OpenStack—镜像服务

Posted 2021-09-10 水木，年華

前言：在OpenStack中的项目名称为Glance。
在早期的OpenStack版本中,Glance只有管理镜像的功能，并不具备镜像存储功能。现在，Glance已发展成为集镜像上传、检索、管理和存储等多种功能的OpenStack核心服务。

镜像
镜像的英文为Image，又译为映象，通常是指一系列文件或一个磁盘驱动器的精确副本。镜像文件其实和ZIP压缩包类似,它将特定的一系列文件按照一定的格式制作成单一的文件，以方便用户下载和使用。
一个完整的镜像分为两部门：1.元数据，2.镜像数据文件

概念理解
举例子: Ghost是使用镜像文件的经典软件，其镜像文件可以包含更多信息，如系统文件、引导文件、分区表信息等，这样镜像文件就可以包含一个分区甚至是一块硬盘所有信息。Ghost可基于镜像文件快速安装操作系统和应用程序。
举列子: VMware的虚拟机模板

镜像服务
镜像服务就是用来管理镜像的，让用户能够发现、获取和保存镜像。在OpenStack中提供镜像服务的是Glance，其主要功能如下:
查询和获取镜像的元数据和镜像本身
注册和上传虚拟机镜像，包括镜像的创建、上传、下载和管理。
维护镜像信息，包括元数据和镜像本身。
支持多种方式存储镜像，包括普通的文件系统、Swift、Amazon S3等
对虚拟机实例执行创建快照命令来创建新的镜像，或者备份虚拟机的状态。

Images API的版本
Glance提供的RESTful API目前有两个版本: API v1和APl v2

v1只提供基本的镜像和成员操作功能，包括镜像创建、删除、下载、列表、详细信息查询、更新，以及镜像租户成员的创建，删除和列表。

v2除了支持v1的所有功能外，主要增加了镜像位置的添加、删除、修改，元数据和名称空间操作，以及镜像标记操作。

两个版本对镜像存储支持相同，v1从N版开始已经过时，迁移路径使用v2进行替代。

镜像格式：

磁盘结构:
RAW:磁盘镜像实例，以二进制形式存储的方式(图片)
优点:访问速度非常快
缺点:不支持动态扩容、前期消耗多(创建20G磁盘类比workstation)

Vhd:微软公司提出的格式

VMDK: vmware公司想要统一虚拟化平台的一种格式

Vdi: VirtualBox官方支持的结构

ISO:基本类型

Qcow2:-Qemu支持的类型

AKI、ARI、AMI:亚马逊所推出支持的类型

容器:
磁盘存储的数据、元数据需要相互隔离，所以会使用到容器

Bare :基础类型
Ovf:标准的格式体系，支持动态扩容，而且支持导出入

AKi、Ami、Ari:亚马逊

组件工作流程
glance-api
json yaml xml格式的

镜像格式

容器：做为资源集合的一个具备隔离性质的载体

镜像状态1：
queued:这是一种初始化状态，镜像文件刚被创建，在Glance数据库只有其元数据，镜像数据还没有上传至数据库中
saving:是镜像的原始数据在上传到数据库中的一种过渡状态，表示正在上传镜像
uploading:指示已进行导入数据提交调用，此状态下不允许调用PUT/file (saving状态会执行PUT/file,这是另外一种上传的方法)
importing:指示已经完成导入调用，但是镜像还未准备好使用。

镜像状态2：
active:表示当镜像数据成功上传完毕，成为Glance中可用的镜像
deactivated:表示任何非管理员用户都无权访问镜像数据，禁止下载镜像，也禁止镜像导出和镜像克隆之类的操作
killed:表示镜像上传过程中发生错误，镜像不可读
deleted:镜像将在不久后被自动删除，该镜像不可再用，但是目前Glance仍然保留该镜像的相关信息和原始数据
pending_delete:与deleted相似，Glance还没有清除镜像数据，但处于该状态的镜像不可恢复

企业自身做了一个镜像快照——》模板——》下次使用镜像时所使用的镜像模板项目更新
deleted(7天之后删除，因为删除之后glance 会保存元数据和原始的镜像数据文件)pending delete表示不可恢复
pending_delete 表示不可恢复
镜像状态1中:镜像只是上传到glance到可以被glance管理
镜像状态2中:在使用过程中所可能呈现的5种状态

