Was ist OpenStack API Access?

Mit OpenStack API Access können Tools, die mit den OpenStack-APIs arbeiten, die Ressourcen in Ihren Projekten verwalten: die openstack-CLI, Terraform mit seinem OpenStack-Provider sowie der OpenStack Cloud Controller Manager (OCCM) und der Cinder-CSI-Treiber in Kubernetes. Diese Tools melden sich mit einem Anwendungs-Credential an, das Sie in der Konsole unter Identität & Zugriff › OpenStack-API-Zugriff erstellen. Die Konsole und ihre REST-API benötigen nie eines.

HauptfunktionenLink kopieren

• Anwendungs-Credentials. Eingeschränkte Credentials, die ablaufen und zu einem Projekt gehören. Erstellen Sie eines für sich selbst oder für ein Dienstkonto. Siehe Anwendungs-Credential erstellen.
• Profile. Ein Profil legt die Keystone-Rollen eines Credentials fest. Mit Vollzugriff erstellt und verwaltet ein Credential Ressourcen. Das Formular listet jedes Profil auf und deaktiviert die Profile, die Sie nicht wählen können. Siehe Profile.
• Fertige Dateien. Nachdem Sie ein Credential erstellt haben, generiert die Konsole in Ihrem Browser clouds.yaml, openrc.sh, cloud.conf, ein Kubernetes-Secret und eine main.tf für Terraform. Siehe Heruntergeladene Dateien.
• Zwei-Faktor-Bestätigung. Für das Erstellen oder Rotieren eines Credentials und für das Ein- oder Ausschalten des OpenStack-API-Zugriffs benötigen Sie eine Bestätigung per Code aus Ihrer Authenticator-App, die höchstens 5 Minuten zurückliegt. Siehe Step-up-Bestätigung.
• Rotation mit Überlappung. Ersetzen Sie ein Credential durch ein neues mit neuer ID und neuem Secret, während das alte bis zu 168 Stunden lang weiter funktioniert. Oder widerrufen Sie ein Credential, um es sofort zu löschen. Siehe Credentials rotieren und widerrufen.
• Schalter für die Organisation. Der OpenStack-API-Zugriff ist ausgeschaltet, bis ein Abonnementinhaber ihn für die Organisation einschaltet. Siehe OpenStack-API-Zugriff ein- oder ausschalten.

FunktionsweiseLink kopieren

Jedes Mitglied und jedes Dienstkonto, das ein Credential erhält, hat eine eigene Identität in OpenStack. Seine OpenStack-Rollen in einem Projekt folgen seiner Rolle in der Konsole: Die Rollen Besitzer und Mitwirkender werden der Keystone-Rolle member zugeordnet, die Rolle Leser wird reader zugeordnet, und die Rolle Abrechnungsoperator erhält keinen API-Zugriff. Ein Credential hat nie mehr als diese Rollen. Wenn eine Änderung die OpenStack-Rolle seines Inhabers im Projekt herabsetzt, z. B. von member auf reader, oder den Zugriff des Inhabers entfernt, wird das Credential gelöscht.

Ein Credential ist ein Keystone-Anwendungs-Credential mit Ablaufdatum, das an ein Projekt gebunden ist. Sein Secret wird nur einmal angezeigt, wenn Sie es erstellen. Tools verwenden das Credential, um sich beim öffentlichen Identitätsendpunkt der Cloud anzumelden, und rufen dann die OpenStack-APIs der Region des Projekts auf.

Ressourcen, die Sie über die OpenStack-APIs erstellen, sind dieselben Ressourcen, die Sie in der Konsole sehen. Diese erscheinen im Projekt, werden auf das Kontingent des Abonnements und die Zuteilung des Projekts angerechnet und auf dieselbe Weise abgerechnet.

AnwendungsfälleLink kopieren

• Infrastructure as Code. Verwalten Sie Netzwerke, Instanzen und Volumes mit Terraform.
• CI/CD-Pipelines. Geben Sie jeder Pipeline ein Dienstkonto-Credential, das weiter funktioniert, wenn Personen das Team verlassen.
• Kubernetes auf Ihren Instanzen. Lassen Sie OCCM Load Balancer für Services und Cinder CSI Volumes für Persistent Volume Claims erstellen.
• Skripting. Führen Sie openstack-CLI-Befehle für ein Projekt aus.

AbrechnungLink kopieren

OpenStack API Access hat keine eigenen Abrechnungsdimensionen. Die Ressourcen, die Sie über die APIs erstellen, werden dem Abonnement des Projekts wie Ressourcen in Rechnung gestellt, die Sie in der Konsole erstellen. Siehe So funktioniert die Abrechnung.

LimitsLink kopieren

• Ein Credential gehört zu einem Projekt.
• Jeder Inhaber kann bis zu 20 aktive Credentials haben und jedes Projekt bis zu 50.
• Ein Credential läuft nach 1–365 Tagen ab; der Standardwert ist 90 Tage.
• Wenn Sie ein Credential rotieren, kann das alte bis zu 168 Stunden lang weiter funktionieren.

Alle Limits finden Sie unter Limits der OpenStack-API.

Zugehörige DiensteLink kopieren

• Identity & Access Management: Rollen, Dienstkonten und Zwei-Faktor-Authentifizierung.
• Virtual Machines: Instanzen, die Sie auch über die APIs verwalten können.
• Block Storage: die Volumes, die Cinder CSI erstellt.
• Load Balancers: die Load Balancer, die OCCM erstellt.
• Kontingente: die Limits, auf die über die APIs erstellte Ressourcen angerechnet werden.

Nächste SchritteLink kopieren