配置OpenStack各服務(wù)組件使用SSL通信

OpenStack 版本：Liberty
操作系統(tǒng)：CentOS7
下面的配置針對(duì)的是allinone的部署方式,但是同理的可以應(yīng)用到多節(jié)點(diǎn)的部署。
Email: xiao_wei@yeah.net

第1章配置keystone組件使用SSL

mkdir -p /root/ssl/private
mkdir -p /root/ssl/certs

制作三個(gè)密鑰證書文件

openssl genrsa -out /root/ssl/private/cakey.pem 1024

openssl req -new -x509 -extensions v3_ca -key /root/ssl/private/cakey.pem -out /root/ssl/certs/ca.pem -days 3650 -config /etc/keystone/ssl/certs/openssl.conf -subj /C=CN/ST=Unset/L=Unset/O=Unset/CN=192.168.247.43

openssl genrsa -out /root/ssl/private/signing_key.pem 1024

openssl req -key /root/ssl/private/signing_key.pem -new -out /root/ssl/certs/req.pem -config /etc/keystone/ssl/certs/openssl.conf -subj /C=CN/ST=Unset/L=Unset/O=Unset/CN=192.168.247.43

openssl ca -batch -out /root/ssl/certs/signing_cert.pem -config /etc/keystone/ssl/certs/openssl.conf -days 3650d -cert /root/ssl/certs/ca.pem -keyfile /root/ssl/private/cakey.pem -infiles /root/ssl/certs/req.pem

得到三個(gè)文件：

ca.pem
signing_cert.pem
signing_key.pem

mkdir -p /tmp/pems

將得到的三個(gè)文件放到/tmp/pems/目錄下代乃。

1.1 指定ssl使用的密鑰和證書

拷貝pem文件到keystone的ssl目錄

cp /tmp/pems/ca.pem /etc/keystone/ssl/certs/
cp /tmp/pems/signing_cert.pem /etc/keystone/ssl/certs/
cp /tmp/pems/signing_key.pem /etc/keystone/ssl/private/
chown keystone:keystone /etc/keystone/ssl –R

修改keystone的配置文件

[eventlet_server_ssl]
enable = True
certfile = /etc/keystone/ssl/certs/signing_cert.pem
keyfile = /etc/keystone/ssl/private/signing_key.pem
ca_certs = /etc/keystone/ssl/certs/ca.pem

1.2 更新keystone組件的endpoint

創(chuàng)建新的endpoint

openstack endpoint create --region RegionOne \
  identity public https://192.168.247.43:5000/v2.0
openstack endpoint create --region RegionOne \
  identity internal https://192.168.247.43:5000/v2.0
openstack endpoint create --region RegionOne \
  identity admin https://192.168.247.43:35357/v2.0

增加hosts記錄

 # vi /etc/hosts
192.168.247.43 liberty

修改環(huán)境變量文件

# vi /root/ admin-openrc.sh

unset OS_SERVICE_TOKEN
export OS_PROJECT_DOMAIN_ID=default
export OS_USER_DOMAIN_ID=default
export OS_PROJECT_NAME=admin
export OS_TENANT_NAME=admin
export OS_USERNAME=admin
export OS_PASSWORD=root
export OS_AUTH_URL=https://192.168.208.47:5000/v3 
export OS_IDENTITY_API_VERSION=3
export OS_CACERT=/etc/keystone/ssl/certs/ca.pem
export OS_REGION_NAME=RegionOne
export OS_IMAGE_API_VERSION=2

刪除舊的endpoint
```
openstack endpoint list
```

如果該命令執(zhí)行失敗限番，重啟服務(wù)后麻削，使用新的環(huán)境變量

  # source /root/admin-openrc.sh

  openstack endpoint delete $endpoint_id

$endpoint_id : 舊的keystone endpoint id

重啟keystone服務(wù)
```
systemctl openstack-keystone restart
```
確認(rèn)新的環(huán)境變量和新的endpoint可以使用
```
 # source /root/keystonerc_admin
 openstack endpoint list
```

第2章配置nova組件使用SSL

2.1 配置使用SSL訪問keystone

配置nova.conf劳跃，修改keystone認(rèn)證方式

 vi /etc/nova/nova.conf

 [keystone_authtoken]
 auth_uri = https://192.168.247.43:5000
 auth_url = https://192.168.247.43:35357
 cafile=/etc/nova/ssl/ca.pem
 insecure=True
 auth_host=192.168.247.43
 auth_protocol=https

