OpenStack学习笔记

OpenStack是一个开源的IaaS解决方案，使用它，你可以通过仪表盘或者利用OpenStack API控制/Provision大规模的计算、存储、网络资源池。

通过“驱动”，OpenStack支持大量商业、开源的计算、存储、网络相关技术框架，从而能够管理各种各样的基础设施。不管是裸金属机器、虚拟机、还是容器，都可以基于OpenStack进行管理，并共享网络、存储等底层资源：

Kubernetes、CloudFoundry等PaaS平台可以构建在OpenStack之上。

OpenStack由若干子项目组成，它们围绕着计算、存储、网络这三个核心概念组织：

1. 计算：提供并管理网络中大量的虚拟机，主要由Nova子项目负责
2. 存储：供服务器、应用程序使用的对象存储、块存储，分别由Swift、Cinder子项目负责
3. 网络：可拔插、可扩容、API驱动的网络和IP管理

这三类子项目还具有一些共享的服务：identity、镜像管理（image management）、一个基于Web的UI接口。

OpenStack项目的总览图如下，其中粗体标出了它的核心子项目，包括Horizon、Heat、Nova、Neutron、Swift、Cinder等：

以Bigdata as Service场景为例，各子项目的交互关系如下图：

简单的说明一下：

1. Keystone提供身份验证服务
2. Ceilometer提供监控服务
3. Horizon提供一个管理UI
4. Nova负责分配虚拟机
5. Glance提供镜像服务，镜像文件存放在Swift中
6. Cinder为虚拟机提供块存储卷
7. Cinder将卷备份到Swift中
8. Neuron为虚拟机提供网络连接

每个子项目，或者叫OpenStack服务，都通过公共的Identity Service进行身份验证，服务之间通过公共API进行交互。每个服务至少包含一个API进程，此进程监听API请求，进行预处理然后转交给服务的其它部分进行处理。

每个服务可以有多个进程，这些进程之间的通信方式通常是AMQP。服务的状态持久化在数据库中。多种消息代理、RDBMS被支持，例如RabbitMQ、MySQL、MariaDB。

用户访问OpenStack的方式有几种：

1. 通过Horizon提供的Web仪表盘
2. 提供CLI客户端
3. 提供SDK进行编程

不管是何种方式，在底层都会向不同的OpenStack服务发送REST请求。

Nova是OpenStack云中的计算组织控制器。支持OpenStack云中实例（instances）生命周期的所有活动都由Nova处理。这样使得Nova成为一个负责管理计算资源、网络、认证、所需可扩展性的平台。

Neutron是openstack核心项目之一，提供云计算环境下的虚拟网络功能。OpenStack网络（neutron）管理OpenStack环境中所有虚拟网络基础设施（VNI），物理网络基础设施（PNI）的接入层。

Cinder接口提供了一些标准功能，允许创建和附加块设备到虚拟机，如“创建卷”，“删除卷”和“附加卷”。还有更多高级的功能，支持扩展容量的能力，快照和创建虚拟机镜像克隆。

Octavia 是 openstack lbaas的支持的一种后台程序，提供为虚拟机流量的负载均衡。实质是类似于trove，调用 nova 以及neutron的api生成一台安装好haproxy和keepalived软件的虚拟机，并连接到目标网路。

Swift 不是文件系统或者实时的数据存储系统，而是对象存储，用于长期存储永久类型的静态数据。这些数据可以检索、调整和必要时进行更新。Swift最适合虚拟机镜像、图片、邮件和存档备份这类数据的存储。

Glance（OpenStack Image Service）是一个提供发现，注册，和下载镜像的服务。Glance提供了虚拟机镜像的集中存储。通过 Glance 的 RESTful API，可以查询镜像元数据、下载镜像。虚拟机的镜像可以很方便的存储在各种地方，从简单的文件系统到对象存储系统（比如 OpenStack Swift）。

Horizon 为 Openstack 提供一个 WEB 前端的管理界面 (UI 服务 )通过 Horizon 所提供的 DashBoard 服务 , 管理员可以使用通过 WEB UI 对 Openstack 整体云环境进行管理 , 并可直观看到各种操作结果与运行状态。

