关于Swift的Tempauth和Keystone

喜欢ヅ旅行 2021-10-20 01:26 421阅读 0赞

## 关于Swift的Tempauth和Keystone ##

**一、介绍**

Swift集成认证系统的耦合度很低，所使用的认证系统也是一些已存在的认证系统。关于认证系统有一下几点：

1）认证/授权部分可以是一个外部认证系统或一个子系统以WSGI中间件形式运行在Swift。

2）swift用户的每次请求附件一个授权的token

3）swift采用外部认证系统或子系统验证每个token，并且缓存结果。

4）每次请求token不会改变，但是token有有效期

**二、认证/授权过程**

以下是我画的Keystone认证/授权过程

![838ba61ea8d3fd1fcfa2b2a9304e251f94ca5ffd.jpg][]

**三、Tempauth**

在一个账户（account）中有admin、non-admin 用户

1.  admin用户具有所有所有权限
2.  non-admin用户需要根据container的X-Container-Read和X-Container-Write ACLs来授权操作，更多参见[swift.common.middleware.acl][]
3.  如果认证系统设置了请求环境的swift\_owner为True，则代理将会返回额外的头信息。例如，GET或HEAD一个container 的X-Container-Sync-Key

在**配置文件**中的格式：

user\_<account>\_<user>= <key> \[group\] \[group\] \[...\] \[storage\_url\]

特殊的组.admin，.reseller\_admin = can do anything to any account for this auth

1.  .reseller\_admin 具有对任何account操作的权限。
2.  .admin 具有对所在的account 操作的权限。

如果没有设置以上组，则用户只能访问那些被.admin或.reseller\_admin所允许的container。

**四、Keystone**

基本术语：租户（tenant ）、用户（user ）、角色（role ），相对swift 在Keystone中：

1.  A tenant对应于swift中的an account
2.  A user对应于swift中的a user 
3.  A role 对应于swift中的a group

在swift中一个账户里面的一个用户默认是没有任何权限，但是有用户可以为其用户操作container设置ACL。**在Keystone中间件**中我们称作**Operator**，通过匹配**中间件配置文件中的设置**（keystone\_swift\_operator\_roles= Admin, SwiftOperator）来知道那一个用户具有admin权限。一旦用户具有swiftOperator角色，他将具有访问、创建container及其他用户设置ACL等任何权限。

**五、扩展Auth**

TempAuth 是一个wsgi 中间件，因此实现你自己的auth集成到Proxy中， 就像写一新的wsgi中间件一样容易， KeyStone和Swauth 是认证服务的附加实例。Auth 服务和中间件参见：[http://docs.openstack.org/developer/swift/development\_auth.html][http_docs.openstack.org_developer_swift_development_auth.html]

**六、附录：**

1.  [http://docs.openstack.org/developer/swift/overview\_auth.html][http_docs.openstack.org_developer_swift_overview_auth.html]
2.  [http://docs.openstack.org/developer/swift/development\_auth.html][http_docs.openstack.org_developer_swift_development_auth.html]
3.  [http://blog.chmouel.com/2011/11/24/swift-and-keystone-middleware-part1/][http_blog.chmouel.com_2011_11_24_swift-and-keystone-middleware-part1]

[838ba61ea8d3fd1fcfa2b2a9304e251f94ca5ffd.jpg]: /images/20211019/42b02e7532a64dafa401db30672203d2.png
[swift.common.middleware.acl]: http://docs.openstack.org/developer/swift/misc.html#module-swift.common.middleware.acl
[http_docs.openstack.org_developer_swift_development_auth.html]: http://docs.openstack.org/developer/swift/development_auth.html
[http_docs.openstack.org_developer_swift_overview_auth.html]: http://docs.openstack.org/developer/swift/overview_auth.html
[http_blog.chmouel.com_2011_11_24_swift-and-keystone-middleware-part1]: http://blog.chmouel.com/2011/11/24/swift-and-keystone-middleware-part1/