注：auth_uri,auth_url名稱不一定正確红碑，以實(shí)際組件配置的為準(zhǔn)赶站，后續(xù)組件配置也是如此诈茧，注意注釋原來的auth_uri,auth_url

拷貝pem文件到nova的ssl目錄

 mkdir /etc/nova/ssl
 cp /tmp/pems/* /etc/nova/ssl
 chown nova:nova /etc/nova/ssl -R

重啟nova服務(wù)
```
 openstack-service restart nova
```

測(cè)試keystone認(rèn)證

 nova --debug --insecure hypervisor-list

觀察是否獲取token

2.2 指定nova使用的密鑰和證書

修改nova的配置文件

  vi /etc/nova/nova.conf

  enabled_ssl_apis = osapi_compute
  ssl_cert_file=/etc/nova/ssl/signing_cert.pem
  ssl_key_file=/etc/nova/ssl/signing_key.pem

2.3 更新nova組件的endpoint

創(chuàng)建新的endpoint

openstack endpoint create --region RegionOne \
  compute public https://192.168.208.47:8774/v2/%\(tenant_id\)s
openstack endpoint create --region RegionOne \
  compute internal https://192.168.208.47:8774/v2/%\(tenant_id\)s
openstack endpoint create --region RegionOne \
  compute admin https://192.168.208.47:8774/v2/%\(tenant_id\)s

刪除舊的endpoint

 openstack endpoint list
 openstack endpoint delete $endpoint_id

$endpoint_id : 舊的nova endpoint id

重啟nova服務(wù)
```
 openstack-service restart nova
```

測(cè)試nova服務(wù)

  nova --debug --insecure hypervisor-list

2.4 配置nova以SSL方式訪問其他組件

    vi /etc/nova/nova.conf

    [cinder]
    endpoint_template=https://192.168.247.43:8776/v2/%(project_id)s
    cafile=/etc/nova/ssl/ca.pem
    [glance]
    protocol=https
    api_servers = https://192.168.247.43:9292
    api_insecure=True
    [neutron]
    url = https://192.168.247.43:9696
    auth_url = https://192.168.247.43:35357
    cafile=/etc/nova/ssl/ca.pem
    insecure=True

第3章配置glance組件使用SSL

3.1 配置使用SSL訪問keystone

配置glance,修改keystone認(rèn)證方式

# vi /etc/glance/glance-api.conf

  [keystone_authtoken]
  auth_uri = https://192.168.247.43:5000
  auth_url = https://192.168.247.43:35357
  cafile=/etc/glance/ssl/ca.pem
  insecure=True
  auth_host= 192.168.247.43
  auth_protocol=https


# vi /etc/glance/glance-registry.conf

[keystone_authtoken]
auth_uri = https://192.168.247.43:5000
auth_url = https://192.168.247.43:35357
cafile=/etc/glance/ssl/ca.pem
insecure=True
auth_host= 192.168.247.43
auth_protocol=https


 # vi /etc/glance/glance-cache.conf

[DEFAULT]
auth_url=https://192.168.247.43:5000

拷貝pem文件到glance的ssl目錄

  mkdir /etc/glance/ssl
  cp /tmp/pems/* /etc/glance/ssl
  chown glance:glance /etc/glance/ssl -R

重啟glance服務(wù)

  systemctl openstack-glance-api restart
  systemctl openstack-glance-registry restart

測(cè)試keystone認(rèn)證
```
 nova --debug image-list
```

3.2 指定glance使用的密鑰和證書

修改glance的配置文件

# vi /etc/glance/glance-api.conf

 [DEFAULT]
 cert_file=/etc/glance/ssl/signing_cert.pem
 key_file=/etc/glance/ssl/signing_key.pem
 registry_client_protocol=https
 registry_client_ca_file=/etc/glance/ssl/ca.pem


 #vi /etc/glance/glance-registry.conf

 [DEFAULT]
 cert_file=/etc/glance/ssl/signing_cert.pem
 key_file=/etc/glance/ssl/signing_key.pem

3.3 更新glance組件的endpoint

創(chuàng)建新的endpoint

openstack endpoint create --region RegionOne \
  image public https://192.168.247.43:9292
openstack endpoint create --region RegionOne \
  image internal https://192.168.247.43:9292
openstack endpoint create --region RegionOne \
  image admin https://192.168.247.43:9292

