да дело не в идеи. дело в том что в post install надо прикорячить плейбуку.
какой плэйбук и куда надо прикорячить? или это не по интеграции?
Raul
icewolf
плотину нужно завалить камнем?)
но камень я не дам, я откуда знаю что у него там с фриипой, может он HMAC хочет
Mikhail
Обожаю, когда чуваки пришедшие за помощью на советы реагируют дискуссией вместо того, чтобы прислушиваться к советам и осознать их, чтобы поправить у себя то, что не так
Никита
какой плэйбук и куда надо прикорячить? или это не по интеграции?
https://docs.redhat.com/en-us/documentation/red_hat_openstack_platform/17.0/pdf/integrate_openstack_identity_with_external_user_management_services/Red_Hat_OpenStack_Platform-17.0-Integrate_OpenStack_Identity_with_external_user_management_services-en-US.pdf
Читали?
Никита
надо просто дифференцировать понятия "помощь" и "сделайте мне гайд/сделайте за меня"
Никита
Прежде чем задавать вопросы стоит n-ое количество времени погуглить
Никита
и пока ты не начал читать туториалы на китайских сайтах
icewolf
что бы что то построить надо было погуглить хотя бы в жинжа файлы
https://opendev.org/openstack/kolla-ansible/commit/a5e402f1e829be553e79f43ee32b2bc9ba189b12
Никита
считай что даже не начинал гуглить
icewolf
и создать /etc/kolla/config/keystone/domains/keystone.DOMAIN.conf
Никита
Вторая ссылка в гугле
https://stackoverflow.com/questions/68135710/deploy-kolla-ansible-openstask-wuth-ldap-integration
Mikhail
https://docs.redhat.com/en-us/documentation/red_hat_openstack_platform/17.0/pdf/integrate_openstack_identity_with_external_user_management_services/Red_Hat_OpenStack_Platform-17.0-Integrate_OpenStack_Identity_with_external_user_management_services-en-US.pdf
Читали?
Это же первая ссылка по запросу freeipa openstack, не так-то просто её найти
Никита
если пакетики идут, но не туда
Raul
может наконец прочитает кто-то описание которое описывает выполненные действия? я прочитал все что было с упоминаем lapd penstack
Mikhail
Попробуйте мешочки, если пакетики не идут
Raul
советы погуглить лучше оставить себе, я конкретно описал проблему, описал выполненные действия
Никита
выглядит как ошибка
Mikhail
Mikhail
Гуглите ещё
Никита
Create a custom config file referencing your ${your_domain_name} in /etc/kolla/config/keystone/domains/keystone.${your_domain_name}.conf
в конфиг файл /etc/kolla/keystone/keystone.conf
Mikhail
Вам дали ссылки, ткнули носом
Никита
вот ошибка у вас
Mikhail
Что не так
Никита
Create a custom config file referencing your ${your_domain_name} in /etc/kolla/config/keystone/domains/keystone.${your_domain_name}.conf
Then in that file you set your driver to LDAP and define all your required LDAP configuration parameters as referenced in https://docs.openstack.org/keystone/latest/admin/configuration.html
Mikhail
Причём аж двое ткунили носом что не так, всё равно спорит. Тут скорее надо из профессии уходить из-за неспособности к воспринятию информации. Хотя, лучше оставаться, на фоне таких норм ребятам проще устроиться на хорошее место
Raul
Гуглите ещё
я пришел в группу в которой 2 тыщи человек которые объединены темой openstack имеют опыт работы с этой системой и подсистемами, я думал когда в такой группе задаешь вопрос по проблеме будет ответ чуть более развернутей чем погуглите
Nikolay
Риску предложить deepseek
Mikhail
я пришел в группу в которой 2 тыщи человек которые объединены темой openstack имеют опыт работы с этой системой и подсистемами, я думал когда в такой группе задаешь вопрос по проблеме будет ответ чуть более развернутей чем погуглите
Да, объединены, но не для того, чтобы решать проблемы с навыками чтения
Raul
Да, объединены, но не для того, чтобы решать проблемы с навыками чтения
это касательно навыков чтения
Mikhail
Сложно без нагана
Никита
https://resurrexit.github.io/2016/07/06/debugging-ldap-backed-domains-in-keystone.html
https://www.youtube.com/watch?v=7BSnhRZ8nhs
https://adam.younglogic.com/2012/02/freeipa-keystone-ldap/
https://access.redhat.com/solutions/3010401
https://old-galaxy.ansible.com/kemopq/freeipa_kolla
https://rutube.ru/video/f87bd28328c45669efc06a2455c1b3fa/
https://docs.redhat.com/en/documentation/red_hat_openstack_platform/16.2/epub/integrate_openstack_identity_with_external_user_management_services/index#proc-configuring-director-domain-specific-ldap-backend_identity-active-directory
Никита
Investigating Kolla bug
It looks like I’m working with Kolla Ansible docs. The issue seems related to setting domain_specific_drivers_enabled in the keystone.conf file, where Jinja templates use lowercase true, but the boolean configuration parser expects an uppercase True. This bug was identified after a change didn’t take effect. The solution was to use True instead of true in the template. Also, the exact parameters like domain_config_dir and keystone_identity_domain_specific_drivers_enabled need to be checked too.
