Configurar la federación de Keystone a Keystone

La federación de Keystone a Keystone (Keystone to Keystone, K2K) permite que varias implementaciones de OpenStack compartan el mismo origen de identidad. Resulta útil para los sitios que abarcan varias regiones, donde un sitio se utiliza como el origen de identidad.

Una implementación de VMware Integrated OpenStack puede configurarse como un proveedor de identidad o un proveedor de servicio para la federación de Keystone a Keystone. Un proveedor de identidad proporciona servicios de autenticación de usuario a un proveedor de servicio.

Procedimiento

1. Configure una implementación de OpenStack como un proveedor de identidad de Keystone.
   1. Inicie sesión en la interfaz web Integrated OpenStack Manager como el usuario de admin.
   2. En Implementación de OpenStack, haga clic en el nombre de la implementación y abra la pestaña Administrar.
   3. En la pestaña Federación de identidades, haga clic en Agregar.
   4. En el menú desplegable Tipo de federación, seleccione K2K.
   5. Introduzca los parámetros requeridos.

      Opción	Descripción
      Nombre	Escriba un nombre para el proveedor de identidad.
      Descripción	Introduzca una descripción del proveedor de identidad.
      Tipo de proveedor de K2K	Selecciones Keystone como proveedor de identidad.
      Dirección del proveedor de servicio de K2K	Introduzca el endpoint de OpenStack público de la implementación de OpenStack que actuará como el proveedor de servicio (por ejemplo, 198.51.100.100).
      CERTIFICADO DE CA de proveedor de servicio de K2K	Introduzca el contenido del certificado vio.pem desde la implementación de OpenStack que actuará como el proveedor de servicio. Para poder visualizar el contenido del archivo vio.pem, ejecute el siguiente comando: kubectl -n openstack get secrets certs -o jsonpath='{@.data.vio_certificate}' | base64 --decode

   6. Haga clic en Aceptar.
2. Configure la segunda implementación de OpenStack como un proveedor de servicio de Keystone.
   1. Inicie sesión en la interfaz web Integrated OpenStack Manager como el usuario de admin.
   2. En Implementación de OpenStack, haga clic en el nombre de la implementación y abra la pestaña Administrar.
   3. En la pestaña Federación de identidades, haga clic en Agregar.
   4. En el menú desplegable Tipo de federación, seleccione K2K.
   5. Introduzca los parámetros requeridos.

      Opción	Descripción
      Nombre	Introduzca el nombre del proveedor de identidad de destino. El valor de este campo debe ser el mismo en ambas implementaciones.
      Descripción	Introduzca una descripción del proveedor de servicio.
      Tipo de proveedor de K2K	Seleccione Keystone como proveedor de servicios.
      Dirección del proveedor de identidad de K2K	Introduzca el endpoint de OpenStack público de la implementación de OpenStack que actúa como el proveedor de identidad (por ejemplo, 192.0.2.100).
      Puerto del proveedor de identidad de K2K	Introduzca el número de puerto de Keystone de la implementación de OpenStack que actúa como el proveedor de identidad (por ejemplo, 5000).

   6. (opcional) Puede seleccionar Configuración avanzada > Configuración avanzada común e introducir un dominio, un proyecto y un grupo de OpenStack en el que se importarán usuarios federados.
      Nota:

      • Si no introduce un dominio, un proyecto o un grupo, se utilizan los siguientes valores predeterminados:
        • Dominio: federated_domain
        • Proyecto: federated_project
        • Grupo: federated_group
      • No introduzca federated como el nombre de dominio. Este nombre está reservado por Keystone.
      • Si proporciona asignaciones personalizadas, debe introducir todos los dominios, los proyectos y los grupos de OpenStack que se incluyen en dichas asignaciones.
   7. Haga clic en Aceptar.

Resultados

Los usuarios y los grupos se federan de la implementación del proveedor de servicio a la implementación del proveedor de identidad. Al iniciar sesión en el panel de control de VMware Integrated OpenStack en la implementación del proveedor de identidad, puede seleccionar el proveedor de servicio en la parte superior derecha de la página. A continuación, puede realizar acciones en la implementación del proveedor de servicio.

Nota: Al utilizar la federación de identidades, debe acceder al panel de control de VMware Integrated OpenStack a través del endpoint de OpenStack público. No utilice el endpoint de OpenStack privado ni una dirección IP de controlador para iniciar sesión como usuario federado.