Ironic包含一个API和多个插件，用于安全性和容错性地提供物理服务器。它可以和nova结合被使用为hypervisor驱动，或者用bifrost使用为独立服务。默认情况下，它会使用PXE和IPMI去与裸金属机器去交互。Ironic也支持使用供应商的插件而实现额外的功能。

Cyborg（以前称为Nomad）旨在为加速资源（即FPGA,GPU,SoC, NVMe SSD,DPDK/SPDK,eBPF/XDP …）提供通用管理框架。

kolla 的使命是为 openstack 云平台提供生产级别的、开箱即用的交付能力。kolla 的基本思想是一切皆容器，将所有服务基于 Docker 运行，并且保证一个容器只跑一个服务（进程），做到最小粒度的运行 docker。

Kubernetes Kuryr是 OpenStack Neutron 的子项目，其主要目标是通过该项目来整合 OpenStack 与Kubernetes 的网络。该项目在 Kubernetes 中实现了原生 Neutron-based 的网络，因此使用 Kuryr-Kubernetes 可以让你的 OpenStack VM 与 Kubernetes Pods 能够选择在同一个子网上运作，并且能够使用 Neutron 的 L3 与 Security Group 来对网络进行路由，以及阻挡特定来源 Port。

Manila项目全称是File Share Service，文件共享即服务，用来提供云上的文件共享，支持CIFS协议和NFS协议。

Tacker是一个在OpenStack内部孵化的项目, 他的作用是NVF管理器，用于管理NVF的生命周期。Tacker的重点是配置VNF, 并监视他们。如果需要，还可重启和/或扩展（自动修复）NVF。整个进程贯穿ETSIMANO所描述的整个生命周期。