刪除舊的endpoint

openstack endpoint-list
openstack endpoint-delete $endpoint_id

$endpoint_id : 舊的glance endpoint id

重啟glance服務(wù)

systemctl openstack-glance-api restart
systemctl openstack-glance-registry restart

測(cè)試glance服務(wù)
```
 nova --debug image-list
```

3.4 配置glance以SSL方式訪問其他組件

  # vi /etc/glance/glance-api.conf

   [glance_store]
   cinder_endpoint_template=https://192.168.247.43:8776/v2/%(project_id)s

  # vi /etc/glance/glance-registry.conf

    [glance_store]
    cinder_endpoint_template=https://192.168.247.43:8776/v2/%(project_id)s

第4章配置cinder組件使用SSL

4.1 配置使用SSL訪問keystone

配置cinder配置文件

# vi /etc/cinder/cinder.conf

 [keystone_authtoken]
 auth_uri = https://192.168.247.43:5000
 auth_url = https://192.168.247.43:35357
 cafile=/etc/cinder/ssl/ca.pem
 insecure = True
 auth_host = 192.168.247.43
 auth_protocol = https

拷貝pem文件到cinder的ssl目錄

 mkdir /etc/cinder/ssl
 cp /tmp/pems/* /etc/cinder/ssl
 chown cinder:cinder /etc/cinder/ssl -R

重啟cinder服務(wù)
```
 openstack-service restart glance
```
測(cè)試keystone認(rèn)證
```
 nova --debug list
```

可能出錯(cuò)产喉，原因在于網(wǎng)絡(luò)組件未配置https,觀察是否已經(jīng)獲取到Token

4.2 指定cinder使用的密鑰和證書

修改cinder的配置文件

 #vi /etc/cinder/cinder.conf

 [DEFAULT]
 ssl_cert_file=/etc/cinder/ssl/signing_cert.pem
 ssl_key_file=/etc/cinder/ssl/signing_key.pem

4.3 更新cinder組件的endpoint

創(chuàng)建新的endpoint

openstack endpoint create --region RegionOne \
  volume public https://192.168.247.43:8776/v1/%\(tenant_id\)s
openstack endpoint create --region RegionOne \
  volume internal https://192.168.247.43:8776/v1/%\(tenant_id\)s
openstack endpoint create --region RegionOne \
  volume admin https://192.168.247.43:8776/v1/%\(tenant_id\)s
openstack endpoint create --region RegionOne \
  volumev2 public https://192.168.247.43:8776/v2/%\(tenant_id\)s
openstack endpoint create --region RegionOne \
  volumev2 internal https://192.168.247.43:8776/v2/%\(tenant_id\)s
openstack endpoint create --region RegionOne \
  volumev2 admin https://192.168.247.43:8776/v2/%\(tenant_id\)s

刪除舊的endpoint

  openstack endpoint-list
  openstack endpoint-delete $endpoint_id

$endpoint_id : 舊的cinder endpoint id

重啟cinder服務(wù)
```
  openstack-service restart cinder
```
測(cè)試cinder服務(wù)
```
 cinder service-list
```

4.4 配置cinder以SSL方式訪問其他組件

# vi /etc/cinder/cinder.conf

[DEFAULT]
glance_host = 192.168.247.43
glance_api_servers = https://192.168.247.43:9292
glance_api_insecure = True
glance_ca_certificates_file = /etc/cinder/ssl/ca.pem
nova_endpoint_template = https://192.168.247.43:8774/v2/%(project_id)s
nova_ca_certificates_file = /etc/cinder/ssl/ca.pem
nova_api_insecure = True

第5章配置neutron組件使用SSL

5.1 配置使用SSL訪問keystone

修改neutron配置文件

  # vi /etc/neutron/metadata_agent.ini

 auth_url = https://192.168.247.43:35357
 auth_uri = https://192.168.247.43:5000

 # vi /etc/neutron/neutron.conf

 [keystone_authtoken]
 auth_url = https://192.168.247.43:35357
 auth_uri = https://192.168.247.43:5000
 identity_uri = https://192.168.247.43:5000
 cafile=/etc/neutron/ssl/ca.pem
 insecure=True
 auth_host=192.168.247.43
 auth_protocol=https

拷貝pem文件到neutron的ssl目錄

  mkdir /etc/neutron/ssl
  cp /tmp/pems/* /etc/neutron/ssl
  chown neutron:neutron /etc/neutron/ssl -R

