CN115118480A - 一种基于Openstack的Skyline系统分权分域功能的实现方法及装置 - Google Patents

Abstract

本发明涉及一种基于Openstack的Sky l i ne系统分权分域功能的实现方法及装置,属于应用开发技术领域。方法包括：获取全部权限数据集，根据功能对所述权限数据集进行划分，得到粗粒度权限；建立所述粗粒度权限和细粒度权限之间的映射关系；开发粗粒度权限AP I以及Sky l i ne页面渲染，并进行Sky l i ne Po l i c i es AP I重构；通过登录用户判断所述用户具备的权限。本方法能够对每一个用户的权限进行灵活的自定义，而且对于管理员来说非常友好，实现在Openstack上的分权分域以及用户权限的定制化。

Description

一种基于Openstack的Skyline系统分权分域功能的实现方法 及装置

技术领域

本发明属于应用开发技术领域，尤其涉及一种基于Openstack的Skyline系统分权分域功能的实现方法及装置。

背景技术

Open stack是由NASA(美国国家航空航天局)开发的分布式云计算管理平台。最大的优势是能够将算力资源结合起来，为运营商和客户提供服务支持。Horizon和Skyline是Open stack的组件功能，支撑其运行的是Docker容器，组件之间的功能是独立的，并且可以相互之间进行通信合作，通过网络和API(接口)访问的模式，因此，大大增加运行效率。

在这样技术发展的基础上，Horizon作为Open stack的前端页面，它能够通过页面给后端功能发送请求完成操作，主要作用是为Open stack提供一个管理员操作平台，用户也可以登录，但一般用户不具备管理员权限。Skyline是Horizon的一个重构版产品，其更加详细的功能，简洁高效的操作模式，易于维护的功能模块相对于Horizon来说更具备优势。

采用Skyline进行用户管理和功能资源的划分是非常有意义的，经过后期二次开发，Skyline功能逐步展现出其出色的性能，在管理员分配权限时，相对于Horizon那种无法修改权限的设计，Skyline在权限数据的管理上面，更加灵活，开发时对于每一个权限返回值都有固定的权限，而Horizon则不具备，开发上面更加偏向于模块化，维护难度非常高。

在处理Skyline的权限划分时，传统方法是采用将固定的权限和业务逻辑先写死，管理员会根据用户划分权限，它只能划分两种用户，一种是和他们一样的管理员权限，另一种是非管理员权限，Skyline对不同的非管理权限是无法修改其权限内容的，因为之前内容都是写死的，对于管理员来说，Skyline虽然说是写死权限的，但是Skyline的权限还是很好通过后台修改的，但是这样的方式，对于管理员是非常不友好的，造成最直观的问题是增加了Skyline使用的门槛，也增加了Skyline使用的难度。

发明内容

本发明的主要目的在于克服现有技术的缺点与不足，提供一种基于Openstack的Skyline系统分权分域功能的实现方法及装置，能够对每一个用户的权限进行灵活的自定义，而且对于管理员来说非常友好，实现在Openstack上的分权分域以及用户权限的定制化。

根据本发明的一个方面，本发明提供了一种基于Openstack的Skyline系统分权分域功能的实现方法，所述方法包括以下步骤：

S1：获取全部权限数据集，根据功能对所述权限数据集进行划分，得到粗粒度权限；

S2：建立所述粗粒度权限和细粒度权限之间的映射关系；

S3：开发粗粒度权限API以及Skyline页面渲染，并进行SkylinePolicies API重构；

S4：通过登录用户判断所述用户具备的权限。

优选地，所述开发粗粒度权限API包括：

在Openstack的Keystone组件中开发API，将粗粒度权限数据设计成字典+列表的形式。

优选地，所述进行Skyline Policies API重构包括：

在Skyline容器的配置文件中，配置一个skyline的超级用户，进而得到一个拥有超级权限的token(令牌)，不同用户登录时，根据role(角色)和用户的配置关系，SkylinePolicies API动态的为该用户提供应有的权限。

