Anwendungs-Credential erstellen
OpenStack-API-Zugriff einschalten, Anwendungs-Credential für sich oder ein Dienstkonto erstellen, Profil wählen und die Dateien des Credentials herunterladen.
Mit einem Anwendungs-Credential können sich OpenStack-Tools bei einem Ihrer Projekte anmelden. Sie erstellen es in der Konsole, und die Konsole zeigt sein Secret nur einmal an, zusammen mit fertigen Konfigurationsdateien.
Voraussetzungen
- Der OpenStack-API-Zugriff Ihrer Organisation muss eingeschaltet sein. Siehe OpenStack-API-Zugriff ein- oder ausschalten.
- Richten Sie die Zwei-Faktor-Authentifizierung für Ihr Konto ein. Für das Erstellen oder Rotieren eines Credentials und für das Ein- oder Ausschalten des OpenStack-API-Zugriffs ist eine aktuelle Zwei-Faktor-Bestätigung in Ihrer Konsolensitzung erforderlich. Siehe Step-up-Bestätigung.
- Öffnen Sie das Projekt, für das das Credential bestimmt ist. Ein Credential gehört zu einem Projekt.
- Um ein Credential für sich selbst zu erstellen, muss Ihr Zugriff im Projekt eines der Profile erlauben, die das Formular anbietet. Siehe Profile.
- Um ein Credential für ein Dienstkonto zu erstellen, benötigen Sie die Rolle Besitzer oder eine benutzerdefinierte Rolle mit der Zugriffsebene Verwalten für API Tokens, und Ihre eigenen OpenStack-Rollen im Projekt müssen alle Rollen des Dienstkontos umfassen.
OpenStack-API-Zugriff ein- oder ausschalten
Für eine neue Organisation ist der OpenStack-API-Zugriff ausgeschaltet. Nur ein Abonnementinhaber sieht den Schalter und kann ihn ändern.
Wechseln Sie in der Konsole zu Identität & ZugriffOpenStack-API-Zugriff.
Wählen Sie Einschalten im Bereich API-Zugriff der Organisation aus.
Geben Sie einen Code aus Ihrer Authenticator-App ein, wenn die Konsole Sie dazu auffordert.
Achtung
Das Ausschalten des Zugriffs löscht jede OpenStack-Identität Ihrer Organisation und damit jedes Anwendungs-Credential in jedem Projekt. Credentials kehren nicht zurück, wenn Sie den Zugriff wieder einschalten; sie müssen neu erstellt werden.
So schalten Sie den Zugriff aus:
Wechseln Sie in der Konsole zu Identität & ZugriffOpenStack-API-Zugriff.
Wählen Sie Ausschalten im Bereich API-Zugriff der Organisation aus.
Wenn die Konsole Sie dazu auffordert, geben Sie einen Code aus Ihrer Authenticator-App ein.
Prüfen Sie die Anzahl der Identitäten und aktiven Credentials, die gelöscht werden, und aktivieren Sie das Kontrollkästchen Ich verstehe, dass alle OpenStack-Credentials der Organisation nicht mehr funktionieren.
Wählen Sie Ausschalten und löschen aus.
Credential erstellen
Wechseln Sie zu Identität & ZugriffOpenStack-API-Zugriff, und wählen Sie Neues Credential aus.
Geben Sie im Feld Name einen Namen ein.
Wählen Sie unter Inhaber die Option Ich oder Ein Dienstkonto und dann das Dienstkonto aus. Die Auswahl des Inhabers erscheint nur, wenn Sie Credentials für Dienstkonten erstellen können und ein aktiviertes Dienstkonto existiert.
Wählen Sie unter Profil ein Profil aus. Das Formular listet jedes Profil auf und zeigt neben einem Profil, das Sie nicht wählen können, den Grund an. Siehe Profile.
Wählen Sie im Feld Läuft ab nach aus, wie lange das Credential gültig bleibt.
Wählen Sie Credential erstellen aus. Wenn die Konsole Sie dazu auffordert, geben Sie einen Code aus Ihrer Authenticator-App ein.
Kopieren Sie die Werte ID des Anwendungs-Credentials und Secret, oder laden Sie unter Fertige Dateien die Dateien herunter, die Sie benötigen.
Wählen Sie Ich habe das Secret gespeichert und dann Fertig aus.
Wichtig
Das Secret wird nur einmal angezeigt: auf diesem Bildschirm. Wenn Sie es verlieren, rotieren Sie das Credential, oder erstellen Sie ein neues.
| Feld | Regeln |
|---|---|
| Name | 1–63 Zeichen: Buchstaben, Ziffern, Leerzeichen, ., _ und -. Der Name muss mit einem Buchstaben oder einer Ziffer beginnen und darf nicht mit einem Leerzeichen enden. Er darf nicht mit pc_live_ oder sak_live_ beginnen. |
| Inhaber | Sie selbst oder ein aktiviertes Dienstkonto. |
| Profil | Ein Profil, das Ihre Rolle erlaubt. |
| Läuft ab nach | 7, 30, 90, 180 oder 365 Tage. Jedes Credential läuft ab. Eine E-Mail wird verschickt, wenn noch 14 Tage oder weniger übrig sind, und erneut, wenn noch 3 Tage oder weniger übrig sind: an Sie oder, beim Credential eines Dienstkontos, an das Mitglied, das es erstellt hat. |
Der Bildschirm zeigt außerdem die Liste Vergebene OpenStack-Rollen an.
