हवाना रिलीज़ में कीस्टोन डोमेन के साथ अपने ओपनस्टैक प्रोजेक्ट्स को कैसे प्रबंधित करें

लेखक सर्गेई काशाबा



ओपनस्टैक डोमेन प्रोजेक्ट या किरायेदारों के संयोजन की एक विधि है (जैसा कि उन्हें ग्रिज़ली में कहा जाता था) स्वतंत्र समूहों में। इसके अलावा, वे आपको एक विशिष्ट डोमेन तक पहुंच को प्रतिबंधित करने की अनुमति देते हैं। उदाहरण के लिए, जैसा कि आप शायद याद करते हैं, जब डोमेन का उपयोग नहीं किया गया था, तो जिस उपयोगकर्ता को एक परियोजना में प्रशासक की भूमिका सौंपी गई थी, वह संपूर्ण क्लस्टर का व्यवस्थापक था और कोई भी संचालन कर सकता था। डोमेन के आगमन के साथ, आप किसी उपयोगकर्ता को उस डोमेन में केवल व्यवस्थापक विशेषाधिकारों के साथ एक व्यवस्थापक की भूमिका सौंप सकते हैं।

यह आलेख कुछ स्थितियों पर चर्चा करेगा जिसमें डोमेन आपकी परियोजनाओं को व्यवस्थित करने में आपकी सहायता कर सकते हैं। एक बार जब आप इसका पता लगा लेते हैं, तो हम इस पर विचार करने के लिए आगे बढ़ेंगे कि वास्तव में इस उद्देश्य के लिए डोमेन का उपयोग कैसे करें

प्रेरणा

हमने पहली बार एक साल पहले डोमेन का सामना किया था जब हमारे एक कॉर्पोरेट ग्राहक ने ओपनस्टैक डोमेन के समान कार्यक्षमता का अनुरोध किया था। यह ग्रिजली चक्र का हिस्सा था। हमने इसके बारे में पढ़ा और कहा: “यो-हो-हो! हम डोमेन कार्यक्षमता का उपयोग कर सकते हैं! ” उस समय, यह सिर्फ पेश किया गया था।



लेकिन ओपनस्टैक है ... ओपनस्टैक, और यह कार्यक्षमता सभी आवश्यक घटकों द्वारा समर्थित नहीं थी। इसलिए, हमने अनुरोध किए गए उपयोग परिदृश्यों को लागू करने के लिए कीस्टोन के लिए एक पैच बनाया और बाद में इस पर लौटने का फैसला किया।



छह महीने बाद, हवाना रिलीज हुई। चूंकि कॉरपोरेट सेगमेंट के लिए डोमेन की कार्यक्षमता बहुत उपयोगी है, इसलिए हमने वैनिला हवाना रिलीज़ का उपयोग करते हुए अवधारणा की शुद्धता का प्रमाण प्राप्त करने का निर्णय लिया।



हम निम्नलिखित उपयोग मामलों को कवर करना चाहते थे:

1. IaaS व्यवस्थापक के रूप में, मुझे किरायेदारों (अब परियोजनाएं) को एकत्र करने के लिए डोमेन बनाने में सक्षम होना चाहिए।



2. IaaS व्यवस्थापक के रूप में, मुझे एक उपयोगकर्ता को डोमेन व्यवस्थापक के रूप में जोड़ने में सक्षम होना चाहिए।



3. एक डोमेन प्रशासक के रूप में, मुझे निम्नलिखित में सक्षम होना चाहिए:



• इस डोमेन के भीतर प्रोजेक्ट बनाएं, हटाएं, स्थानांतरित करें, अपडेट करें और हटाएं। परियोजनाओं की सूची में केवल इस डोमेन की परियोजना होनी चाहिए।



• परियोजना की भूमिकाओं के संबंध में उपयोगकर्ता पर CRUD संचालन करें।



4. LDAP का उपयोग उपयोगकर्ता नाम / पासवर्ड के स्रोत के रूप में किया जाना चाहिए।



5. केवल REST API का उपयोग करना सुनिश्चित करें। न तो UI और न ही CLI की आवश्यकता है।



इस बार हमने ऐसा किया। मैं यह नहीं कहूंगा कि कोई समस्या नहीं थी, लेकिन परियोजना ने दिखाया कि हवाना में डोमेन, कम से कम, लागू किया जा सकता है।

शुरू करने के लिए, ध्यान, मार्च!

