OpenStack核心组件-keystone

时间:2023-02-03 22:36:34

1. Keystone介绍

  keystone是OpenStack的组件之一,用于为OpenStack家族中的其它组件成员提供统一的认证服务,包括身份验证、令牌的发放和校验、服务列表、用户权限的定义等等。云环境中所有的服务之间的授权和认证都需要经过 keystone. 因此 keystone 是云平台中第一个即需要安装的服务。

作为 OpenStack 的基础支持服务,Keystone 做下面这几件事情:

  Ÿ   管理用户及其权限

Ÿ     维护 OpenStack Services 的 Endpoint(服务端点)

  Ÿ   Authentication(认证)和 Authorization(鉴权)

例如:OpenStack核心组件-keystone

学习 Keystone,得理解下面这些概念:

OpenStack核心组件-keystone

keystone的相关概念可以以一个城市的酒店服务来举例说明:

       酒店就类似于project项目,酒店提供住宿的服务service,user相当于客人,endpoint相当于客人住酒店时的询问的酒店的地址,role为角色,如客人定了个豪华套房,name他就是贵宾,定了标间,他就是普通客人,credentials相当于入住酒店时提供的身份证,酒店前台利用身份证获取身份信息并提供房间,这个过程相当于authentication,办理入住后拿到的房卡相当于token,利用token就可以刷开房间门进行住宿这项service。

 

1> User

  User 指代任何使用 OpenStack 的实体,可以是真正的用户,其他系统或者服务。

OpenStack核心组件-keystone

  当 User 请求访问 OpenStack 时,Keystone 会对其进行验证。Horizon 在 Identity->Users 管理 User

OpenStack核心组件-keystone 

  admin:openstack平台的超级管理员,负责openstack服务的管理和访问权限

  demo: 常规(非管理)任务应该使用无特权的项目和用户,所有要创建 demo 项目和 demo 用户

        除了 admin 和 demo,OpenStack 也为 nova、cinder、glance、neutron 服务创建了相应的   User。 admin 也可以管理这些 User。

 OpenStack核心组件-keystone

2> credentials

Credentials 是 User 用来证明自己身份的信息,可以是:

  用户名/密码

  Token

  API Key

  其他高级方式

 OpenStack核心组件-keystone

3> Authentication

  Authentication 是 Keystone 验证 User 身份的过程。User 访问 OpenStack 时向 Keystone 提交用户名和密码形式的 Credentials,Keystone 验证通过后会给 User 签发一个 Token 作为后续访问的 Credential。

OpenStack核心组件-keystone

4> Token

  Token 是由数字和字母组成的字符串,User 成功 Authentication 后 Keystone 生成 Token 并分配给 User。

Ÿ    Token 用做访问 Service 的 Credential

Ÿ    Service 会通过 Keystone 验证 Token 的有效性

Ÿ    Token 的有效期默认是 24 小时

 OpenStack核心组件-keystone

5> oject

  Project 用于将 OpenStack 的资源(计算、存储和网络)进行分组和隔离。

根据 OpenStack 服务的对象不同,Project 可以是一个客户(公有云,也叫租户)、部门或者项目组(私有云)。

 这里请注意:

  Ÿ  资源的所有权是属于 Project 的,而不是 User。

  Ÿ  在 OpenStack 的界面和文档中,Tenant / Project / Account 这几个术语是通用的,但长期看会倾向使用 Project

Ÿ    每个 User(包括 admin)必须挂在 Project 里才能访问该 Project 的资源。 一个User可以属于多个 Project。

Ÿ    admin 相当于 root 用户,具有最高权限

OpenStack核心组件-keystone

Horizon 在 Identity->Projects 中管理 Project

OpenStack核心组件-keystone 

通过 Manage Members 将 User 添加到 Project

OpenStack核心组件-keystone OpenStack核心组件-keystone

6> service

  OpenStack 的 Service 包括 Compute (Nova)、Block Storage (Cinder)、Object Storage (Swift)、Image Service (Glance) 、Networking Service (Neutron) 等。每个 Service 都会提供若干个 Endpoint,User 通过 Endpoint 访问资源和执行操作。