优选地，所述通过登录用户判断所述用户具备的权限包括：

采用发送API请求的方式来验证登录用户是Admin用户还是非admin用户，以此区分token的类型。

优选地，所述通过登录用户判断所述用户具备的权限包括：

当用户登录时，获取所述用户的token,根据所述token判断所述用户是否为admin管理员用户，若是，则返回全量权限，若否，则返回所述用户绑定的role自身权限值，如果用户没有绑定role，则返回空值。

根据本发明的另一个方面，本发明还提供了一种基于Openstack的Skyline系统分权分域功能的实现装置，所述装置包括：

划分模块，用于获取全部权限数据集，根据功能对所述权限数据集进行划分，得到粗粒度权限；

建立模块，用于建立所述粗粒度权限和细粒度权限之间的映射关系；

处理模块，用于开发粗粒度权限API以及Skyline页面渲染，并进行SkylinePolicies API重构；

判断模块，用于通过登录用户判断所述用户具备的权限。

优选地，所述处理模块开发粗粒度权限API包括：

在Openstack的Keystone组件中开发API，将粗粒度权限数据设计成字典+列表的形式。

优选地，所述处理模块进行Skyline Policies API重构包括：

在Skyline容器的配置文件中，配置一个skyline的超级用户，进而得到一个拥有超级权限的token，不同用户登录时，根据role和用户的配置关系，Skyline Policies API动态的为该用户提供应有的权限。

优选地，所述判断模块通过登录用户判断所述用户具备的权限包括：

采用发送API请求的方式来验证登录用户是Admin用户还是非admin用户，以此区分token的类型。

优选地，所述判断模块通过登录用户判断所述用户具备的权限包括：

当用户登录时，获取所述用户的token,根据所述token判断所述用户是否为admin管理员用户，若是，则返回全量权限，若否，则返回所述用户绑定的role自身权限值，如果用户没有绑定role，则返回空值。

有益效果：本发明通过粗粒度权限设计、粗粒度权限和细粒度权限的映射、粗粒度权限API开发以及Skyline页面渲染、Policies API重构、以及通过登录用户判断该用户具备的权限，能够对每一个用户的权限进行灵活的自定义，而且对于管理员来说非常友好，实现在Openstack上的分权分域以及用户权限的定制化。

通过参照以下附图及对本发明的具体实施方式的详细描述，本发明的特征及优点将会变得清楚。

附图说明

图1是基于Openstack的Skyline系统分权分域功能的实现方法流程图；

图2是基于Openstack的Skyline系统分权分域功能的实现装置示意图。

具体实施方式

下面结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例1

图1是基于Openstack的Skyline系统分权分域功能的实现方法流程图。如图1所示，本实施例提供了一种基于Openstack的Skyline系统分权分域功能的实现方法，所述方法包括以下步骤：

S1：获取全部权限数据集，根据功能对所述权限数据集进行划分，得到粗粒度权限。

具体地，在获取全部权限数据集M的基础上，通过M设计出粗粒度权限N。设计N的时候，首先要明确M，因为M高达1000多项，如果将其全部做在Skyline权限控制上面，那管理员开始为用户划分权限的时候，要从1000多项内容里面选择，这是非常没有必要的，可以对这些功能分类，如果按照简单来划分的话，包括创建，删除，更新。

根据五大类功能，如Open stack的计算、存储、网络、资源编排、系统管理等功能，对用户权限进行划分，比如计算中的镜像，与镜像创建的功能在全部权限中有3-5项，默认选择粗粒度权限Image-Create，然后系统也会默认将其映射的细粒度权限给到系统，也就是说和其有关联的3-5个镜像创建的权限全部都是返回的True，也就是说，管理员为用户分配了一个创建镜像的权限，Open stack系统得到了5条关于镜像创建的权限。

这三个内容就基本能够涵盖1000项权限内容了，但是如果只有这三项权限，管理员也没什么可选性，因此需要设计一套粗粒度权限，这一套权限可能只有100项左右，但却能为管理员提供详细的功能选项，管理员有了这100多项权限，就能为任何用户任何人自由自在的分配权限了，从而实现了分权分域。粗粒度的权限是按照功能划分的，Openstack系统内有Nova，Neutron，Cinder，Image，Keystone这些功能决定了虚拟机的各种配置。