हमने देवस्टैक में स्थिर / हवाना शाखा का उपयोग कर डोमेन का परीक्षण किया। लोकल आर्क फ़ाइल में पासवर्ड प्रदान करने के लिए केवल पैरामीटर हैं।



अध्ययन के दौरान, हमने पाया कि सीएलआई केवल आंशिक रूप से डोमेन का उपयोग करने के लिए तैयार है। यह औसत उपयोगकर्ता के लिए पूर्ण कार्यक्षमता प्रदान करता है, लेकिन सभी प्रशासन के लिए नहीं ( इस समस्या का विवरण और इसके समाधान के लिए मामलों की स्थिति यहां देखी जा सकती है )।



डोमेन की कार्यक्षमता का उपयोग करने के लिए आपको निम्नलिखित कार्य करने होंगे:

1. मार्कर के प्रारूप को UUID में बदलें (फ़ाइल कीस्टोन.कॉन्फ़, अनुभाग [हस्ताक्षर], token_format = UUID)। Glance में PKI टोकन के साथ समस्याएं हैं (कम से कम v3 टोकन के साथ), और जब प्रमाणित किया जाता है, तो डिफ़ॉल्ट PKI का उपयोग करते समय एक 'बॉडी बहुत बड़ी है' त्रुटि उत्पन्न होती है (समस्या न केवल डोमेन का उपयोग करते समय होती है) ।



2. ठीक से कीस्टोन के लिए सही नीति। Json फ़ाइल। डोमेन सत्यापन डिफ़ॉल्ट नीति फ़ाइल में समर्थित नहीं है। हमने गिट से कीस्टोन के साथ आने वाली फ़ाइल का पुन: उपयोग किया, और फिर उसमें परिवर्तन किए ।



3. Glas-api और paste.registry विन्यास फाइलों को Glance में Nova, Glance-api और paste.registry कॉन्फ़िगरेशन फ़ाइलों को बदलकर V3.0 प्रमाणीकरण का उपयोग करने में सक्षम होने के लिए 'फिल्टर': Corttoken] अनुभाग में 'विशेषाधिकार_version = v3.0' जोड़ें। परीक्षण वातावरण में, हमने वीएम शुरू करने के लिए केवल नोवा और ग्लेंस का उपयोग किया। यदि आप अन्य सेवाओं का उपयोग करते हैं, तो संबंधित कॉन्फ़िगरेशन फ़ाइलों में परिवर्तन करना न भूलें। यदि ऐसा नहीं किया जाता है, तो Nova और Glance क्लाइंट V2 टोकन की जाँच करेंगे और "केवल डिफ़ॉल्ट डोमेन V2.0 पर अनुमति दी गई है" ("केवल डिफ़ॉल्ट डोमेन V2.0 में उपयोग किया जा सकता है")।



4. अलग कीस्टोन समापन बिंदु ताकि पहचान सेवा v3 को इंगित करे, न कि v2.0।



5. उन सेवाओं को पुनः आरंभ करें जिनकी सेटिंग बदल दी गई है।



कृपया ध्यान दें कि क्लाइंट के अनुरोध पर, हमने केवल REST इंटरफ़ेस का उपयोग किया और CLI / PythonAPI / UI क्लाइंट का उपयोग नहीं किया।

डोमेन कैसे प्रबंधित करें

डोमेन की खोज में लगभग एक सप्ताह बिताने के बाद, मैं कह सकता हूं कि यह समझने के लिए दो प्रमुख बिंदु हैं कि वे कैसे काम करते हैं:

1. कैसे एक मार्कर बनाने के लिए और, विशेष रूप से, टोकन गुंजाइश।



2. राजनेताओं को कैसे लॉन्च किया जाता है।



इस लेख में, कर्ल कमांड का उपयोग करके सभी उदाहरण दिए जाएंगे। यह दो कारणों से किया जाता है। सबसे पहले, इस दस्तावेज़ को लिखते समय, CLI ने कमांड लाइन के माध्यम से डोमेन-संबंधित पैरामीटर सेट करने का समर्थन नहीं किया। दूसरे, और अधिक महत्वपूर्ण बात, सीएलआई कुछ विवरणों को प्रकट नहीं करता है जो यह समझने के लिए आवश्यक हैं कि यह कैसे काम करता है।

मार्कर निर्माण

पहले आपको एक मार्कर बनाने की आवश्यकता है, जो काफी सरल है। यह निम्नलिखित प्रश्न का उपयोग करके किया जाता है:



curl -si -X POST -H "कंटेंट-टाइप: एप्लीकेशन / जसन" -d '{"ऑर्टिकल": {"स्कोप": {"डोमेन": {"id": "XXXXX"}}, "आइडेंटिटी": "" पासवर्ड ": {" उपयोगकर्ता ": {" डोमेन ": {" नाम ":" डिफ़ॉल्ट "}," पासवर्ड ":" मात्रा "," आईडी ":" YYYYYY "}}," तरीके ": [" पासवर्ड " "]}}}" 127.0.0.1 : 5000 / v3 / सामान्य / टोकन | awk '/ X-Subject-Token / {Print $ 2}' | tr -d '\ r'



यहां आप json फ़ाइल के महत्वपूर्ण भाग को देख सकते हैं जिसे निकाय के रूप में पारित किया गया है - गुंजाइश। एक डोमेन या तो एक डोमेन या एक परियोजना हो सकती है। मार्कर क्षेत्र नीति को चलाने में शामिल है, इसलिए इसे समझना और याद रखना महत्वपूर्ण है। यदि दिलचस्पी है, तो आप ऑब्जेक्ट बनाने के लिए उपयोग किए गए कोड का पता लगाने के लिए फ़ंक्शन कीस्टोन / ऑर्टिकल / कंट्रोलर्सहोम: AuthInfo._validate_and_normalize_scope_data पर एक नज़र डाल सकते हैं, जो तब पॉलिसी क्रेडेंशियल उत्पन्न करने के लिए उपयोग किया गया था।

नीति लॉन्च करें

पॉलिसी चलाना अधिक जटिल है। यह मुख्य उपयोग का मामला है। सौभाग्य से, जैसे ही आपको यह समझ में आता है कि यह कैसे होता है, आप अधिकांश डोमेन संचालन कर सकते हैं। पॉलिसी शुरू करते समय, तीन नए कीवर्ड का उपयोग किया जाता है: क्रेडेंशियल, पॉलिसी और लक्ष्य। अब देखते हैं कि उनमें से प्रत्येक का निर्माण और उपयोग क्या है।

साख (साख)

क्रेडेंशियल ऑब्जेक्ट मार्कर के आधार पर बनाया गया एक मार्कर है और इसमें प्राप्त मार्कर का क्षेत्र शामिल है, साथ ही उपयोगकर्ता को सौंपी गई भूमिकाएं भी शामिल हैं।

नीति (नीति)

एक नीति OR / AND तर्क के अनुसार संयुक्त नियमों का एक समूह है। भविष्य के रिलीज में, इसे अधिक पठनीय बनना चाहिए, लेकिन अब हम वर्तमान में उपयोग किए जाने वाले प्रारूप का उपयोग करेंगे। ऊपर दिए गए उदाहरण के रूप में पॉलिसी के कुछ टुकड़े निम्नलिखित हैं।



"Admin_required": [["भूमिका: व्यवस्थापक"]],



"स्वामी": [["user_id:% (user_id) s"], ["user_id:% (target.entity.user_id) s"]],



"पहचान: get_project": [["नियम: admin_required",

"Domain_id:% (target.project.domain_id) s"]],



"पहचान: list_projects": [["नियम: admin_required", "domain_id:% (domain_id) s"]]।



"पहचान: list_user_projects": [["नियम: स्वामी"], ["नियम: admin_request",

"Domain_id:% (domain_id) s"]],



सब कुछ वर्ग कोष्ठक ([]) में संलग्न होना चाहिए।



एक नियम का सबसे छोटा टुकड़ा (आप इसे "परमाणु" नियम कह सकते हैं) सीमांकक के साथ एक स्ट्रिंग है जो सीमांकक (':') है। यह हो सकता है:

एक और नियम के लिए 1.Link। इस मामले में, बाईं ओर "नियम" है, और दाईं ओर नियम का नाम है।



2. सत्यापन तर्क की परिभाषा। इस मामले में, बाईं ओर वह कुंजी परिभाषित करता है जो क्रेडेंशियल ऑब्जेक्ट में है, और राइट साइड - कुछ ऐसा है जो 'लक्ष्य' में है। यह एक स्थिरांक भी हो सकता है। इसे क्रेडेंशियल_बॉजेक्ट [बाएं_साइड] == राइट_साइड% target_object के रूप में व्यक्त किया जा सकता है।



कई परमाणु नियमों को एक अल्पविराम (,) का उपयोग करके जोड़ा जा सकता है। इसका अर्थ है कि ये नियम AND तर्क पर आधारित हैं (उदाहरण के लिए: ["नियम: admin_required", "domain_id:% (domain_id) s"])। हम इसे "और नियम" कहते हैं।



यदि नियमों के दो सेट [] में संलग्न हैं, तो वे OR लॉजिक के आधार पर संयुक्त होते हैं। उदाहरण के लिए, [["नियम: स्वामी"], ["नियम: admin_required"]] का अर्थ है कि स्वामी के शासन या व्यवस्थापक द्वारा आवश्यक नियम निष्पादित किए जाने पर नियम को निष्पादित किया जाता है।



यदि नियम किसी अन्य नियम का उपयोग करता है, तो कोष्ठक में संलग्न नियम को उसी तरह वर्णित किया जाना चाहिए।



संक्षेप में: उदाहरण के लिए "" पहचान: list_user_projects ": [[" नियम: स्वामी "], [" नियम: admin_required "," domain_id:% (domain_id) s "]]" उपयोगकर्ता परियोजनाओं की सूची को केवल तभी अनुमति दी जाती है जब नियम के साथ अनुमति दी जाती है। 'स्वामी' नाम के साथ या व्यवस्थापक द्वारा आवश्यक नियम निष्पादित किया गया है, और टोकन क्षेत्र से domain_id लक्ष्य से डोमेन आईडी के बराबर है। ' अब हम लक्ष्य पर ध्यान केंद्रित करेंगे।

का उद्देश्य है (लक्ष्य)

लक्ष्य वस्तु भी निम्नलिखित पर आधारित एक शब्दकोश है:

• क्वेरी (अनुरोध) से क्वेरी स्ट्रिंग;



• लॉन्च की गई वस्तुएं।



उदाहरण के लिए:

• यदि हम किसी परियोजना के बारे में जानकारी प्राप्त करने की कोशिश कर रहे हैं, तो लक्ष्य यह परियोजना है



• यदि हम किसी परियोजना में किसी विशिष्ट भूमिका वाले उपयोगकर्ता को असाइन करने का प्रयास करते हैं, तो लक्ष्य भूमिका + परियोजना + उपयोगकर्ता है।



• यदि हम सभी परियोजनाओं को सूचीबद्ध करने का प्रयास करते हैं, तो लक्ष्य मूल्य खाली हो जाएगा (पहले तो यह मुझे परेशान करता था, क्योंकि मैंने सोचा था कि हमारे ग्राहकों द्वारा अनुरोध किए गए कुछ ऑपरेशन हवाना रिलीज में उपलब्ध नहीं थे। लेकिन हम भाग्यशाली थे, मुझसे गलती हुई।)



• यदि हम एक निश्चित मान (उदाहरण के लिए, डोमेन_आईडी) द्वारा फ़िल्टर का उपयोग करके सभी परियोजनाओं को सूचीबद्ध करने का प्रयास करते हैं, तो लक्ष्य में सभी फ़िल्टर शामिल हैं (यह मेरे लिए एक आश्चर्य था, लेकिन यह बहुत उपयोगी निकला)।