 OpenStack核心组件-keystone

7> Endpoint

  Endpoint 是一个网络上可访问的地址,通常是一个 URL。Service 通过 Endpoint 暴露自己的 API。 Keystone 负责管理和维护每个 Service 的 Endpoint。

OpenStack核心组件-keystone

 可以使用下面的命令来查看 Endpoint。

source devstack/openrc admin admin
openstack catalog list

OpenStack核心组件-keystone

8> Role

  安全包含两部分:Authentication(认证)和 Authorization(鉴权)

  Authentication 解决的是“你是谁?”的问题

  Authorization 解决的是“你能干什么?”的问题

Keystone 借助 Role 实现 Authorization:

  1. Keystone定义Role

OpenStack核心组件-keystone

  1. 可以为 User 分配一个或多个 Role,Horizon 的菜单为:Identity->Project->ManageMembers

OpenStack核心组件-keystone

  1. Service 决定每个 Role 能做什么事情 Service 通过各自的 policy.json 文件对 Role 进行访问控制。 下面是 Nova 服务 /etc/nova/policy.json 中的示例:

OpenStack核心组件-keystone

       上面配置的含义是:对于 create、attach_network 和 attach_volume 操作,任何Role的 User 都可以执行; 但只有 admin 这个 Role 的 User 才能执行 forced_host 操作。

      2. OpenStack 默认配置只区分 admin 和非 admin Role。 如果需要对特定的 Role 进行授权,可以修改 policy.json。

        Openstack对User的验证除了身份验证,还需要鉴别 User 对某个Service是否有访问权限。Policy用来定义什么角色对应什么权限。对Keystone来说,Policy其实是一个JSON文件,默认是 /etc/keystone/policy.json 。通过Policy,Keystone实现了对User的权限管理。

         3. openstack系统基本角色有两个:

         一个是管理员admin
         一个是租户_member_

2. Keystone基本架构

OpenStack核心组件-keystone

  •Token: 用来生成和管理token

  •Catalog:用来存储和管理service/endpoint

  •Identity:用来管理tenant/user/role和验证

  •Policy:用来管理访问权限

OpenStack核心组件-keystone

3. 通过例子认识Keystone         

  可以通过“查询可用 image”这个实际操作让大家对这些概念建立更加感性的认识。User admin 要查看 Project 中的 image

第 1 登录

OpenStack核心组件-keystone

  当点击 OpenStack核心组件-keystone时,OpenStack 内部发生了哪些事情?请看下面

OpenStack核心组件-keystone

  Token 中包含了 User 的 Role 信息

 第 2 显示操作界面

OpenStack核心组件-keystone

  请注意,顶部显示 admin 可访问的  Project 为 “admin” 和 “demo”。 其实在此之前发生了一些事情:

OpenStack核心组件-keystone

  同时,admin 可以访问 Intance, Volume, Image 等服务

OpenStack核心组件-keystone

  这是因为 admin 已经从 Keystone 拿到了各 Service 的 Endpoints

OpenStack核心组件-keystone

第 3 显示 image 列表

  点击 “Images”,会显示 image 列表

OpenStack核心组件-keystone

背后发生了这些事:

  首先 admin 将请求发送到 Glance 的 Endpoint

 OpenStack核心组件-keystone

  Glance 向 Keystone 询问 admin 身份是否有效

 OpenStack核心组件-keystone

  接下来 Glance 会查看 /etc/glance/policy.json 判断 admin 是否有查看 image 的权限

OpenStack核心组件-keystone

  权限判定通过,Glance 将 image 列表发给 admin。

 Troubleshoot

       OpenStack 排查问题的方法主要是通过日志。每个 Service 都有自己的日志文件。

  Keystone 主要有两个日志: keystone.log 和 keystone_access.log,保存在 /var/log/apache2/ 目录里。devstack 的 screen 窗口已经帮我们打开了这两个日志。 可以直接查看:

OpenStack核心组件-keystone 

  如果需要得到最详细的日志信息,可以在 /etc/keystone/keystone.conf 中打开 debug 选项。

OpenStack核心组件-keystone 

  在非 devstack 安装中,日志可能在 /var/log/keystone/ 目录里。

 4. 部署keystone

4.1 部署共享服务

OpenStack核心组件-keystone

  可以通过访问OpenStack的官网:https://docs.openstack.org/stein/ ,中文版的操作手册版本只有M版本,因此用英文版来操作选择ocata版本来进行部署。

