Configurer la fédération Keystone à Keystone

La fédération Keystone à Keystone (K2K) permet à plusieurs déploiements OpenStack de partager la même source d'identité. Elle est utile sur les sites s'étendant sur plusieurs régions où un site est utilisé comme source d'identité.

Un déploiement de VMware Integrated OpenStack peut être configuré en tant que fournisseur d'identité ou fournisseur de services pour la fédération Keystone à Keystone. Un fournisseur d'identité fournit des services d'authentification utilisateur à un fournisseur de services.

Procédure

1. Configurez un déploiement OpenStack en tant que fournisseur d'identité Keystone.
   1. Connectez-vous à l'interface Web de Integrated OpenStack Manager en tant qu'utilisateur admin.
   2. Dans Déploiement OpenStack, cliquez sur le nom de votre déploiement et ouvrez l'onglet Gérer.
   3. Dans l'onglet Fédération d'identité, cliquez sur Ajouter.
   4. Dans le menu déroulant Type de fédération, sélectionnez K2K.
   5. Entrez les paramètres requis.

      Option	Description
      Nom	Entrez le nom du fournisseur d'identité.
      Description	Entrez la description du fournisseur d'identité.
      Type de fournisseur K2K	Sélectionnez Keystone en tant que fournisseur d'identité.
      Adresse du fournisseur de services K2K	Entrez le point de terminaison OpenStack public du déploiement OpenStack qui fera office de fournisseur de services (par exemple, 198.51.100.100).
      CERTIFICAT d'autorité de certification du fournisseur de services K2K	Entrez le contenu du certificat vio. pem à partir du déploiement OpenStack qui fera office de fournisseur de services. Vous pouvez afficher le contenu du fichier vio.pem en exécutant la commande suivante : kubectl -n openstack get secrets certs -o jsonpath='{@.data.vio_certificate}' | base64 --decode

   6. Cliquez sur OK.
2. Configurez le deuxième déploiement OpenStack en tant que fournisseur de services Keystone.
   1. Connectez-vous à l'interface Web de Integrated OpenStack Manager en tant qu'utilisateur admin.
   2. Dans Déploiement OpenStack, cliquez sur le nom de votre déploiement et ouvrez l'onglet Gérer.
   3. Dans l'onglet Fédération d'identité, cliquez sur Ajouter.
   4. Dans le menu déroulant Type de fédération, sélectionnez K2K.
   5. Entrez les paramètres requis.

      Option	Description
      Nom	Entrez le nom du fournisseur d'identité cible. La valeur de ce champ doit être la même pour les deux déploiements.
      Description	Entrez la description du fournisseur de services.
      Type de fournisseur K2K	Sélectionnez Keystone en tant que fournisseur de services.
      Adresse du fournisseur d'identité K2K	Entrez le point de terminaison OpenStack public du déploiement OpenStack utilisé en tant que fournisseur d'identité (par exemple, 192.0.2.100).
      Port du fournisseur d'identité K2K	Entrez le numéro de port Keystone du déploiement OpenStack utilisé en tant que fournisseur d'identité (par exemple, 5 000).

   6. (Facultatif) Vous pouvez sélectionner Paramètres avancés > Paramètres avancés communs et entrer un domaine, un projet et un groupe OpenStack dans lesquels les utilisateurs fédérés seront importés.
      Note :

      • Si vous n'entrez pas de domaine, de projet ou de groupe, les valeurs par défaut suivantes sont utilisées :
        • Domaine : federated_domain
        • Projet : federated_project
        • Groupe : federated_group
      • N'entrez pas federated comme nom de domaine. Ce nom est réservé par Keystone.
      • Si vous fournissez des mappages personnalisés, vous devez entrer tous les domaines, projets et groupes OpenStack qui sont inclus dans ces mappages.
   7. Cliquez sur OK.

Résultats

Les utilisateurs et les groupes sont fédérés du déploiement du fournisseur de services au déploiement du fournisseur d'identité. Lorsque vous vous connectez au tableau de bord VMware Integrated OpenStack sur le déploiement du fournisseur d'identité, vous pouvez sélectionner le fournisseur de services dans le coin supérieur droit de la page. Vous pouvez ensuite effectuer des actions sur le déploiement du fournisseur de services.

Note : Lorsque vous utilisez la fédération d'identités, vous devez accéder au tableau de bord VMware Integrated OpenStack sur le point de terminaison OpenStack public. N'utilisez pas le point de terminaison OpenStack privé ou une adresse IP de contrôleur pour vous connecter en tant qu'utilisateur fédéré.