अनुरोध उदाहरण:



curl -sX GET -H "X-Auth-Token: $ OS_MYTOKEN" 127.0.0.1 : 5000 / v3 / प्रोजेक्ट्स? domain_id = $ OS_DOMAIN_ID



इस अनुरोध में, केवल domain_id को लक्ष्य में शामिल किया गया है। पॉलिसी में शामिल किया जाने वाला नियम .json फ़ाइल "पहचान: list_projects" हो सकती है: [[नियम: admin_required "," domain_id:% (domain_id) s "]।



यह सब जानते हुए भी आप पॉलिसी में बदलाव करके आसानी से पहुंच को नियंत्रित कर सकते हैं। फ़ाइल को खोलें।

इसके अलावा, आप डीबगिंग संदेशों को कीस्टोन / पॉलिसी / बैकेंड / रूल्सहोम में लिख सकते हैं: लॉग इन क्रेडेंशियल्स, नियम और लक्ष्यों को अधिक गहन विश्लेषण के लिए लागू करते हैं। इस पद्धति ने मुझे यह समझने में मदद की कि कुछ उपयोग मामलों में क्या होता है।

क्लाउड एडमिन

मौजूदा पॉलिसी.जसन फ़ाइल के अनुसार, मेरे लिए यह स्पष्ट नहीं था कि 'क्लाउड_डमिन' नियम का क्या मतलब है:



"Cloud_admin": "नियम: admin_required और domain_id: admin_domain_id",

"पहचान: get_domain": "नियम: cloud_admin",



कुछ शोध करने के बाद, मुझे पता चला कि यह एक सेवा टोकन का उपयोग किए बिना 'सुपर प्रशासक' को परिभाषित करने के लिए एक बहुत ही परिष्कृत समाधान है। आप बस एक डोमेन बनाते हैं जो 'सुपर डोमेन' है और नियम में admin_domain_id मान के अनुसार संबंधित आईडी निर्दिष्ट करें। उदाहरण के लिए, आप भटकाव में 'डिफ़ॉल्ट' का उपयोग कर सकते हैं और डिफ़ॉल्ट डोमेन को 'सुपर' प्रशासक के रूप में निर्दिष्ट कर सकते हैं।

प्रमुख कीस्टोन अधिकारियों द्वारा एक चर्चा के अनुसार, क्लाउड व्यवस्थापक की अवधारणा एक अस्थायी समाधान है और इसे सेवा प्रशासक की अवधारणा से बदल दिया जाएगा।

क्षितिज समर्थन

ब्लूप्रिंट के अनुसार, क्षितिज कई डोमेन का भी समर्थन कर सकता है। ऐसा करने के लिए, आपको या तो सेटिंग में केवल छोटे बदलाव करने की जरूरत है या लोकल_सेटिंग (जिसे हमने अपनी प्रयोगशाला में परीक्षण किया है):



OPENSTACK_API_VERSIONS = {

"पहचान": 3

}



OPENSTACK_KEYSTONE_MULTIDOMAIN_SUPPORT = सत्य

#OPENSTACK_KEYSTONE_URL = "http: //% s: 5000 / v2.0 ACK% OPENSTACK_HOST

OPENSTACK_KEYSTONE_URL = "http: //% s: 5000 / v3 OP% OPENSTACK_HOST

इन परिवर्तनों को करने के बाद, आपको डोमेन नाम इंगित करने के लिए लॉगिंग के चरण में एक अतिरिक्त इनपुट फ़ील्ड प्राप्त होगी। दुर्भाग्य से, प्रशासक क्रियाएं (जैसे डोमेन प्रबंधन और नियुक्तियां) कीस्टोन को V3 नीति ( लिंक ) को लागू करते समय क्षितिज में उपलब्ध नहीं हैं। हालांकि, इसके परिणामस्वरूप, नियमित उपयोगकर्ता कम से कम यूआई का उपयोग करने के बजाय सीआईएलएल कमांड भेजने में सक्षम है।

कमांड लाइन इंटरफ़ेस (सीएलआई)

जनवरी 2014 के मध्य में, सीएलआई में डोमेन समर्थन जोड़ा गया था, जो अब निम्नलिखित विकल्पों के अतिरिक्त सेट का समर्थन करता है:



-ओस-डोमेन-नाम <ऑर्ट-डोमेन-नाम>



अनुरोधित डोमेन-स्तरीय प्राधिकरण क्षेत्र का डोमेन नाम (पर्यावरण: OS_DOMAIN_NAME)।



-ओस-डोमेन-आईडी <ऑर्ट-डोमेन-आईडी>



अनुरोधित डोमेन-स्तरीय प्राधिकरण क्षेत्र की डोमेन आईडी (पर्यावरण: OS_DOMAIN_ID)।



-OOS- उपयोगकर्ता-डोमेन-नाम <ऑर्ट-उपयोगकर्ता-डोमेन-नाम>



उपयोगकर्ता डोमेन नाम (पर्यावरण: OS_USER_DOMAIN_NAME)।



-ओस-यूजर-डोमेन-आईडी <ऑर्थोर-यूजर-डोमेन-आईडी>



उपयोगकर्ता डोमेन आईडी (पर्यावरण: OS_USER_DOMAIN_ID)।



-OO- परियोजना-डोमेन-नाम <वस्तु-परियोजना-डोमेन-नाम>



परियोजना का डोमेन नाम, जो अनुरोधित डोमेन-स्तरीय प्राधिकरण क्षेत्र है (पर्यावरण: OS_PROJECT_DOMAIN_NAME)।



-OOs- प्रोजेक्ट-डोमेन-आईडी <स्थिति-प्रोजेक्ट-डोमेन-आईडी>



प्रोजेक्ट डोमेन आईडी, जो अनुरोधित डोमेन-स्तरीय प्राधिकरण क्षेत्र (पर्यावरण: OS_PROJECT_DOMAIN_ID) है।

इन मापदंडों का उपयोग करके, हम मार्कर क्षेत्र, प्रोजेक्ट डोमेन और उपयोगकर्ता डोमेन सेट कर सकते हैं।

यह सब एक साथ रखना

उपरोक्त सभी परिवर्तनों को लागू करते हुए, आप सभी आवश्यक कार्य कर सकते हैं। निम्नलिखित कर्ल कमांड की एक सूची है। मैं आपको याद दिलाता हूं कि मुझे यह सुनिश्चित करने की आवश्यकता थी कि इस परीक्षण के दौरान कार्य करने के लिए REST अनुरोध केवल चल रहे थे।

आवश्यक शर्तें:

Json प्रतिक्रियाओं के सुविधाजनक विश्लेषण के लिए, मैंने jq टूल का उपयोग किया।



sudo apt-get install जाक



हमने उपयोगकर्ता (LDAP से) भी बनाए: user0, डेमो

एक उदाहरण:

परीक्षण इस प्रकार है:



#export प्रारंभ चर।



निर्यात OS_AUTH_URL = http: //127.0.0.1: 5000 / v3



निर्यात OS_SERVICE_TOKEN = ओपनस्टैक



# सूची डोमेन



कर्ल -sX GET -H "X-Auth-Token: $ OS_SERVICE_TOKEN" 127.0.0.1 : 35357 / v3 / डोमेन | jq '.domains'



#or



ओपनस्टैक-पहचान-एपीआई-संस्करण 3 -ोस-यूआरएल 127.0.0.1 : 35357 / v3--टोकन ओपनस्टैक डोमेन सूची



# क्रिएट डोमेन



curl -sX POST -H "X-Auth-Token: $ OS_SERVICE_TOKEN" -H "सामग्री-प्रकार: आवेदन / json" -d "{" डोमेन ": {" सक्षम ": सत्य," नाम ":" dom0 ″} } ' 127.0.0.1 : 35357 / v3 / डोमेन | jq '।'



# सूची शो domain0



कर्ल -s -X GET -H "X-Auth-Token: $ OS_SERVICE_TOKEN" 127.0.0.1 : 35357 / v3 / डोमेन? नाम = dom0 | jq '.domains'