重啟neutron服務(wù)
```
 openstack-service restart neutron
```
測(cè)試keystone認(rèn)證
```
  nova --debug net-list
```

觀察是否獲取到Token

5.2 指定neutron使用的密鑰和證書

修改neutron的配置文件

  # vi /etc/neutron/neutron.conf

  [ DEFAULT]
  use_ssl = True
  ssl_cert_file = /etc/neutron/ssl/signing_cert.pem
  ssl_key_file = /etc/neutron/ssl/signing_key.pem

5.3 更新neutron組件的endpoint

創(chuàng)建新的endpoint

openstack endpoint create --region RegionOne \
  network public https://192.168.247.43:9696
openstack endpoint create --region RegionOne \
  network internal https://192.168.247.43:9696
openstack endpoint create --region RegionOne \
  network admin https://192.168.247.43:9696

刪除舊的endpoint

openstack endpoint list
openstack endpoint delete $endpoint_id

$endpoint_id : 舊的neutron endpoint id

重啟neutron服務(wù)
```
 openstack-service restart neutron
```
測(cè)試neutron服務(wù)
```
 nova net-list
```

5.4 配置neutron以SSL方式訪問其他組件

# vi /etc/neutron/neutron.conf

[DEFAULT]
nova_url = https://192.168.247.43:8774/v2

注：dashboard本人沒有試驗(yàn)

