。

登入不了openstack在控制节点查下httpd服务#xff0c;systemctl

status

Keystone#xff1a;提供身份认证服务、授权、endpoint端点#xf…

openstack把这些组件服务都集成到httpd服务中了目的是为了提升性能。

登入不了openstack在控制节点查下httpd服务systemctl

status

Keystone提供身份认证服务、授权、endpoint端点类似于电话簿给谁打哪个电话所有的服务都要在keystone组件上注册的不注册无法访问。

Glance提供镜像服务的glance加载镜像但不保存镜像glance后面一定会对接存储的这里对接的是swift对象存储镜像但实验环境是存在本地文件系统的。

Swift对象存储后端可以对接nfs/ceph/glusterfs/aws等

~]#

openstack-cinder-backup.service

enabled

openstack-cinder-scheduler.service

enabled

openstack-cinder-volume.service

enabled

发放云主机控制节点的nova-api接收请求给nova-scheduler处理做完计算调度后发放给某个计算节点的nova-compute处理实验环境把控制节点当计算节点使用了。

创建云硬盘控制节点的cinder-api接收请求给cinder-scheduler处理做完计算调度后发放给某个存储节点cinder-volume处理生产环境有独立的存储节点的实验环境是将存储部署在控制节点。

rabbitmq

通过rabbitmq消息队列处理请求按照规则排队处理互不影响不会说因为cinder-scheduler调度慢而影响cinder-api接收请求性能也不会因为cinder-volume处理慢而影响cinder-scheduler调度性能把这些服务解耦了提升性能了。

rabbitmq基于AMQP协议rabbitmq来处理消息队列的每个组件都会生成自己组件的队列在这个队列里面去消费就行产生需求信息的叫生产端如nova-api、cinder-api产生新需求的把生产端的需求拿过来放到对应队列里面再由相应组件去对应队列里面取用消费。

用rabbitmq为了实现消息的传递互通能解决并发问题、rabbitmq并发量是毫秒级的性能很好不管并发量多大直接扔给rabbitmq再由其它组件进行消费就行把这些组件服务充分进行解耦了。

rabbitmq默认部署在控制节点rabbitmq掌握各个组件的互通rabbitmq服务停了发放云主机会有问题的不知哪有问题就按照组件单个组件查日志发放云主机先经过nova组件就先查看nova组件日志比如查看nova-api.log日志找到error发现rabbitmq连接不上。

systemctl

status

控制节点上已经安装了rabbitmqrabbitmq默认部署在控制节点

rabbitmq-plugins

列出所有rabbitmq模块能查看rabbitmq模块是否启用

rabbitmq-plugins

启用rabbitmq_management模块就能网页登录rabbitmq

端口是启用rabbitmq_management模块开通的给用户网页登录rabbitmq用的。

netstat

尝试网页登录rabbitmq有问题telnet看15672端口是否通如果无法登录添加一条iptables规则iptables

INPUT

界面管理服务Horizon提供基于Web的控制界面使云管理员和用户能够管理各种OpenStack资源和服务。

首次出现在OpenStack的“Essex”版本中。

依赖Keystone认证服务。

Horizon属于全局组件之一提供一个Web管理界面与OpenStack其他服务交互。

管理员与用户可以通过Horizon实现资源的管理、实例的生命周期管理以及连接插件等。

Horizon是OpenStack的一个子项目用于提供一个web前端控制台称为Dashboard以此来展示OpenStack的功能。

实际上Horizon并不会为OpenStack添加任何一个新的功能它只是使用了OpenStack部分API功能因此可以扩展Horizon的功能扩展Dashboard。

Horizon核心价值

1、核心支持对所有核心OpenStack项目提供开箱即用的支持。

Horizon​唯一依赖的服务是Keystone认证服务。

Horizon​可以与其他服务结合使用例如镜像服务计算服务和网络服务。

Horizon​​还可以在有独立服务如对象存储的环境中使用。

用户可以通过浏览器使用Horizon提供的控制面板来访问云平台的计算、存储和网络资源比如启动虚拟机实例、创建子网、分配IP地址、设置访问控制等。

基于Django的Horizon体系结构如图底层API模块openstack_dashboard.api将OpenStack其他项目的API封装起来以供Horizon其他模块调用。