# उपयोगकर्ता को डोमेन व्यवस्थापक के रूप में असाइन करें



आईडी भूल जाओ



कर्ल -sX GET -H "X-Auth-Token: $ OS_SERVICE_TOKEN" 127.0.0.1 : 35357 / v3 / उपयोगकर्ता? नाम = user0 | jq '.users'



निर्यात OS_USER_ID = curl -sX GET -H "X-Auth-Token: $ OS_SERVICE_TOKEN" 127.0.0.1 : 35357 / v3 / उपयोगकर्ता? नाम = user0 | jq '.users []। id' | tr -d '' ''



कर्ल -sX GET -H "X-Auth-Token: $ OS_SERVICE_TOKEN" 127.0.0.1 : 35357 / v3 / डोमेन? नाम = dom0 | jq '.domains'



निर्यात OS_DOMAIN_ID = curl -sX GET -H "X-Auth-टोकन: $ OS_SERVICE_TOKEN" 127.0.0.1 : 35357 / v3 / डोमेन नाम? = = dom0 | jq '.domains []। id' | tr -d '""



कर्ल -sX GET -H "X-Auth-Token: $ OS_SERVICE_TOKEN" 127.0.0.1 : 35357 / v3 / भूमिकाएँ? नाम = व्यवस्थापक | jq '.roles'



curl -sX PUT -H "X-Auth-Token: $ OS_SERVICE_TOKEN" 127.0.0.1 : 35357 / v3 / डोमेन / $ OS_DOMAIN_ID / उपयोगकर्ता / $ OS_USER_ID / भूमिका / bc485df1732140928ad44804a1c9b5c5465465



curl -sX GET -H "X-Auth-Token: $ OS_SERVICE_TOKEN" 127.0.0.1 : 35357 / v3 / डोमेन / $ OS_DOMAIN_ID / उपयोगकर्ता / $ OS_USER_ID / भूमिका / | | jq '.roles'



एक डोमेन व्यवस्थापक के रूप में #Authenticate



निर्यात OS_MYTOKEN = curl -si -X POST -H "सामग्री-प्रकार: अनुप्रयोग / json" -d "{\" विशेषाधिकार \ ": {\" गुंजाइश \ ": {\" डोमेन \ ": {\" आईडी \ " : \ "$ OS_DOMAIN_ID \"}}, \ "पहचान \": {\ "पासवर्ड \": {\ "उपयोगकर्ता \": {\ "डोमेन \": {\ "नाम \": \ "डिफ़ॉल्ट \"} , \ "पासवर्ड \": \ "क्वर्टी \", \ "आईडी \": \ "$ OS_USER_ID \"}}, \ "तरीके \": [\ "पासवर्ड \"]}}}} " 127.0.0.1 : 5000" / v3 / सामान्य / टोकन | awk '/ X-Subject-Token / {Print $ 2}' | tr -d '\ r'



#create प्रोजेक्ट



curl -sX POST -H "X-Auth-Token: $ OS_MYTOKEN" -H "सामग्री-प्रकार: अनुप्रयोग / json" -d "{\" प्रोजेक्ट \ ": {\" name \ ": \" dom0p0 \ ", \ "सक्षम \": सही, \ "डोमेन_आईडी \": \ "$ OS_DOMAIN_ID \", \ "विवरण \": \ "\"}} " 127.0.0.1 : 5000 / v3 / परियोजनाओं | jq '।"



curl -sX GET -H "X-Auth-Token: $ OS_MYTOKEN" 127.0.0.1 : 5000 / v3 / प्रोजेक्ट्स? domain_id = $ OS_DOMAIN_ID \ & name = dom000। jq '.projects'



निर्यात OS_PROJECT_ID = curl -sX GET -H "X-Auth-Token: $ OS_MYTOKEN" 127.0.0.1 : 5000 / v3 / प्रोजेक्ट्स? domain_id = $ OS_DOMO_ID \ & name = dom0p0 | jq '.projects []। id' | tr -d '""



#add उपयोगकर्ता को प्रोजेक्ट करने के लिए



कर्ल -sX GET -H "X-Auth-Token: $ OS_MYTOKEN" 127.0.0.1 : 35357 / v3 / उपयोगकर्ता? नाम = डेमो | jq '.users'