最后編輯于：2017.12.11 04:31:19

?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請(qǐng)聯(lián)系作者

人面猴
序言：七十年代末，一起剝皮案震驚了整個(gè)濱河市敢会，隨后出現(xiàn)的幾起案子曾沈，更是在濱河造成了極大的恐慌，老刑警劉巖鸥昏，帶你破解...
沈念sama閱讀 221,888評(píng)論 6贊 515
死咒
序言：濱河連續(xù)發(fā)生了三起死亡事件塞俱，死亡現(xiàn)場(chǎng)離奇詭異，居然都是意外死亡吏垮，警方通過查閱死者的電腦和手機(jī)障涯，發(fā)現(xiàn)死者居然都...
沈念sama閱讀 94,677評(píng)論 3贊 399
救了他兩次的神仙讓他今天三更去死
文/潘曉璐我一進(jìn)店門，熙熙樓的掌柜王于貴愁眉苦臉地迎上來膳汪，“玉大人唯蝶，你說我怎么就攤上這事∫潘裕” “怎么了粘我？”我有些...
開封第一講書人閱讀 168,386評(píng)論 0贊 360
道士緝兇錄：失蹤的賣姜人
文/不壞的土叔我叫張陵，是天一觀的道長(zhǎng)痹换。經(jīng)常有香客問我征字，道長(zhǎng)，這世上最難降的妖魔是什么晴音？我笑而不...
開封第一講書人閱讀 59,726評(píng)論 1贊 297
?港島之戀（遺憾婚禮）
正文為了忘掉前任柔纵，我火速辦了婚禮，結(jié)果婚禮上锤躁，老公的妹妹穿的比我還像新娘搁料。我一直安慰自己，他們只是感情好系羞，可當(dāng)我...
茶點(diǎn)故事閱讀 68,729評(píng)論 6贊 397
惡毒庶女頂嫁案：這布局不是一般人想出來的
文/花漫我一把揭開白布郭计。她就那樣靜靜地躺著，像睡著了一般椒振。火紅的嫁衣襯著肌膚如雪昭伸。梳的紋絲不亂的頭發(fā)上，一...
開封第一講書人閱讀 52,337評(píng)論 1贊 310
城市分裂傳說
那天澎迎，我揣著相機(jī)與錄音庐杨，去河邊找鬼选调。笑死，一個(gè)胖子當(dāng)著我的面吹牛灵份，可吹牛的內(nèi)容都是我干的仁堪。我是一名探鬼主播，決...
沈念sama閱讀 40,902評(píng)論 3贊 421
雙鴛鴦連環(huán)套：你想象不到人心有多黑
文/蒼蘭香墨我猛地睜開眼填渠，長(zhǎng)吁一口氣：“原來是場(chǎng)噩夢(mèng)啊……” “哼弦聂！你這毒婦竟也來了？” 一聲冷哼從身側(cè)響起氛什，我...
開封第一講書人閱讀 39,807評(píng)論 0贊 276
萬(wàn)榮殺人案實(shí)錄
序言：老撾萬(wàn)榮一對(duì)情侶失蹤莺葫，失蹤者是張志新（化名）和其女友劉穎，沒想到半個(gè)月后枪眉，有當(dāng)?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體捺檬，經(jīng)...
沈念sama閱讀 46,349評(píng)論 1贊 318
?護(hù)林員之死
正文獨(dú)居荒郊野嶺守林人離奇死亡，尸身上長(zhǎng)有42處帶血的膿包…… 初始之章·張勛以下內(nèi)容為張勛視角年9月15日...
茶點(diǎn)故事閱讀 38,439評(píng)論 3贊 340
?白月光啟示錄
正文我和宋清朗相戀三年瑰谜，在試婚紗的時(shí)候發(fā)現(xiàn)自己被綠了欺冀。大學(xué)時(shí)的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片树绩。...
茶點(diǎn)故事閱讀 40,567評(píng)論 1贊 352
活死人
序言：一個(gè)原本活蹦亂跳的男人離奇死亡萨脑，死狀恐怖，靈堂內(nèi)的尸體忽然破棺而出饺饭，到底是詐尸還是另有隱情渤早，我是刑警寧澤，帶...
沈念sama閱讀 36,242評(píng)論 5贊 350
?日本核電站爆炸內(nèi)幕
正文年R本政府宣布瘫俊，位于F島的核電站鹊杖，受9級(jí)特大地震影響，放射性物質(zhì)發(fā)生泄漏扛芽。R本人自食惡果不足惜骂蓖，卻給世界環(huán)境...
茶點(diǎn)故事閱讀 41,933評(píng)論 3贊 334
男人毒藥：我在死后第九天來索命
文/蒙蒙一、第九天我趴在偏房一處隱蔽的房頂上張望川尖。院中可真熱鬧登下，春花似錦、人聲如沸叮喳。這莊子的主人今日做“春日...
開封第一講書人閱讀 32,420評(píng)論 0贊 24
一樁弒父案，背后竟有這般陰謀
文/蒼蘭香墨我抬頭看了看天上的太陽(yáng)馍悟。三九已至畔濒，卻和暖如春，著一層夾襖步出監(jiān)牢的瞬間锣咒，已是汗流浹背侵状。一陣腳步聲響...
開封第一講書人閱讀 33,531評(píng)論 1贊 272
情欲美人皮
我被黑心中介騙來泰國(guó)打工赞弥，沒想到剛下飛機(jī)就差點(diǎn)兒被人妖公主榨干…… 1. 我叫王不留，地道東北人趣兄。一個(gè)月前我還...
沈念sama閱讀 48,995評(píng)論 3贊 377
代替公主和親
正文我出身青樓嗤攻，卻偏偏與公主長(zhǎng)得像，于是被迫代替她去往敵國(guó)和親诽俯。傳聞我的和親對(duì)象是個(gè)殘疾皇子妇菱，可洞房花燭夜當(dāng)晚...
茶點(diǎn)故事閱讀 45,585評(píng)論 2贊 359

配置OpenStack各服務(wù)組件使用SSL通信

第1章 配置keystone組件使用SSL

1.1 指定ssl使用的密鑰和證書

1.2 更新keystone組件的endpoint

第2章 配置nova組件使用SSL

2.1 配置使用SSL訪問keystone

2.2 指定nova使用的密鑰和證書

2.3 更新nova組件的endpoint

2.4 配置nova以SSL方式訪問其他組件

第3章 配置glance組件使用SSL

3.1 配置使用SSL訪問keystone

3.2 指定glance使用的密鑰和證書

3.3 更新glance組件的endpoint

3.4 配置glance以SSL方式訪問其他組件

第4章 配置cinder組件使用SSL

4.1 配置使用SSL訪問keystone

4.2 指定cinder使用的密鑰和證書

4.3 更新cinder組件的endpoint

4.4 配置cinder以SSL方式訪問其他組件

第5章 配置neutron組件使用SSL

5.1 配置使用SSL訪問keystone

5.2 指定neutron使用的密鑰和證書

5.3 更新neutron組件的endpoint

5.4 配置neutron以SSL方式訪問其他組件

推薦閱讀更多精彩內(nèi)容

第1章配置keystone組件使用SSL

第2章配置nova組件使用SSL

第3章配置glance組件使用SSL

第4章配置cinder組件使用SSL

第5章配置neutron組件使用SSL