Horizon将页面上的所有元素模块化并将表单、表格等一些网页中的常见元素全部封装成Python类如上图所示的View模块。

每个这样的组件都有自己对应的HTML模板在渲染整个页面时Horizon会先找到当前页面包含多少组件并将各个组件分别渲染成一段HTML片段最后将它们拼接成一个完整的HTML页面返回给浏览器。

Horizon采用了Django框架简单来说Horizon是一个基于Django的网站同时Horizon采用了许多流行的前端技术来扩展其功能。

Django的设计哲学中业务逻辑与表现逻辑是分开的Django视图是代表业务逻辑的模板系统则被视为控制表现与表现逻辑相关的工具。

Horizon秉承了这种哲学遵循DRY原则专注于代码的高度可用致力于支持可扩展的控制面板的框架尽可能地重复利用已有的模板开发和管理OpenStack网站。

PanelGroup

Django是一种流行的基于Python语言的开源Web应用程序框架。

Django遵循DRYDon’t

Repeat

Yourself原则专注于代码的高度可重用。

web开发网站程序基本有三部分组成业务逻辑代码(Python)静态文件js/css模板Python中的jinjamakonodejs中有jade用户向webserver发起请求之后server程序找到当前url对应的模板填充模板变量输出成字符串形式的html源码返回给浏览器浏览器渲染页面。

如图所示整个页面主要由各个Dashboard、PanelGroup、Panel以及单击Panel后渲染的页面组成。

当前的Dashboard是“项目”PanelGroup是“项目”下的“计算”Panel是“计算”下的“概况”。

右侧区域就是单击Panel“概况”渲染的页面部分。

项目也称为租户。

每个用户都是一个或多个项目的成员。

在项目中用户创建和管理实例。

在项目界面用户可以查看和管理选定项目中的资源包括实例、镜像、密钥对和主机组。

管理员界面提供管理员可以管理的资源例如计算、存储、网络和系统设置等。

多域管理通过domain域逻辑隔离不同的租户/项目以及用户但角色是全局通用的。

如果是管理员角色权限那么所有的域下面的资源都可以看到。

如果是普通用户只能看到当前所在域下面的资源。

查看域[rootcontroller

req-2b24ee89-3200-4e07-bbb9-3265c131910a)

domains

memeda查看memeda域下面的项目[rootcontroller

~(admin)]#

关联角色给哪个域哪个项目哪个用户关联角色项目和用户最好用id唯一的防止多个域内用户项目名重复这里给关联了admin角色权限

[rootcontroller

333d5d01d0074b8c854d6c8e7de67bc5

--user

f6e8c320a6e8482e8c967d5036bab143

admin启用多域修改配置文件vim

/etc/openstack-dashboard/local_settings

[rootcontroller

#OPENSTACK_KEYSTONE_MULTIDOMAIN_SUPPORT

False

OPENSTACK_KEYSTONE_MULTIDOMAIN_SUPPORT

True

#OPENSTACK_KEYSTONE_DEFAULT_DOMAIN

Default

OPENSTACK_KEYSTONE_DEFAULT_DOMAIN

Default

启用多域了想使用默认的Default域登入时也必须手工输入Default重启apache服务[rootcontroller

~(admin)]#

认证服务Keystone提供身份验证服务发现和分布式多租户授权。

支持LDAP、OAuth、OpenID

Connect、SAML和SQL。

首次出现在OpenStack的“Essex”版本中。

为其他OpenStack服务提供认证支持。

Keystone基本概念

Domain一个域可以对应一个大的机构、一个数据中心并且必须全局唯一。

云的终端用户可以在自己的Domain中创建多个Project、User、Group和Role。

具备对多个Project进行统一管理的能力。

UserKeystone会通过认证信息Credential如密码等验证用户请求的合法性通过验证的用户将会分配到一个特定的令牌该令牌可以被当作后续资源访问的一个通行证并非全局唯一只需要在域内唯一即可。