Ergebnis
Das Credential erscheint in der Liste unter Identität & ZugriffOpenStack-API-Zugriff mit dem Status Aktiv. Konfigurieren Sie Ihre Tools mit seiner ID und seinem Secret oder mit den heruntergeladenen Dateien. Siehe openstack-CLI verwenden und Terraform verwenden.
Profile
Ein Profil legt die Keystone-Rollen fest, die das Credential im Projekt erhält. Unter Profil listet das Formular jedes Profil auf und zeigt neben einem Profil, das Sie nicht wählen können, den Grund an.
Das Profil Vollzugriff gibt dem Credential die Keystone-Rollen member und load-balancer_member, damit es Ressourcen im Projekt erstellen und verwalten kann. Um es zu wählen, benötigen Sie die Zugriffsebene Verwalten für Compute, Netzwerk und Speicher im Projekt, wie bei den Rollen Besitzer und Mitwirkender.
- Die Load-Balancer-Rolle folgt Ihrer Berechtigung für Load Balancers. Ohne Verwalten für Load Balancer erhält ein Credential mit dem Profil Vollzugriff statt
load-balancer_memberdie Rolleload-balancer_observeroder überhaupt keine Load-Balancer-Rolle. Der Bildschirm nach der Erstellung zeigt die vergebenen Rollen an. - Ein Credential erhält nie mehr als die OpenStack-Rollen seines Inhabers im Projekt.
- Für das Credential eines Dienstkontos gelten dieselben Regeln für die Rollen des Dienstkontos.
- Wenn Sie kein Profil wählen können, weist die Seite darauf hin, und Sie können dort kein Credential erstellen.
Heruntergeladene Dateien
Die Konsole generiert diese Dateien in Ihrem Browser aus dem neuen Credential:
| Datei | Verwendung |
|---|---|
clouds.yaml | Die openstack-CLI, openstacksdk und Terraform. Der Cloud-Eintrag heißt bulutistan. |
openrc.sh | Laden des Credentials als Umgebungsvariablen in eine Shell. |
cloud.conf | Der OpenStack Cloud Controller Manager und Cinder CSI in Kubernetes. |
cloud-config-secret.yaml | Die Datei cloud.conf als Kubernetes-Secret kube-system/cloud-config. |
main.tf | Ein Ausgangspunkt für Terraform, der clouds.yaml liest. |
Jede Datei außer main.tf enthält das Secret. Halten Sie die Dateien privat, und nehmen Sie sie nicht in die Versionskontrolle auf.
Die Dateien verweisen auf den Endpunkt, den die Seite unter Endpunkt, Region und Limits anzeigt: die Identitäts-URL in der Form https://<identity-host>/v3, die Region, die Schnittstelle public und den Authentifizierungstyp v3applicationcredential. Kopieren Sie diese Werte von der Seite, wenn Sie ein Tool manuell konfigurieren.
Wer welche Credentials sieht
Identität & ZugriffOpenStack-API-Zugriff listet die Credentials des aktuellen Projekts auf, die Sie sehen dürfen:
- Ihre eigenen Credentials;
- die Credentials von Dienstkonten, wenn Sie die Zugriffsebene Verwalten für API Tokens haben;
- jedes Credential des Projekts, wenn Sie die Zugriffsebene Verwalten für Identity & Access haben.
Sie können die Credentials widerrufen, die Sie sehen können. Siehe Credentials rotieren und widerrufen.
Problembehandlung
| Meldung | Lösung |
|---|---|
| Direkter OpenStack-API-Zugriff ist für Ihre Organisation ausgeschaltet. | Bitten Sie einen Abonnementinhaber, den OpenStack-API-Zugriff einzuschalten. |
| Dieses Projekt ist in der Cloud noch nicht bereit. Versuchen Sie es in einigen Minuten erneut. | Warten Sie, und versuchen Sie es erneut. |
| Ihre Rolle in diesem Projekt erlaubt dieses Profil nicht. | Wählen Sie ein anderes Profil, oder fordern Sie eine Rolle mit mehr Zugriff im Projekt an. |
| Das Dienstkonto hat in diesem Projekt OpenStack-Rollen, die Sie nicht haben. Sie können dafür kein Credential erstellen. | Bitten Sie eine Person, deren Zugriff im Projekt den des Dienstkontos abdeckt, das Credential zu erstellen. |
| Das Credential-Limit ist erreicht. Widerrufen Sie zuerst ein ungenutztes Credential. | Widerrufen Sie ein Credential, das Sie nicht mehr verwenden. Siehe Limits der OpenStack-API. |
| OpenStack-Credentials können nur aus einer Konsolensitzung mit Zwei-Faktor-Authentifizierung erstellt werden, nicht mit einem API-Token. | Erstellen Sie das Credential in der Konsole, angemeldet mit Zwei-Faktor-Authentifizierung. |
| Diese Anfrage wurde bereits verarbeitet. Das Secret wurde einmal angezeigt und kann nicht erneut angezeigt werden; widerrufen Sie dieses Credential und erstellen Sie ein neues, falls es nicht gespeichert wurde. | Wenn Sie das Secret nicht gespeichert haben, widerrufen Sie dieses Credential, und erstellen Sie ein neues. |