，使用 --enable 选项重新启用域：

   $ openstack domain set TestDomain --enable

流程

1. 创建名为 /path/cacert.pem 的文件，并在标头和页脚中包括 LDAP 查询了从 Active Directory 获取 CA 证书的内容：

   -----BEGIN CERTIFICATE-----
   MIIDbzCCAlegAwIBAgIQQD14hh1Yz7tPFLXCkKUOszANB... -----END
   CERTIFICATE-----

2. 若要进行故障排除，您可以执行以下查询来检查 LDAP 是否正常工作，并确保 PEM 证书文件已正确创建。

   LDAPTLS_CACERT=/path/cacert.pem ldapsearch -xLLL -ZZ -H $LDAPURL -s base -b "" "objectclass=*" currenttime

   查询应返回类似如下的结果：

   dn: currentTime:
   20141022050611.0Z

3. 如果由 Web 服务器托管，请运行以下命令获取 CA 证书。

   • $HOST=redhat.com

   • $PORT=443

     # echo Q | openssl s_client -connect $HOST:$PORT | sed -n -e '/BEGIN CERTIFICATE/,/END CERTIFICATE/ p'

1. 将包含 PEM 格式的 CA 证书链的文件复制到 /etc/openldap/certs 目录。

2. 编辑 /etc/openldap/ldap.conf 并添加以下指令，将 [CA_FILE] 替换为 CA 证书文件的位置和名称：

   TLS_CACERT /etc/openldap/certs/[CA_FILE]

3. 重启 horizon 容器：

   # systemctl restart tripleo_horizon

1. 导入并信任证书，将 [CA_FILE] 替换为 CA 证书文件的位置和名称：

   # certutil -d /etc/openldap/certs -A -n "My CA" -t CT,, -a -i [CA_FILE]
   # certutil -d /etc/openldap/certs -A -n "My CA" -t CT,, -a -i [CA_FILE]

2. 确认正确导入 CA 证书：

   # certutil -d /etc/openldap/certs -L

   列出了您的 CA 证书，信任属性则设置为 CT、。

3. 重启 horizon 容器：

   # systemctl restart tripleo_horizon

1. 启用 TLS：

   # openstack-config --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf ldap use_tls True

2. 指定证书的位置，将 [CA_FILE] 替换为 CA 证书的名称：

   # openstack-config --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf ldap tls_cacertfile [CA_FILE]

3. 指定在 LDAP 服务器的传入 TLS 会话上执行的客户端证书检查，将 [CERT_BEHAVIOR] 替换为以下列出的其中一个行为：

   需求

   始终从 LDAP 服务器请求证书。如果未提供证书，则会话将被终止，或者无法针对现有的证书颁发机构文件验证证书。

   allow

   始终从 LDAP 服务器请求证书。即使未提供证书，会话也会正常进行。如果提供了证书，但无法针对现有的证书颁发机构文件验证证书，则证书将被忽略，会话将正常进行。

   never

   从不会请求证书。

   # openstack-config --set /var/lib/config-data/puppet-generated/keystone/etc/keystone/keystone.conf ldap tls_req_cert [CERT_BEHAVIOR]

4. 重启 keystone 和 horizon 容器：

   # systemctl restart tripleo_keystone
   # systemctl restart tripleo_horizon

1. 创建测试项目并测试用户帐户：

   1. 创建名为 AppCreds 的项目：

      $ openstack project create AppCreds

   2. 创建名为 AppCredsUser 的用户：

      $ openstack user create --project AppCreds --password-prompt AppCredsUser

   3. 为 AppCreds 项目授予 member 角色的 AppCredsUser 访问权限：

      $ openstack role add --user AppCredsUser --project AppCreds member

2. 以 AppCredsUser 身份登录仪表板并创建应用程序凭证：

   概述 → Identity → Application Credentials → +Create Application Credential。

   注意

   确保您下载 clouds.yaml 文件内容，因为在关闭了 Your Application Credential 的弹出窗口后，您无法再次访问它。

3. 使用 CLI 创建名为 /home/stack/.config/openstack/clouds.yaml 的文件，并粘贴 clouds.yaml 文件的内容。