Group用户组是一组User的容器可以向Group中添加用户并直接给Group分配角色在这个Group中的所有用户就拥有了Group所拥有的角色权限。

通过引入Group的概念Keystone实现了对用户组的管理达到了同时管理一组用户权限的目的。

Project项目是各个服务中的一些可以访问的资源集合。

我们需要在创建虚拟机时指定某个项目在Cinder创建卷时也需要指定具体的项目。

用户总是被默认绑定到某些项目上在用户访问项目的资源前必须具有对该项目的访问权限或者说在特定项目下被赋予了特定的角色。

项目不必全局唯一只需要在某个域下唯一即可。

Role一个用户所具有的角色角色不同意味着被赋予的权限不同只有知道用户被赋予的角色才能知道该用户是否有权限访问某资源。

用户可以被赋予一个域或项目内的角色。

一个用户被赋予域的角色意味着他对域内所有的项目都具有相同的角色而特定项目的角色只具有对特定项目的访问权限。

角色可以被继承在一个项目树下拥有父项目的访问权限也意味着同时拥有对子项目的访问权限。

角色必须全局唯一。

Service服务如Nova、Swift、Glance、Cinder等。

一个服务可以根据User、Tenant和Role确认当前用户是否具有访问其资源的权限。

服务会对外暴露一个或多个端点用户可以通过这些端点访问资源并执行操作。

Endpoint端点是指一个可以用来访问某个具体服务的网络地址我们可以将端点理解为服务的访问点。

如果我们需要访问一个服务就必须知道它的Endpoint。

一般以一个URL地址来表示一个端点。

Token令牌令牌是允许访问特定资源的凭证。

无论通过何种方式Keystone的最终目的都是对外提供一个可以访问资源的令牌。

Credential凭证确认用户身份的数据如用户的用户名和密码。

Keystone作为OpenStack中一个独立的提供安全认证的模块主要负责OpenStack用户的身份认证、令牌管理、提供访问资源的服务服务目录存储了OpenStack所有服务的Endpoint信息。

Policy安全策略或者访问控制一个基于规则的身份验证引擎通过配置文件来定义各种动作与用户角色的匹配关系。

Assignment包含Role、Resource、Identity。

Keystone为其他项目提供认证外部请求调用OpenStack内部的服务时需要先从Keystone获取到相应的Token

OpenStack内部不同项目间的调用也需要先从Keystone获取到认证后才能进行。

在OpenStack的整体框架结构中Keystone的作用类似于一个服务总线Nova、Glance、Horizon、Swift、Cinder及Neutron等其他服务都通过Keystone来注册其服务的Endpoint针对这些服务的任何调用都需要经过Keystone的身份认证并获得服务的Endpoint来进行访问。

用户使用OpenStack第一步就要向Keystone提供用户名密码来获取Token。

当用户获取Token后需要向Nova发送创建虚拟机请求Nova负责调用计算资源并管理虚拟机的生命周期所以这个创建请求要发送到Nova。

请求的Head中会携带Token当Nova-api接收到请求后会将Token传递到Keystone进行验证是否有效合法。

当验证成功后返回信息给NovaNova才开始进行创建VM操作。

以网络资源为例Nova-api将token透传给Nova-computeNova-compute会向Neutron-server发送与网络相关操作请求请求Head中也携带TokenNeutron收到请求后也会将Token传递到Keystone验证验证成功才执行相应操作。