显示详细配置信息：

一个Domain，是用户、组、项目的集合。任何组、项目仅仅属于单个Domain。

管理项目

清除和指定项目关联的资源

用户的组。

用户管理

可以创建角色，将角色映射给用户或组。

角色和用户的映射关系。

指定角色之间的包含关系。

提供特定项目中，用户之间的角色代理，支持可选的替身机制（impersonation）。需要 OS-TRUST扩展。

在Identity服务的OS-OAUTH1扩展中使用，用于创建request token 、access token，仅仅支持Identity v3。

管理凭证：

使用应用凭证，用户可以给自己的应用程序授予对云资源的有限访问权限。

对应用程序凭证的权限进行细粒度控制。每个访问规则包含一下要素：

服务类型 + 请求路径 + 请求方法

创建或吊销一个令牌

Identity服务的OS-OAUTH1扩展使用访问令牌。consumer可以代表被授权用户来获得新的Identity API token。

Identity服务的OS-OAUTH1扩展使用请求令牌。consumer使用此令牌来请求access token

策略是一组规则，可以被远程服务消费。

基于RBAC的、针对网络资源的授权控制策略。让用户获得某个项目的网络资源的访问权限

很多API都支持资源配额

用于在项目级别进行资源配额。

用于定义OpenStack部署中的默认资源限制

显示计算、存储资源用量的限制

显示项目的资源用量

区域是OpenStack部署中的最大的分区。你可以配置多个sub-region，甚至形成树形结构。

可用区是云存储、计算、网络服务的逻辑分区。对等的AZ具有构成HA的效果，这和Region不同。

聚合是一组分组host的机制：

运行Hypervisor的物理机器。

OpenSSH公钥管理，用于访问创建的server（虚拟机）。

显示所有服务的版本、端点、是否弃用之类的信息

显示服务的类型、名称、端点列表：

很多OpenStack API包含API扩展，这些扩展提供额外的功能。

管理服务的API端点

一组端点，可以一起关联到项目。

表示一种虚拟机的规格。

管理镜像。

计算代理是和Hypervisor相关的，且仅仅被 XenAPI hypervisor driver支持。

Nova相关的服务。

显示虚拟机的控制台日志：

打印各种类型的控制台URL：

基于某种策略对服务器进行分组。

创建一个实例（虚拟机，也叫服务器server） 

为服务器添加固定IP地址：

为服务器添加浮动IP地址：

将服务器连接到某个网络 

将某个端口连接到服务器

将服务器添加到安全组

挂载（Attach）一个卷给服务器

服务器迁移，就是将一台宿主机上的实例，转移到另外一台上运行。

OpenStack支持四种迁移模式：热迁移、冷迁移、升降配（resize）、重建（evacuation）

扩/缩容服务器为新的flavor。实现方式是：

1. 创就一个新的服务器
2. 复制文件到新服务器

扩/缩容操作分为两步完成：第一步迁移，第二步确认

将服务器迁移到另外一个宿主机上。

迁移操作是基于resize操作实现的：

1. 创建一个新的实例，使用相同的flavor
2. 从原始磁盘上拷贝内容到新磁盘

和resize一样，迁移操作是分两步完成的：

1. 执行上述两步的迁移操作
2. 让用户确认，迁移是否成功并移除酒实例，还是执行revert操作 —— 删除新实例并重启老的

确认迁移

撤销迁移 

将服务器在另外一个宿主机上重建。这个命令的使用场景是：实例已经运行，但是后来它所在的宿主机宕掉了。 也就是说，仅当管理此实例的compute service宕机了，才可以使用此命令。

如果服务器实例使用临时的（ephemeral）root磁盘，此磁盘位于非共享存储上，则使用原始的glance镜像重建服务器。连接到原实例的port、挂载的卷被保留。

如果服务器实例从volume启动，或者跟磁盘位于共享存储上，则新建实例会重用此启动盘。

暂停服务器，状态保存在内存中

取消暂停服务器

暂停服务器，状态保存在磁盘中

从暂停中恢复

回退状态为软删除的服务器

重启服务器

启动服务器

停止服务器

重建服务器

让服务器进入rescue模式

从rescue模式恢复：

将服务器实例作为镜像，保存在glance中，然后在宿主机上删除此服务器 

将shelve的实例恢复

通过SSH连接到服务器

创建服务器的Dump文件。这会触发一个crash dump（例如Linux的kdump） 

（软）删除服务器

设置服务器属性

锁定实例，这样非admin用户就不能对它进行任何操作。

解锁服务器

备份一个运行中的服务器实例，将其磁盘保存为镜像，存放在Glance中。

从运行中的实例创建磁盘镜像，并存放到Glance中。

服务器事件，记录了针对服务器的各种操作。事件由操作类型（create, delete, reboot ...）+ 操作结果（success, error） + 开始/结束时间组成。

一个网络服务提供者，表示一个特定的、实现了网络服务的驱动：

所谓网络，是指一个独立的（isolated）的L2网段。OpenStack具有两种类型的网络：

1. project：完全隔离的、不和其它项目共享的网络。自服务网络
2. provider：映射到现有的、数据中心中的物理网络，为server或其它资源提供外部网络访问

仅仅管理员可以创建provider网络

子网是一段IP地址以及关联的配置状态。当新的Port接入到网络中时，子网用于向Port分配IP地址。

子网池中包含若干CIDR格式的子网前缀，这些前缀用于分配给子网。

表示IPv4或IPv6的地址范围，属于某个特定项目，可以被多个项目共享。

虚拟路由器是一个逻辑组件，能够在不同网络之间分发数据包。虚拟路由器也提供L3和NAT转发功能，让虚拟网络中的服务器能够访问外部流量。

端口是网络上的接入点，它可以将单个设备（例如server上的NIC）连接到网络。端口也描述了其关联的网络配置，例如MAC地址、IP地址

安全组是虚拟的网络防火墙，网络中的服务器、端口等资源可以受其影响。

安全组是安全组规则的容器。

安全组中的一条规则。

可以让管理员快速的设置某个项目的外部连接性。每个项目只能有一个此对象。

扩展network flavor允许用户在创建资源时，选择管理员配置的“网络风格”

用于管理员创建/删除/列出/显示网络服务的profile。

允许管理员来度量某个IP范围的流量。需要L3 metering extension

为某个meter设置度量网络流量的规则。需要L3 metering extension

将一组网络QoS规则组合到一起，可以应用到一个网络或端口。

上述policy中的一个规则

表示一个网络中的隔离的L2的段。一个（虚拟）网络可以包含多个段，同一个网络中的段的L2通信不被保证。

用于多租户下的网络段分配。可以让管理员全局的，或者基于用户的，来控制网络段范围。