针对虚拟机配置来说，如启动，停止，删除，迁移，更新。针对镜像则有创建，删除，更新等功能.....以此类推。这样按照功能来的划分，需要在每一个功能再配置创建，删除，更新等具体功能，而诸如基于功能下的创建，删除，更新这些权限共同构成了粗粒度的权限。

S2：建立所述粗粒度权限和细粒度权限之间的映射关系。

具体地，将170个粗粒度权限与1050个细粒度权限建立映射，诸如Image的创建，细粒度内相关权限有5-8条，统一将其余Image-Create这样的粗粒度权限建立映射，关系上面从粗粒度出发到细粒度，属于一对多的映射，完成映射后，开始进行API的开发和页面的渲染。

映射的主要工作是人为将粗粒度权限与细粒度权限进行匹配，如果有设计不合理的地方，会通过人为的方式调整映射关系。

S3：开发粗粒度权限API以及Skyline页面渲染，并进行SkylinePolicies API重构。

优选地，所述开发粗粒度权限API包括：

在Openstack的Keystone组件中开发API，将粗粒度权限数据设计成字典+列表的形式。

具体地，本实施例采用不同粗细粒度权限的映射关系来实现分权分域的核心功能，有了粗粒度权限到细粒度权限后，需要设计合适的数据结构，将其映射关系在计算机和程序之间得到实现，并且为了能够实时有效，数据的读写要进入数据库，并且要时刻与数据库同步，为了这个功能，本实施例在U版本Openstack的Keystone组件中开发API，将粗粒度权限数据设计成字典+列表的形式。

使用新keystone API进行全量粗粒度权限数据返回，根据这个接口在Skyline的前端进行开发，使用这个接口的数据对页面进行渲染，Skyline用户管理那边，通过Role来管理粗粒度权限，也就是说管理员如果打开Role就能看到每一个role内容中都会有一套选项，根据这些选项来对role进行权限划分，每一个role绑定不同的用户，有了role绑定的用户，该用户就能使用这个role上面具备的权限了，这样设计可以更加灵活的分权分域用户绑定不同的role，就能获得不同的权限，同时也支持一个用户绑定多个role，这个时候该用户获得的权限是所有role的交集。

Skyline的渲染是采用数据库内将数据以API的形式返回前端页面时获取的数据，前端页面通过事先写好的前端代码对功能进行一个渲染，进而可以让管理员对新用户的权限进行定制化的划分，如果批量创建一些用户，而某些用户不需要系统内的一些权限，这个时候就能由管理员对其权限进行划分，亦或者是通过project，将其划分到别的权限组里，进而形成了域的隔离，project配置的Domain不同，其展现的内容也有不同，因此，Domain(域)的配置也会决定分权分域的使用人群。

优选地，所述进行Skyline Policies API重构包括：

在Skyline容器的配置文件中，配置一个skyline的超级用户，进而得到一个拥有超级权限的token，不同用户登录时，根据role和用户的配置关系，Skyline Policies API动态的为该用户提供应有的权限。

具体地，原有的Skyline Policies API，为用户提供权限时，完全是按照前端写死的模式来的，也就是说，Skyline Policies API为每一个用户返回的权限都是一个相对固定的值，现在需要将其功能进行重构，要求不同用户登录时，根据role和用户的配置关系，Skyline PoliciesAPI可以动态的为该用户提供应有的权限，这样就等价于实现了分权分域。

API能够读取全部权限数据，Open stack对于数据库的访问和一般的系统不太一样，都是以API请求的形式进行，首先第一步，我们需要获取Token，Skyline系统内获取Token的方法很特殊，有两种方式：一种是登录的时候，使用登录用户信息，因为登录用户信息会自动到Keystone获取一个验证，因此，验证时keystone会返回一个token，当然，如果是非admin用户登录，则token是不具备访问keystoneapi的能力。