   # This is a clouds.yaml file, which can be used by OpenStack tools as a source
   # of configuration on how to connect to a cloud. If this is your only cloud,
   # just put this file in ~/.config/openstack/clouds.yaml and tools like
   # python-openstackclient will just work with no further config. (You will need
   # to add your password to the auth section)
   # If you have more than one cloud account, add the cloud entry to the clouds
   # section of your existing file and you can refer to them by name with
   # OS_CLOUD=openstack or --os-cloud=openstack
   clouds:
     openstack:
       auth:
         auth_url: http://10.0.0.10:5000/v3
         application_credential_id: "6d141f23732b498e99db8186136c611b"
         application_credential_secret: "<example secret value>"
       region_name: "regionOne"
       interface: "public"
       identity_api_version: 3
       auth_type: "v3applicationcredential"

   注意

   您的部署这些值将有所不同。

4. 使用 Application Credential 来生成令牌。使用以下命令时，不得作为任何特定用户提供，且必须与 clouds.yaml 文件位于同一个目录中。

   [stack@undercloud-0 openstack]$ openstack --os-cloud=openstack token issue
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | Field      | Value                                                                                                                                                                                                        |
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | expires    | 2018-08-29T05:37:29+0000                                                                                                                                                                                     |
   | id         | gAAAAABbhiMJ4TxxFlTMdsYJpfStsGotPrns0lnpvJq9ILtdi-NKqisWBeNiJlUXwmnoGQDh2CMyK9OeTsuEXnJNmFfKjxiHWmcQVYzAhMKo6_QMUtu_Qm6mtpzYYHBrUGboa_Ay0LBuFDtsjtgtvJ-r8G3TsJMowbKF-yo--O_XLhERU_QQVl3hl8zmMRdmLh_P9Cbhuolt |
   | project_id | 1a74eabbf05c41baadd716179bb9e1da                                                                                                                                                                             |
   | user_id    | ef679eeddfd14f8b86becfd7e1dc84f2                                                                                                                                                                             |
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+

1. 创建一组新的应用凭据。
2. 将新凭据添加到应用配置文件中，替换现有的凭据。如需更多信息，请参阅将应用程序凭证与应用程序集成。
3. 重启应用程序服务以应用更改。
4. 删除旧应用程序凭证（如果适用）。有关命令行选项的更多信息，请参阅管理应用程序凭证。

1. 以 OpenStack 用户身份进行身份验证，后者最初创建即将过期的身份验证凭据。例如，如果您使用应用程序凭证 生成令牌的步骤， 则必须再次以 AppCredsUser 身份登录。

2. 创建名为 AppCred2 的应用凭据。这可以通过 OpenStack Dashboard 或 openstack CLI 界面完成：

   openstack application credential create --description "App Creds 2 - Member" --role member AppCred2

3. 复制上一命令输出中的 id 和 secret 参数。secret 参数值无法再次访问。
4. 将 ${HOME}/.config/openstack/clouds.yaml 文件中的 application_credential_id 和 application_credential_secret 参数值替换为您复制的 secret 和 id 值。

验证

1. 使用 clouds.yaml 生成令牌，以确认凭证按预期工作。使用以下命令时，不得作为任何特定用户提供，且必须与 clouds.yaml 文件位于同一个目录中：

   [stack@undercloud-0 openstack]$ openstack --os-cloud=openstack token issue

   输出示例：

   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | Field      | Value                                                                                                                                                                                                        |
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+
   | expires    | 2018-08-29T05:37:29+0000                                                                                                                                                                                     |
   | id         | gAAAAABbhiMJ4TxxFlTMdsYJpfStsGotPrns0lnpvJq9ILtdi-NKqisWBeNiJlUXwmnoGQDh2CMyK9OeTsuEXnJNmFfKjxiHWmcQVYzAhMKo6_QMUtu_Qm6mtpzYYHBrUGboa_Ay0LBuFDtsjtgtvJ-r8G3TsJMowbKF-yo--O_XLhERU_QQVl3hl8zmMRdmLh_P9Cbhuolt |
   | project_id | 1a74eabbf05c41baadd716179bb9e1da                                                                                                                                                                             |
   | user_id    | ef679eeddfd14f8b86becfd7e1dc84f2                                                                                                                                                                             |
   +------------+--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------+