Konfigurieren eines Keystone-zu-Keystone-Verbunds

In einem Keystone-zu-Keystone-Verbund (K2K) können mehrere OpenStack-Bereitstellungen dieselbe Identitätsquelle gemeinsam verwenden. Ein solcher Verbund eignet sich für regionsübergreifende Standorte, bei denen ein Standort als Identitätsquelle verwendet wird.

Eine VMware Integrated OpenStack-Bereitstellung kann als Identitätsanbieter oder Dienstanbieter für Keystone-zu-Keystone-Verbund konfiguriert werden. Ein Identitätsanbieter stellt Benutzerauthentifizierungsdienste für einen Dienstanbieter bereit.

Prozedur

1. Konfigurieren einer OpenStack-Bereitstellung als Keystone-Identitätsanbieter.
   1. Melden Sie sich bei der Webschnittstelle für Integrated OpenStack Manager an und wechseln Sie zum admin-Benutzer.
   2. Klicken Sie in OpenStack-Bereitstellung auf den Namen Ihrer Bereitstellung und öffnen Sie die Registerkarte Verwalten.
   3. Klicken Sie auf der Registerkarte Identitätsverbund auf Hinzufügen.
   4. Wählen Sie im Dropdown-Menü Verbundtyp die Option K2K aus.
   5. Geben Sie die erforderlichen Parameter ein.

      Option	Beschreibung
      Name	Geben Sie einen Namen für den Identitätsanbieter ein.
      Beschreibung	Geben Sie eine Beschreibung des Identitätsanbieters ein.
      K2K-Anbietertyp	Wählen Sie Keystone als Identitätsanbieter aus.
      Adresse des K2K-Dienstanbieters	Geben Sie den öffentlichen OpenStack-Endpoint der OpenStack-Bereitstellung ein, die als Dienstanbieter fungieren soll (z. B. 198.51.100.100).
      K2K-Dienstanbieter-CA-Zertifikat	Geben Sie den Inhalt des vio.pem-Zertifikats aus der OpenStack-Bereitstellung ein, die als Dienstanbieter fungieren soll. Sie können den Inhalt der vio.pem-Datei anzeigen, indem Sie den folgenden Befehl ausführen: kubectl -n openstack get secrets certs -o jsonpath='{@.data.vio_certificate}' | base64 --decode

   6. Klicken Sie auf OK.
2. Konfigurieren Sie die zweite OpenStack-Bereitstellung als Keystone-Dienstanbieter.
   1. Melden Sie sich bei der Webschnittstelle für Integrated OpenStack Manager an und wechseln Sie zum admin-Benutzer.
   2. Klicken Sie in OpenStack-Bereitstellung auf den Namen Ihrer Bereitstellung und öffnen Sie die Registerkarte Verwalten.
   3. Klicken Sie auf der Registerkarte Identitätsverbund auf Hinzufügen.
   4. Wählen Sie im Dropdown-Menü Verbundtyp die Option K2K aus.
   5. Geben Sie die erforderlichen Parameter ein.

      Option	Beschreibung
      Name	Geben Sie den Namen des Zielidentitätsanbieters ein. Der Wert dieses Felds muss in beiden Bereitstellungen identisch sein.
      Beschreibung	Geben Sie eine Beschreibung des Dienstanbieters ein.
      K2K-Anbietertyp	Wählen Sie Keystone als Dienstanbieter aus.
      Adresse des K2K-Identitätsanbieters	Geben Sie den öffentlichen OpenStack-Endpoint der OpenStack-Bereitstellung ein, die als Identitätsanbieter fungiert (z. B. 192.0.2.100).
      Port des K2K-Identitätsanbieters	Geben Sie die Keystone-Portnummer der OpenStack-Bereitstellung ein, die als Identitätsanbieter fungiert (z. B. 5000).

   6. (Optional) Sie können Erweiterte Einstellungen > Gemeinsame erweiterte Einstellungen auswählen und eine OpenStack-Domäne, ein Projekt und eine Gruppe eingeben, in die Verbundbenutzer importiert werden.
      Hinweis:

      • Wenn Sie keine Domäne, kein Projekt oder keine Gruppe eingeben, werden die folgenden Standardwerte verwendet:
        • Domäne: federated_domain
        • Projekt: federated_project
        • Gruppe: federated_group
      • Geben Sie nicht federated als Domänennamen ein. Dieser Name ist für Keystone reserviert.
      • Wenn Sie benutzerdefinierte Zuordnungen bereitstellen, müssen Sie alle OpenStack-Domänen, -Projekte und -Gruppen eingeben, die in diesen Zuordnungen enthalten sind.
   7. Klicken Sie auf OK.

Ergebnisse

Benutzer und Gruppen sind von der Dienstanbieter-Bereitstellung bis zur Identitätsanbieter-Bereitstellung miteinander verbunden. Wenn Sie sich beim VMware Integrated OpenStack-Dashboard für die Identitätsanbieter-Bereitstellung anmelden, können Sie den Dienstanbieter oben rechts auf der Seite auswählen. Anschließend können Sie Aktionen für die Dienstanbieter-Bereitstellung durchführen.

Hinweis: Wenn Sie den Identitätsverbund verwenden, müssen Sie über den öffentlichen OpenStack-Endpoint auf das VMware Integrated OpenStack-Dashboard zugreifen. Verwenden Sie nicht den privaten OpenStack-Endpoint oder eine Controller-IP-Adresse für die Anmeldung als Verbundbenutzer.