镜像状态：
镜像的生命周期
从创建——》使用/管理—》删除

访问权限：

Public(公共的):可以被所有的项目使用
Private (私有的):只有被镜像所有者所在的项目使用
Shared(共享的):一个非共有的镜像可以共享给其他项目，这是通过项目成员(member-*)操作来实现的
Protected(受保护的):这种镜像不能被删除

客户端是Glance服务应用程序使用者，是OpenStack命令行工具、Horizon或Nova服务

glance-api是系统后台运行的服务进程，是进入Glance的入口。它对外提供REST API，负责接收用户的RESTful请求，响应镜像查询、获取和存储的调用。

glance-registry是系统后台运行的glance注册服务进程，负责处理与镜像元数据相关的RESTful请求，元数据包括镜像大小、类型等信息。Glance-api接收的请求如果是与镜像的元数据相关的操作,glance-api会把请求转发给glance-registry。glance-registry会解析请求内容，并与数据库交互，存储、处理、检索镜像的元数据。glance-api对外提供API，而glance-registry的API只由glance-api使用。

Glance的DB模块存储的是镜像的元数据，可以选用mysql、MariaDB、SQLite等数据库。镜像的元数据通过glance-registry存放在数据库中。注意，镜像本身(chunk数据）是通过glance存储驱动存放到各种存储后端中的。

存储后端(Store Backend) Glance自身并不存储镜像，它将镜像存放在后端存储系统中。镜像本身的数据通过glance_store存放在各种后端，并可从中获取。支持本地存储、对象存储RBD块设备，Sheepdog分布式存储，Cinder块存诸，Mware数据存储。

OpenStack的操作都需经Keystone进行身份认证(AuthN)并授权(AuthZ)，Glance也不例外。Glance是一个CIS架构，提供一个REST API，用户就通过RESTAPI来执行镜像的各种操作。Glance Domain Controller是一个主要的中间件，相当于调度器，作用是将Glance内部服务的操作分发到以下各个功能层

Auth(授权):用来控制镜像的访问权限，决定镜像自己或者它的属性是否可以被修改，只有管理员或镜像的拥有者才可以执行修改操作。roperty Protection(属性保护):这是个可选层，要在Glance配置文件中设置了
property_protection_file参数才会生效。它提供两种类型的镜像属性，一种是核心属性，在镜像参数中指定;另—种是元数据属性，可以被附加到一个镜像上的任一—键值对。该层通过调用Glance的public API管理对meta属性的访问，也可以在配置文件中限制该访问。

Notifier(消息通知):将镜像变化的消息和使用镜像时发生的错误和警告添加到消息队列中。

Policy(规则定义):定义镜像操作的访问规则，这些规则在/etc/policy.json文件中定义，该层对其进行监视并实施。

Quota(配额限制):如果管理员对某用户定义了镜像大小的镜像上传上限，则该用户上传了超过该限额的镜像时会上传失败。

Location(定位):通过glance_store与后台存储进行交互，例如上传、下载镜像，管理镜像存储位置。该层还能够在添加新位置时检查位置URI是否正确;镜像位置改变时删除存储后端保存的镜像数据;防止镜像位置重复。

DB(数据库):实现与数据库进行交互的API，一方面将镜像转换为相应的格式以存储在数据库中，另一方面将从数据库读取的信息转换为可操作的镜像对象。

Registry Layer(注册层):是一个可选层，通过使用单独的服务控制Glance Domain Controller与GlanceDB之间的安全交互。

Glance DB:是Glance服务使用的核心库，该库对Glance内部所有依赖数据库的组件是共享的。(这个库是存一些元数据信息的，不是真正存镜像的数据库)

Glance Store:用来组织处理Glance和各种存储后端的交互，提供了一个统一的接口来访问后端的存储。所有的镜像文件操作都是通过调用Glance Store库来执行的，它负责与外部存储端或本地文件存储系统的交互。

controller:控制器
scheduler:调度器
K8S中以上两种机制是特别重要的
调度器:选择在哪执行任务，交给谁来执行
控制器:怎么执行任务，怎么交给指定的人员

1、创建对应服务/项目的数据库
2、创建管理服务的用户角色，在此是glance
3、为glance进行提权，让其拥有admin权限，管理对象范围是service4、添加指定的service给与glance管理(service就是glance)