因此，只能采用第二种方式，在Skyline容器的配置文件中，配置一个skyline的超级用户，之后通过读取Yaml文件，获取session.Session(auth＝ver_auth).get_token()这个功能，将yaml文件内的auth_url、username、password、等等信息输入此方法，进而得到一个拥有超级权限的token，它可以访问keystone以及mariadb的任一API。

数据库采用MySQL数据库，但是数据库被封装在MariaDB容器内，容器之间也是通过API的方式，通过token访问MariaDB的API进而得到，Body体采用我们写好的数据库模板，全量权限的数据结构采用了字典的形式进行保存。

粗粒度权限采用了role_simpledata这个新建的Keystone API进行设计，数据采用字典+列表的形式进行设计。读取和调用时采用token设计一个request请求就能得到数据直接使用。

通过role_simpledataAPI获得了精简版的权限，通过token读取mariadb的api获得了全量权限的数据，有了这两组数据以后，根据一对多人工配置好的映射关系，将二者数据建立联系，并且将role_simpledata的数据进行渲染，管理员可以对每一个创建的role进行操作，而且每一个管理员操作后的role和role_simpledata的数据均不一样，并且将其数据保存到roles这个数据表中，使用时可以实时读取，从而完成了分权分域核心功能的实现。

S4：通过登录用户判断所述用户具备的权限。

优选地，所述通过登录用户判断所述用户具备的权限包括：

采用发送API请求的方式来验证登录用户是Admin用户还是非admin用户，以此区分token的类型。

优选地，所述通过登录用户判断所述用户具备的权限包括：

当用户登录时，获取所述用户的token,根据所述token判断所述用户是否为admin管理员用户，若是，则返回全量权限，若否，则返回所述用户绑定的role自身权限值，如果用户没有绑定role，则返回空值。

具体地，首先是Token的获取，原有功能只能获得登录用户的token，也就是token_user，本实施例在这个基础上，通过skyline配置文件，访问keystone，通过keystone的sess.get_token()方法获取admin用户的token，该token拥有最高权限，可以访问一切资源，以此为例，使用它向之前新设计的keystoneapi：role_simpledata，发出访问请求，当登录的时候，这个时候系统会自动判断登录的api是否为admin的api，如果是，则返回全量权限。如果否，则返回该用户role下面的权限值，这样就实现了分权分域。

登录的时候登录用户信息会自动到Keystone获取一个验证，因此，验证时keystone会返回一个token，当然，如果是非admin用户登录，则token是不具备访问keystoneapi的能力。只需要模拟一个请求，之后，获得用户的token，如果这个用户是admin管理员用户，那这个api请求就能走通，返回全量的权限。如果是非admin用户，则返回该用户绑定的role自身权限数据，如果用户没有绑定role，则返回空值！此时的用户登录Skyline后，不具备任何权限。

本实施例通过粗粒度权限设计、粗粒度权限和细粒度权限的映射、粗粒度权限API开发以及Skyline页面渲染、Policies API重构、以及通过登录用户判断该用户具备的权限，能够对每一个用户的权限进行灵活的自定义，而且对于管理员来说非常友好，实现在Openstack上的分权分域以及用户权限的定制化。

实施例2

图2是基于Openstack的Skyline系统分权分域功能的实现装置示意图。如图2所示，本实施例还提供了一种基于Openstack的Skyline系统分权分域功能的实现装置，所述装置包括：

划分模块201，用于获取全部权限数据集，根据功能对所述权限数据集进行划分，得到粗粒度权限；

建立模块202，用于建立所述粗粒度权限和细粒度权限之间的映射关系；

处理模块203，用于开发粗粒度权限API以及Skyline页面渲染，并进行SkylinePolicies API重构；

判断模块204，用于通过登录用户判断所述用户具备的权限。

优选地，所述处理模块203开发粗粒度权限API包括：

在Openstack的Keystone组件中开发API，将粗粒度权限数据设计成字典+列表的形式。

优选地，所述处理模块203进行Skyline Policies API重构包括：

在Skyline容器的配置文件中，配置一个skyline的超级用户，进而得到一个拥有超级权限的token，不同用户登录时，根据role和用户的配置关系，Skyline Policies API动态的为该用户提供应有的权限。