进入ocata版本后下拉选择installation Guides,进入后选择centos环境进行操作。

OpenStack核心组件-keystone

OpenStack核心组件-keystone

       进入操作手册后可以选择在线看,也可以选择下载PDF看。

OpenStack核心组件-keystone

  选择在线观看,进入操作手册界面。

OpenStack核心组件-keystone

  但由于官网下载速度较慢,此处实验使用内网从已下载的网页资源进行部署,部署内容与官网操作一致。在终端192.168.16.66上部署,部署是要善用虚拟机快照。

1> 对OpenStack所用到的四台终端均进行域名解析。

[root@ajy6 ~]# vim /etc/hosts
127.0.0.1   localhost localhost.localdomain localhost4 localhost4.localdomain4
::1         localhost localhost.localdomain localhost6 localhost6.localdomain6
192.168.16.65 ajy5
192.168.16.66 ajy6
192.168.16.68 ajy8
192.168.16.69 ajy9

2> 选择Environment,在生产环境中NTP服务是一定要部署的,但在实验环境中为了节省时间,直接进行OpenStack package 部署。部署过程按照官网步提供的骤进行即可。

OpenStack核心组件-keystone

 3> 根据官网提示,先进行centos环境里OpenStack源的配置。

OpenStack核心组件-keystone

       也可以直接使用内网已经准备好的源。

[root@ajy6 ~]# cd /etc/yum.repos.d/
[root@ajy6 yum.repos.d]# ls
Centos7-Base-yunwei.repo  rdo-release-yunwei.repo    epel-yunwei.repo    

4> 安装OpenStack client的安装包

  安装之前确保防火墙和selinux是关闭的。

yum install python-openstackclient

5> 安装OpenStack selinux的扩展包。

[root@ajy6 ~]#  yum install openstack-selinux -y

6> 部署数据库

OpenStack核心组件-keystone

  1) 安装

[root@ajy6 ~]#  yum install openstack-selinux -y

  2) 编辑数据库配置文件

[root@ajy6 ~]# cd /etc/my.cnf.d/
[root@ajy6 my.cnf.d]# ls
auth_gssapi.cnf  enable_encryption.preset  mysql-clients.cnf
client.cnf       mariadb-server.cnf        tokudb.cnf

  默认数据库配置文件为mariadb-server.cnf,此处不使用默认的配置文件,新建一个openstack.cnf的配置文件,使用官方模板

[root@ajy6 my.cnf.d]# vim openstack.cnf
[mysqld]
bind-address = 192.168.16.66               #监听地址改为本地主机地址
default-storage-engine = innodb            #默认引擎
innodb_file_per_table = on                 #过滤规则 max_connections = 4096 #最大连接数
collation-server = utf8_general_ci         #字符集
character-set-server = utf8


  3) 启动数据库,并开机自启

[root@ajy6 my.cnf.d]# systemctl start mariadb.service
[root@ajy6 my.cnf.d]# systemctl enable mariadb.service
Created symlink from /etc/systemd/system/multi-user.target.wants/mariadb.service to /usr/lib/systemd/system/mariadb.service.

  4) 数据库初始化

[root@ajy6 my.cnf.d]# mysql_secure_installation
.........
[root@ajy6 my.cnf.d]# mysql -uroot -p123
Welcome to the MariaDB monitor.  Commands end with ; or \g.
Your MariaDB connection id is 9
Server version: 10.1.20-MariaDB MariaDB Server
Copyright (c) 2000, 2016, Oracle, MariaDB Corporation Ab and others.
Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.
MariaDB [(none)]> show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| mysql              |
| performance_schema |
+--------------------+
3 rows in set (0.00 sec)

7> 部署消息队列

OpenStack核心组件-keystone

  1) 安装RabbitMQ

[root@ajy6 my.cnf.d]# yum install rabbitmq-server

  2) 启动消息队列服务并开机自启

[root@ajy6 ~]# systemctl start rabbitmq-servre.service
Failed to start rabbitmq-servre.service: Unit not found.        #重启失败,删除多于的缓存文件再启动
[root@ajy6 ~]# cd /var/lib/rabbitmq/
[root@ajy6 rabbitmq]# ls
erl_crash.dump  mnesia
[root@ajy6 rabbitmq]# rm -rf *
[root@ajy6 ~]# systemctl start rabbitmq-server.service
[root@ajy6 ~]# systemctl enable rabbitmq-server.service
Created symlink from /etc/systemd/system/multi-user.target.wants/rabbitmq-server.service to /usr/lib/systemd/system/rabbitmq-server.service.