查看 etcd , memcached rabbitmq-server httpd的服务状态

netstat -antp | grep 5000  #keystone的认证端口

openstack user list     #用户表
openstack token issue   #token令牌

【OpenStack-Glance组件部署】
一、创建数据库实例和数据库用户

[root@ct ~]# mysql -u root -p
MariaDB [(none)]> CREATE DATABASE glance;
MariaDB [(none)]> GRANT ALL PRIVILEGES ON glance.* TO 'glance'@'localhost' IDENTIFIED BY 'GLANCE_DBPASS';
MariaDB [(none)]> GRANT ALL PRIVILEGES ON glance.* TO 'glance'@'%' IDENTIFIED BY 'GLANCE_DBPASS';
MariaDB [(none)]> flush privileges;
MariaDB [(none)]> exit

二、创建用户、修改配置文件
创建OpenStack的Glance用户
#创建用户前，需要首先执行管理员环境变量脚本（此处已经在~/.bashrc 中定义过了）

[root@ct ~]# openstack user create --domain default --password GLANCE_PASS glance			###创建glance用户

[root@ct ~]# openstack role add --project service --user glance admin					#将glance用户添加到service项目中，并且针对这个项目拥有admin权限；注册glance的API，需要对service项目有admin权限

[root@ct ~]# openstack service create --name glance --description "OpenStack Image" image		创建一个service服务，service名称为glance，类型为image；创建完成后可以通过 openstack service list 查看

● 创建镜像服务 API 端点，OpenStack使用三种API端点代表三种服务：admin、internal、public

[root@ct ~]# openstack endpoint create --region RegionOne image public http://ct:9292
[root@ct ~]# openstack endpoint create --region RegionOne image internal http://ct:9292
[root@ct ~]# openstack endpoint create --region RegionOne image admin http://ct:929

● 安装 openstack-glance 软件包。

[root@ct ~]# yum -y install openstack-glance 

● 修改glance配置文件，glance有两个配置文件：

/etc/glance/glance-api.conf 
/etc/glance/glance-registry.conf

[root@ct ~]# cp -a /etc/glance/glance-api.conf{,.bak}
[root@ct ~]# grep -Ev '^$|#' /etc/glance/glance-api.conf.bak > /etc/glance/glance-api.conf

● 添加glance-api.conf配置

#传入修改的参数
openstack-config --set /etc/glance/glance-api.conf database connection mysql+pymysql://glance:GLANCE_DBPASS@ct/glance
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken www_authenticate_uri http://ct:5000
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken auth_url http://ct:5000
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken memcached_servers ct:11211
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken auth_type password
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken project_domain_name Default
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken user_domain_name Default
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken project_name service
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken username glance
openstack-config --set /etc/glance/glance-api.conf keystone_authtoken password GLANCE_PASS
openstack-config --set /etc/glance/glance-api.conf paste_deploy flavor keystone
openstack-config --set /etc/glance/glance-api.conf glance_store stores file,http
openstack-config --set /etc/glance/glance-api.conf glance_store default_store file
openstack-config --set /etc/glance/glance-api.conf glance_store filesystem_store_datadir /var/lib/glance/images/



[root@ct glance]# cat glance-api.conf
[DEFAULT]
[cinder]
[cors]
[database]
connection = mysql+pymysql://glance:GLANCE_DBPASS@ct/glance
[file]
[glance.store.http.store]
[glance.store.rbd.store]
[glance.store.sheepdog.store]
[glance.store.swift.store]
[glance.store.vmware_datastore.store]

[glance_store]
stores = file,http					#存储类型，file：文件，http：基于api调用的方式，把镜像放到其他存储上
default_store = file					#默认存储方式
filesystem_store_datadir = /var/lib/glance/images/	##指定镜像存放的本地目录

[image_format]
[keystone_authtoken]
www_authenticate_uri = http://ct:5000			##指定认证的keystone的URI
auth_url = http://ct:5000
memcached_servers = ct:11211
auth_type = password
project_domain_name = Default
user_domain_name = Default
project_name = service				#glance用户针对service项目拥有admin权限
username = glance
password = GLANCE_PASS

[oslo_concurrency]
[oslo_messaging_amqp]
[oslo_messaging_kafka]
[oslo_messaging_notifications]
[oslo_messaging_rabbit]
[oslo_middleware]
[oslo_policy]

[paste_deploy]
flavor = keystone					#指定提供认证的服务器为keystone

[profiler]
[store_type_location_strategy]
[task]
[taskflow_executor]

● 修改glance-registry.conf 配置文件