निर्यात OS_DEMOUSER_ID = curl -sX GET -H "X-Auth-Token: $ OS_MYTOKEN" 127.0.0.1 : 35357 / v3 / उपयोगकर्ता? नाम = डेमो | jq '.users []। id' | tr -d '' ''



कर्ल -sX GET -H "X-Auth-Token: $ OS_MYTOKEN" 127.0.0.1 : 35357 / v3 / भूमिकाएँ? नाम = सदस्य | jq '.roles'



कर्ल -X PUT -H "X-Auth-Token: $ OS_MYTOKEN" 127.0.0.1 : 5000 / v3 / परियोजनाओं / $ OS_PROJECT_ID / उपयोगकर्ताओं / $ OS_DEMOUSER.ID / भूमिकाओं / c861b57d824d4619a739823d86308686646b6



कर्ल -X GET -H "X-Auth-Token: $ OS_MYTOKEN" 127.0.0.1 : 5000 / v3 / प्रोजेक्ट / $ OS_PROJECT_ID / उपयोगकर्ता / $ OS_DEMOUSER_ID / भूमिका / 'jq' .roles '|



उपयोगकर्ता के रूप में #authenticate



निर्यात OS_DEMOTOKEN_ID = कर्ल -si -X POST -H "कंटेंट-टाइप: एप्लिकेशन / जसन" -d "{\" ऑर्टिकल \ ": {\" स्कोप \ ": {\" प्रोजेक्ट \ ": {" आईडी " : \ "$ OS_PROJECT_ID \", \ "डोमेन \": {\ "आईडी \": \ "$ OS_DOMAIN_ID \"}}}, \ "पहचान \": {\ "पासवर्ड \": \ "उपयोगकर्ता \" : {\ "डोमेन \": {\ "नाम \": \ "डिफ़ॉल्ट \"}, \ "पासवर्ड \": \ "ओपनस्टैक \", \ "आईडी \": \ "$ OS_DEMOUSER_ID \"}}, \ "विधियाँ \": [\ "पासवर्ड \"]}}}} " 127.0.0.1 : 5000 / v3 / पर / टोकन | awk '/ X-Subject-Token / {Print $ 2}' | tr -d '\ r'



# वीएम पर



curl -si -X POST -H "X-Auth-Token: $ OS_DEMOTOKEN_ID" -H "सामग्री-प्रकार: अनुप्रयोग / json" -d '{"सर्वर": {"flavorRef": "1", "नाम": "Ksn", "imageRef": "c0843d76-0cc8-4a19-a9e3-169afd3aace2 ″}}} ' 127.0.0.1 : 8774 / v2 / अन्य iPhone_PROJECT_ID / सर्वर

प्रश्न खोलें

सामान्य तौर पर, इसे एक सफलता कहा जा सकता है, लेकिन फिर भी हमारे पास कुछ अनसुलझे मुद्दे हैं:

1. यह स्पष्ट नहीं है कि क्षितिज, V3 नीति को कीस्टोन में लागू करते समय प्रशासक संचालन का प्रबंधन कर सकता है या नहीं।



2. यदि आपने किसी उपयोगकर्ता को किसी अन्य डोमेन से किसी अन्य प्रोजेक्ट के लिए असाइन किया है, तो एक डोमेन को हटाना संभव नहीं है। समस्या ।

निष्कर्ष

सारांशित करते हुए, हम कह सकते हैं कि क्षितिज में डोमेन की कार्यक्षमता का उपयोग करने के लिए, आपको पहले यह सुनिश्चित करना होगा कि आप कीस्टोन एपीआई संस्करण V3 का उपयोग कर रहे हैं और आपने प्रमाणीकरण योजना को UUID में बदल दिया है। फिर आपको टोकन बनाने की आवश्यकता है, और फिर उपयुक्त नीतियां बनाएं और चलाएं। ऐसा करने के बाद, आप डोमेन बनाने और उपयोग करने के लिए सूची से आदेशों का उपयोग कर सकते हैं, आप क्षितिज या नए सीएलआई मापदंडों का भी उपयोग कर सकते हैं।



मूल लेख अंग्रेजी में ।