  3) 添加用户OpenStack,并给予权限

[root@ajy6 ~]# rabbitmqctl add_user openstack 123
Creating user "openstack" ...
[root@ajy6 ~]# rabbitmqctl set_permissions openstack ".*" ".*" ".*"
Setting permissions for user "openstack" in vhost "/" ...

8> 部署Memcache

OpenStack核心组件-keystone

  1) 下载安装

[root@ajy6 ~]# yum install memcached python-memcached -y

  2) 编辑mamcache配置文件

[root@ajy6 ~]# vim /etc/sysconfig/memcached
PORT="11211"
USER="memcached"
MAXCONN="1024"
CACHESIZE="64"
OPTIONS="-l 127.0.0.1,::1,ajy6"    #添加主机名或主机ip均可

  3) 启动Memcache服务

[root@ajy6 ~]# systemctl start memcached.service
[root@ajy6 ~]# systemctl enable memcached.service
Created symlink from /etc/systemd/system/multi-user.target.wants/memcached.service to /usr/lib/systemd/system/memcached.service.

4.2 部署身份认证服务

OpenStack核心组件-keystone

1> 登录数据库,创建keystone数据库

[root@ajy6 ~]# mysql -uroot -p123
MariaDB [(none)]> create database keystone;
Query OK, 1 row affected (0.00 sec)
MariaDB [(none)]> show databases;
+--------------------+
| Database           |
+--------------------+
| information_schema |
| keystone           |
| mysql              |
| performance_schema |
+--------------------+

2> 给keystone数据库赋权

MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' \               #本地登录 -> IDENTIFIED BY 'KEYSTONE_DBPASS';
MariaDB [(none)]> GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' \                      #第三方登录 -> IDENTIFIED BY 'KEYSTONE_DBPASS';
MariaDB [(none)]> exit
Bye

3> 安装keystone服务

[root@ajy6 ~]# yum install openstack-keystone httpd mod_wsgi -y

       keystone没有自己单独的服务,只是一个人软件包,keystone通过加载mod_wsgi模块调用http来对外服务。

 4> 修改keystone的配置文件

 

[root@ajy6 ~]# cd /etc/keystone/
[root@ajy6 keystone]# ls
default_catalog.templates  logging.conf
keystone.conf              policy.json
keystone-paste.ini         sso_callback_template.html

# 删除keyston.conf所有文件按照官方文档重新配置,所以配置之前先备份。
[root@ajy6 keystone]# cp keystone.conf keystone.conf.bak
[root@ajy6 keystone]# vim keystone.conf                             #编辑配置端,大部分默认段是空的,只修改两处:主机和令牌提供者的插件
[DEFAULT]

[assignment]

[auth]

[cache]

[catalog]

[cors]

[cors.subdomain]

[credential]

[database]
connection = mysql+pymysql://keystone:KEYSTONE_DBPASS@ajy6/keystone  #已做过域名解析可以写主机名,也可以写主机ip
[domain_config]

[endpoint_filter]

[endpoint_policy]

[eventlet_server]

[federation]

[fernet_tokens]

[healthcheck]

[identity]

[identity_mapping]

[kvs]

[ldap]

[matchmaker_redis]

[memcache]

[oauth1]

[oslo_messaging_amqp]

[oslo_messaging_kafka]

[oslo_messaging_notifications]

[oslo_messaging_rabbit]

[oslo_messaging_zmq]

[oslo_middleware]

[oslo_policy]

[paste_deploy]

[policy]

[profiler]

[resource]

[revoke]

[role]

[saml]

[security_compliance]

[shadow_users]

[signing]

[token]                            #令牌由插件fernet提供

provider = fernet

[tokenless_auth]

[trust]