临时磁盘来源

通过NFS挂载的外部存储使用此方式创建临时磁盘时可以在多个计算节点之间迁移虚拟机因为虚拟机实例的根磁盘位于可被多个物理主机访问的共享存储上。

块存储Cinder操作对象是磁盘直接挂载到主机一般用于主机的直接存储空间和数据库应用DAS和SAN都可以提供块存储。

对象存储Swift操作对象是对象object一个对象名称就是一个域名地址可以直接通过REST

文件存储Manila操作对象是文件和文件夹在存储系统上增加了文件系统再通过NFS或CIFS协议进行访问。

块存储服务Cinder提供块存储服务为虚拟机实例提供持久化存储。

调用不同存储接口驱动将存储设备转化成块存储池用户无需了解存储实际部署位置或设备类型。

首次出现在OpenStack的“Folsom”版本中。

依赖Keystone认证服务。

Cinder作用Cinder在虚拟机与具体存储设备之间引入了一层“逻辑存储卷”的抽象Cinder本身不是一种存储技术并没有实现对块设备的实际管理和服务。

Cinder只是提供了一个中间的抽象层为后端不同的存储技术如DAS、NAS、SAN、对象存储及分布式文件系统等提供了统一的接口。

不同的块设备服务厂商在Cinder中以驱动的形式实现上述接口与OpenStack进行整合。

Cinder与其他服务的交互关系Cinder依赖Keystone认证服务。

通过Nova模块创建虚拟机实例Cinder为虚拟机实例提供持久化块存储能力。

Cinder创建的卷备份支持存储到Swift。

Cinder

Client封装Cinder提供的rest接口以CLI形式供用户使用。

Cinder

API对操作需求进行解析对API进行路由寻找相应的处理方法。

包含卷的增删改查包括从源卷、镜像、快照创建、快照增删改查、备份、volume

Cinder

Scheduler负责收集backend上报的容量、能力信息根据设定的算法完成卷到指定cinder-volume的调度。

Cinder

Volume多节点部署使用不同的配置文件、接入不同的backend设备由各存储厂商插入driver代码与设备交互完成设备容量和能力信息收集、卷操作。

Cinder

Backup实现将卷的数据备份到其他存储介质目前SWIFT/Ceph/TSM提供了驱动。

SQL

DB提供存储卷、快照、备份、service等数据支持MySQL、PG、MSSQL等SQL数据库。

Cinder默认使用LVMLogical

Storage而LVM通过在操作系统与物理存储资源之间引入逻辑卷Logical

Volume如磁盘分区组成卷组。

LVM从卷组中创建一个逻辑卷然后将ext3、ReiserFS等文件系统安装在这个逻辑卷上。

除了LVM目前Cinder已经以驱动的形式支持众多存储技术或存储厂商的设备作为后端存储如SANStorage

Area

Network、Ceph、Sheepdog以及EMC、华为等厂商的设备。

Cinder默认的后端驱动是LVM。

创建卷类型的目的是为了筛选不同的后端存储例如SSD、SATA、高性能、低性能等通过创建不同的自定义卷类型创建卷时自动筛选出合适的后端存储。

Cinder

API对操作需求进行解析并调用处理方法卷create/delete/list/show快照create/delete/list/show卷attach/detach

(Nova调用)其他:Volume

scheduler负责收集后端上报的容量、能力信息根据设定的算法完成卷到指定cinder-volume的调度。

Cinder

和Nova

Scheduler也是经过Filter筛选符合条件的后端然后使用Weigher计算后端进行权重排序最终选择出最合适的后端存储。

Nova调用Cinder

Volume通过创建卷时保存的host信息找到对应的Cinder

Cinder

Driver通知存储允许该主机访问该卷并返回该存储的连接信息如iSCSI

iqnportalFC

Nova将主机的设备信息传递给hypervisor来实现虚拟机挂载磁盘。

Cinder主要操作三个资源

创建卷的流程和挂载卷的流程是不一样的。

从创建卷到挂载卷它是两个动作分别由不通的组件来执行。

创建卷的时候是由cinder组件来创建而挂载卷的时候是由nova组件来挂载。

创建云硬盘控制节点的cinder-api接收请求给cinder-scheduler处理做完计算调度后发放给某个存储节点cinder-volume处理生产环境有独立的存储节点的实验环境是将存储部署在控制节点。

/etc/libvirt/qemu目录下有个xml配置文件将物理机的/dev/sda映射给虚拟机的/vda先挂载到物理机再通过xml配置文件映射给虚拟机使用。

Cinder对接后端NFS存储

具体操作流程请大家参考视频及https://blog.51cto.com/cloudcs/5387939

cinder-api接收外部请求放到消息队列中由cinder-scheduler消费cinder-api和cinder-scheduler服务位于控制节点cinder-volume在存储节点这里有3台linux主机存储节点cinder-scheduler根据调度选择合适linux主机在下面有驱动不同的对接存储类型有不同的存储驱动driver存储不同所执行的命令不同通过驱动进行翻译在底层存储创建。

Glance

Glance提供镜像服务的不是提供镜像存储的。

现在实验环境镜像是存储在本地的文件系统中。

可以把glance对接到swift对象存储现在实验环境swift对象存储对接的后端存储是在本地文件系统。

swift是个组件本身不存储是要对接到后端存储的后端存储对接默认也是在本地文件系统。

让glance对接到swift里面修改配置文件修改配置文件前先备份。

[rootcontroller

名字可以自定义未来上传镜像后会自动创建一个以glance开头的容器名。

4118

swift_store_large_object_chunk_size

200

swift_store_create_container_on_put

true

身份认证地址keystonerc_admin环境变量文件里面的OS_AUTH_URL

4399

swift用户的密码去应答文件里面搜索SWIFT修改完配置文件后重启glance服务。

[rootcontroller

把镜像存在对象存储中对象存储中存储的内容一般是不改动的数据查询读取性能好适合大量永久存储。