Keystone 間 (K2K) フェデレーションを使用すると、複数の OpenStack デプロイで同じ ID ソースを共有できます。リージョンをまたぐサイトで 1 つのサイトが ID ソースとして使用されている場合に便利です。

VMware Integrated OpenStack デプロイは、Keystone 間フェデレーションのための ID プロバイダまたはサービス プロバイダとして構成できます。ID プロバイダは、サービス プロバイダにユーザー認証サービスを提供します。

手順

  1. OpenStack デプロイを Keystone ID プロバイダとして構成します。
    1. Integrated OpenStack Manager Web インターフェイスに admin ユーザーとしてログインします。
    2. [OpenStack デプロイ] で、デプロイの名前をクリックし、[管理] タブを開きます。
    3. [ID フェデレーション] タブで、[追加] をクリックします。
    4. [フェデレーション タイプ] ドロップダウン メニューから、[K2K] を選択します。
    5. 必須パラメータを入力します。
      オプション 説明

      [名前]

      ID プロバイダの名前を入力します。

      [説明]

      ID プロバイダの説明を入力します。

      [K2K プロバイダ タイプ]

      [ID プロバイダとしての Keystone] を選択します。

      [K2K サービス プロバイダのアドレス]

      サービス プロバイダとして機能する OpenStack デプロイのパブリック OpenStack エンドポイントを入力します（例：198.51.100.100）。

      [K2K サービス プロバイダ CA CERT]

      サービス プロバイダとして機能する OpenStack デプロイの vio.pem 証明書の内容を入力します。

      次のコマンドを実行すると、vio.pem ファイルの内容を表示できます。

      kubectl -n openstack get secrets certs -o jsonpath='{@.data.vio_certificate}' | base64 --decode
    6. [OK] をクリックします。
  2. 2 番目の OpenStack デプロイを、Keystone サービス プロバイダとして構成します。
    1. Integrated OpenStack Manager Web インターフェイスに admin ユーザーとしてログインします。
    2. [OpenStack デプロイ] で、デプロイの名前をクリックし、[管理] タブを開きます。
    3. [ID フェデレーション] タブで、[追加] をクリックします。
    4. [フェデレーション タイプ] ドロップダウン メニューから、[K2K] を選択します。
    5. 必須パラメータを入力します。
      オプション 説明

      [名前]

      ターゲット ID プロバイダの名前を入力します。このフィールドの値は、両方のデプロイで同じにする必要があります。

      [説明]

      サービス プロバイダの説明を入力します。

      [K2K プロバイダ タイプ]

      [サービス プロバイダとしての Keystone] を選択します。

      [K2K ID プロバイダ アドレス]

      ID プロバイダとして機能する OpenStack デプロイのパブリック OpenStack エンドポイントを入力します（例：192.0.2.100）。

      [K2K ID プロバイダ ポート]

      ID プロバイダとして機能する OpenStack デプロイの Keystone ポート番号を入力します（例：5000）。
    6. （オプション） [詳細設定] > [よく使用される詳細設定] の順に選択して、フェデレーション ユーザーのインポート先となる OpenStack ドメイン、プロジェクト、グループを入力できます。
      注：
      • ドメイン、プロジェクト、またはグループを入力しない場合は、次のデフォルト値が使用されます。
        • ドメイン：federated_domain
        • プロジェクト：federated_project
        • グループ：federated_group
      • ドメイン名として federated は入力しないでください。この名前は、Keystone によって予約済みです。
      • カスタム マッピングを指定する場合は、それらのマッピングに含まれているすべての OpenStack ドメイン、プロジェクト、グループを入力する必要があります。
    7. [OK] をクリックします。

結果

ユーザーとグループは、サービス プロバイダのデプロイから ID プロバイダのデプロイにフェデレーションされます。ID プロバイダのデプロイ上で VMware Integrated OpenStack ダッシュボードにログインすると、ページの右上にあるサービス プロバイダを選択できます。その後、サービス プロバイダのデプロイに対してアクションを実行できます。

注： ID フェデレーションを使用する場合は、パブリック OpenStack エンドポイントを介して VMware Integrated OpenStack ダッシュボードにアクセスする必要があります。フェデレーション ユーザーとしてログインする際は、プライベート OpenStack エンドポイントまたはコントローラの IP アドレスを使用しないでください。