5> 同步数据库

[root@ajy6 ~]# su -s /bin/sh -c "keystone-manage db_sync" keystone

  同步数据库后查看导入到数据库的表,有表存在则同步成功。

[root@ajy6 ~]# mysql -uroot -p123
MariaDB [(none)]> use keystone
MariaDB [keystone]> show tables;
+------------------------+
| Tables_in_keystone     |
+------------------------+
| access_token           |
| assignment             |
| config_register        |
| consumer               |
| credential             |
| endpoint               |
| endpoint_group         |
| federated_user         |
| federation_protocol    |
| group                  |
| id_mapping             |
| identity_provider      |
| idp_remote_ids         |
| implied_role           |
| local_user             |
| mapping                |
| migrate_version        |
| nonlocal_user          |
| password               |
| policy                 |
| policy_association     |
| project                |
| project_endpoint       |
| project_endpoint_group |
| region                 |
| request_token          |
| revocation_event       |
| role                   |
| sensitive_config       |
| service                |
| service_provider       |
| token                  |
| trust                  |
| trust_role             |
| user                   |
| user_group_membership  |
| user_option            |
| whitelisted_config     |
+------------------------+
38 rows in set (0.00 sec)
MariaDB [keystone]> exit
Bye

6> 用fernet设置token

[root@ajy6 ~]#  keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone
[root@ajy6 ~]# keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

7> 设置keystone服务端点并设置admin用户密码

[root@ajy6 ~]# keystone-manage bootstrap --bootstrap-password admin \   #用户密码为admin >   --bootstrap-admin-url http://ajy6:35357/v3/ \                       #管理网,端口为35357
>   --bootstrap-internal-url http://ajy6:5000/v3/ \                     #内网,端口为5000
>   --bootstrap-public-url http://ajy6:5000/v3/ \                       #公共网,端口为5000
>   --bootstrap-region-id RegionOne                                     #工作域

8> 配置http服务,加入主机名

[root@ajy6 ~]# vim /etc/httpd/conf/httpd.conf
#ServerName www.example.com:80
ServerName ajy6

9> 创建插件wsgi调用http的链接

[root@ajy6 ~]# ln -s /usr/share/keystone/wsgi-keystone.conf /etc/httpd/conf.d/
[root@ajy6 ~]# cd /etc/httpd/conf.d/
[root@ajy6 conf.d]# ll
lrwxrwxrwx 1 root root   38 Jun 29 02:55 wsgi-keystone.conf -> /usr/share/keystone/wsgi-keystone.conf

10> 启动httpd服务,则将keystone服务启动

[root@ajy6 ~]# systemctl start httpd
[root@ajy6 ~]# systemctl enable  httpd
Created symlink from /etc/systemd/system/multi-user.target.wants/httpd.service to /usr/lib/systemd/system/httpd.service.

11> 配置admin用户的环境变量。

  在命令行要控制OpenStack环境必须进行登录,因此需要在命令将OpenStack admin身份信息设置为环境变量,宣告admin身份信息。

       环境变量保存在/root/openrc下面,文件名openrc自定义。

[root@ajy6 ~]# pwd
/root
[root@ajy6 ~]# vim openrc
export OS_USERNAME=admin                    #用户
export OS_PASSWORD=admin                    #密码 export OS_PROJECT_NAME=admin                #项目
export OS_USER_DOMAIN_NAME=Default         
export OS_PROJECT_DOMAIN_NAME=Default
export OS_AUTH_URL=http://ajy6:35357/v3     #主机
export OS_IDENTITY_API_VERSION=3

执行文件脚本,宣告环境变量

[root@ajy6 ~]# sh openrc
#或者用命令source
[root@ajy6 ~]# source openrc

  宣告完成后就相当于在图形界面使用账户密码登录OpenStack,因此可以使用openstack 命令了。

#查看OpenStack里面的用户
[root@ajy6 ~]# openstack user list
+----------------------------------+-------+
| ID                               | Name  |
+----------------------------------+-------+
| 4a3f3226d6a74669a23da16b623c386c | admin |
+----------------------------------+-------+

4.3 创建一个domain

OpenStack核心组件-keystone

1> 创建一个服务项目

[root@ajy6 ~]# openstack project create --domain default \
>   --description "Service Project" service         #创建一个service项目,默认在domain域 +-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | Service Project                  |
| domain_id   | default                          |
| enabled     | True                             |
| id          | 6338a2d46b78461fb172e3f5a4774482 |
| is_domain   | False                            |
| name        | service                          |
| parent_id   | default                          |