优选地，所述判断模块204通过登录用户判断所述用户具备的权限包括：

采用发送API请求的方式来验证登录用户是Admin用户还是非admin用户，以此区分token的类型。

优选地，所述判断模块204通过登录用户判断所述用户具备的权限包括：

当用户登录时，获取所述用户的token,根据所述token判断所述用户是否为admin管理员用户，若是，则返回全量权限，若否，则返回所述用户绑定的role自身权限值，如果用户没有绑定role，则返回空值。

本实施例2中各个模块所实现的功能的具体实施过程与实施例1中的各个步骤的实施过程相同，在此不再赘述。

以上所述仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是在本发明的构思下，利用本发明说明书及附图内容所作的等效结构变换，或直接/间接运用在其他相关的技术领域均包括在本发明的专利保护范围内。

Claims (10)

1.一种基于Openstack的Skyline系统分权分域功能的实现方法，其特征在于，所述方法包括以下步骤：

S1：获取全部权限数据集，根据功能对所述权限数据集进行划分，得到粗粒度权限；

S2：建立所述粗粒度权限和细粒度权限之间的映射关系；

S3：开发粗粒度权限API以及Skyline页面渲染，并进行Skyline Policies API重构；

S4：通过登录用户判断所述用户具备的权限。

2.根据权利要求1所述的方法，其特征在于，所述开发粗粒度权限API包括：

在Openstack的Keystone组件中开发API，将粗粒度权限数据设计成字典+列表的形式。

3.根据权利要求2所述的方法，其特征在于，所述进行Skyline Policies API重构包括：

在Skyline容器的配置文件中，配置一个skyline的超级用户，进而得到一个拥有超级权限的token，不同用户登录时，根据role和用户的配置关系，Skyline Policies API动态的为该用户提供应有的权限。

4.根据权利要求3所述的方法，其特征在于，所述通过登录用户判断所述用户具备的权限包括：

采用发送API请求的方式来验证登录用户是Admin用户还是非admin用户，以此区分token的类型。

5.根据权利要求4所述的方法，其特征在于，所述通过登录用户判断所述用户具备的权限包括：

当用户登录时，获取所述用户的token,根据所述token判断所述用户是否为admin管理员用户，若是，则返回全量权限，若否，则返回所述用户绑定的role自身权限值，如果用户没有绑定role，则返回空值。

6.一种基于Openstack的Skyline系统分权分域功能的实现装置，其特征在于，所述装置包括：

划分模块，用于获取全部权限数据集，根据功能对所述权限数据集进行划分，得到粗粒度权限；

建立模块，用于建立所述粗粒度权限和细粒度权限之间的映射关系；

处理模块，用于开发粗粒度权限API以及Skyline页面渲染，并进行Skyline PoliciesAPI重构；

判断模块，用于通过登录用户判断所述用户具备的权限。

7.根据权利要求6所述的装置，其特征在于，所述处理模块开发粗粒度权限API包括：

在Openstack的Keystone组件中开发API，将粗粒度权限数据设计成字典+列表的形式。

8.根据权利要求7所述的装置，其特征在于，所述处理模块进行Skyline Policies API重构包括：

在Skyline容器的配置文件中，配置一个skyline的超级用户，进而得到一个拥有超级权限的token，不同用户登录时，根据role和用户的配置关系，Skyline Policies API动态的为该用户提供应有的权限。

9.根据权利要求8所述的装置，其特征在于，所述判断模块通过登录用户判断所述用户具备的权限包括：

采用发送API请求的方式来验证登录用户是Admin用户还是非admin用户，以此区分token的类型。

10.根据权利要求9所述的装置，其特征在于，所述判断模块通过登录用户判断所述用户具备的权限包括：

当用户登录时，获取所述用户的token,根据所述token判断所述用户是否为admin管理员用户，若是，则返回全量权限，若否，则返回所述用户绑定的role自身权限值，如果用户没有绑定role，则返回空值。

Images