openstack 角色管理 openstack管理员权限

转载

davisl 2023-07-10 17:51:21

文章标签 openstack 角色管理 json 创建项目 python 文章分类 OpenStack 云计算

每一个平台、系统都会对于用户的权限进行严格的管理与控制。

openstack是一个开源的项目，我们可以直接下载其源码，进行更改以达到我们的要求。

这里只是针对于用户的权限进行管理，以keystone：

keystone是使用policy.json定义权限，其它openstack组件也是一样的，都是存在文件policy.json（在这文件中保证的是该组件对于用户身份的管理权限的控制）：

/etc/nova/policy.json
/etc/keystone/policy.json
/etc/glance/policy.json
/etc/neutron/policy.json
/etc/cinder/policy.json

keystone的policy.json文件位于：
/etc/keystone/policy.json

其内容如下：

1 {
2 "admin_required": "role:admin or is_admin:1",34 "identity:get_project": "rule:admin_required",
35 "identity:list_projects": "rule:admin_required",
36 "identity:list_user_projects": "rule:admin_or_owner",
37 "identity:create_project": "rule:admin_required",
38 "identity:update_project": "rule:admin_required",
39 "identity:delete_project": "rule:admin_required",41 "identity:get_user": "rule:admin_required",
42 "identity:list_users": "rule:admin_required",
43 "identity:create_user": "rule:admin_required",
44 "identity:update_user": "rule:admin_required",
45 "identity:delete_user": "rule:admin_required",
46 "identity:change_password": "rule:admin_or_owner",

此文件的格式为 ------------ identity：行为名： rule：规则

每一个规则在这个文件的前面几行有规则的书写：

如34行：34 "identity:get_project": "rule:admin_required",

获取项目：rule：admin_required。这个规则在文本第二行有书写：2 "admin_required": "role:admin or is_admin:1",

如果满足这个规则，就说明这个用户可以进行前面的行为。

就34行来说：就是如果用户是管理员或者是管理员身份，他就可以进行get_project这个操作.

我们如果需要对这个行为进行一个自定义的控制的话，我们可以自行的修改policy.json文件，

并且这个文件在openstack中，是动态运行的，所以在修改之后，我们不需要去重新启动openstack。

下面是我自己做的修改：

"keystone01_role":"role:keystone01_role",

在此之前，我已经新建了一个role，名字是keystone01_role。

同时，我做了以下的修改：