查看项目列表

[root@ajy6 ~]# openstack project list
+----------------------------------+---------+
| ID                               | Name    |
+----------------------------------+---------+
| 6338a2d46b78461fb172e3f5a4774482 | service |
| 9856add5c8ad499b8b7e07b2d8cf0c0d | admin   |
+----------------------------------+---------+

2> 创建demo项目

[root@ajy6 ~]# openstack project create --domain default \
>   --description "Demo Project" demo
+-------------+----------------------------------+
| Field       | Value                            |
+-------------+----------------------------------+
| description | Demo Project                     |
| domain_id   | default                          |
| enabled     | True                             |
| id          | a617fd3550a74b039ceec50afec1e370 |
| is_domain   | False                            |
| name        | demo                             |
| parent_id   | default                          |
+-------------+----------------------------------+
[root@ajy6 ~]# openstack project list
+----------------------------------+---------+
| ID                               | Name    |
+----------------------------------+---------+
| 6338a2d46b78461fb172e3f5a4774482 | service |
| 9856add5c8ad499b8b7e07b2d8cf0c0d | admin   |
| a617fd3550a74b039ceec50afec1e370 | demo    |
+----------------------------------+---------+


3> 创建demo用户

[root@ajy6 ~]#  openstack user create --domain default \
>   --password-prompt demo
User Password:                     #为方便记忆,用户和密码均为demo
Repeat User Password:
+---------------------+----------------------------------+
| Field               | Value                            |
+---------------------+----------------------------------+
| domain_id           | default                          |
| enabled             | True                             |
| id                  | fca9c0d1f4fb4524a25ee8562794f6c0 |
| name                | demo                             |
| options             | {}                               |
| password_expires_at | None                             |
+---------------------+----------------------------------+
[root@ajy6 ~]# openstack user list
+----------------------------------+-------+
| ID                               | Name  |
+----------------------------------+-------+
| 4a3f3226d6a74669a23da16b623c386c | admin |
| fca9c0d1f4fb4524a25ee8562794f6c0 | demo  |
+----------------------------------+-------+

#删除用户用命令 user delete
[root@ajy6 ~]# openstack user delete demo
[root@ajy6 ~]# openstack user list
+----------------------------------+-------+
| ID                               | Name  |
+----------------------------------+-------+
| 4a3f3226d6a74669a23da16b623c386c | admin |
+----------------------------------+-------+

#重新创建用户demo,直接在添加的时候写入密码
[root@ajy6 ~]#  openstack user create --domain default   --password=demo demo
+---------------------+----------------------------------+
| Field               | Value                            |
+---------------------+----------------------------------+
| domain_id           | default                          |
| enabled             | True                             |
| id                  | a5b7806347f04a839e5f87098c45e8b1 |
| name                | demo                             |
| options             | {}                               |
| password_expires_at | None                             |
+---------------------+----------------------------------+

4> 创建角色user

[root@ajy6 ~]# openstack role list
+----------------------------------+----------+
| ID                               | Name     |
+----------------------------------+----------+
| 6a7c42942f1a4a3881c1b89f0052de38 | admin    |
| 9fe2ff9ee4384b1894a90878d3e92bab | _member_ |
+----------------------------------+----------+
[root@ajy6 ~]# openstack role create user
+-----------+----------------------------------+
| Field     | Value                            |
+-----------+----------------------------------+
| domain_id | None                             |
| id        | 58e8774b5b01404bbbc1feec776abcfe |
| name      | user                             |
+-----------+----------------------------------+
[root@ajy6 ~]# openstack role list
+----------------------------------+----------+
| ID                               | Name     |
+----------------------------------+----------+
| 58e8774b5b01404bbbc1feec776abcfe | user     |
| 6a7c42942f1a4a3881c1b89f0052de38 | admin    |
| 9fe2ff9ee4384b1894a90878d3e92bab | _member_ |
+----------------------------------+----------+

5> 将角色user添加到demo项目的demo用户

[root@ajy6 ~]# openstack role add --project demo --user demo user