Fixing Keystone LDAP Configuration
It seems like there are a few issues preventing LDAP from being used. First, you need to fix the boolean case for domain_specific_drivers_enabled — it should be True, not true. Then, ensure the domain file is in the right directory: place it at /etc/kolla/config/keystone/domains/keystone.<domain>.conf. Also, the driver string has a misspelling, it should be keystone.identity.backends.ldap.Identity. Don’t forget to reconfigure with kolla-ansible reconfigure and run tcpdump inside the container for debugging.
Clarifying Keystone Driver Path
It looks like the correct driver path is "keystone.identity.backends.ldap.Identity", not with a typo like "Identit." I could search for references to this typo in OpenStack docs or related code, but definitely want to use the full path in the config. It could help to cite relevant documentation or reliable sources like StackOverflow, though I would stick to the proper full driver path to avoid confusion.
Описываем проблему с настройками LDAP
Основные проблемы, которые приводят к ошибке с LDAP, включают неправильный регистр параметра domain_specific_drivers_enabled, опечатку в имени драйвера и неправильное расположение конфигурационного файла. Также важно правильно настроить отладку трафика и проверить логи внутри контейнера. Рекомендую исправить keystone.conf, разместить файл в нужной директории и исправить ошибку в имени драйвера. Для дальнейшей отладки используйте логи и настройки TCP-дампа.
Думал на протяжении 43 секунд
Ниже приведён разбор основных причин, по которым Keystone в вашем развертывании Kolla-Ansible не отправляет LDAP-запросы, и пошаговые рекомендации по их устранению.
## Краткий обзор
Keystone не переходит на LDAP-драйвер для домена из-за того, что:
1. параметр domain_specific_drivers_enabled оказался неактивен из-за неверного регистра;
2. файл доменной конфигурации лежит не в том каталоге, который копирует Kolla;
3. в настройках допущена опечатка в имени драйвера;
4. при отладке трафика tcpdump запускался не там, где общается контейнер.
Исправив регистр булевого параметра, правильно разместив файл и указав корректный путь к библиотеке LDAP в доменных конфигах, а также перезапустив kolla-ansible reconfigure, вы заставите Keystone обращаться к IPA-серверу ([Launchpad][1], [docs.openstack.org][2]).
---
## Основные причины проблемы
### 1. Булевый параметр выключен из-за регистра
В шаблоне keystone.conf.j2 Kolla-Ansible стоит строка
domain_specific_drivers_enabled = true
с маленькой буквы, которую oslo.config не распознаёт как истину, и функциональность доменных драйверов не включается ([Launchpad][1], [docs.openstack.org][2]).
### 2. Неправильное расположение доменного файла
По умолчанию Kolla-Ansible копирует доменные файлы из директории
/etc/kolla/config/keystone/domains/
в контейнере — в /etc/keystone/domains/ ([OpenDev: Free Software Needs Free Tools][3], [lists.openstack.org][4]). Если вы кладёте файл в /etc/keystone/domains на хосте или /etc/kolla/keystone/domains, он не попадёт в /etc/keystone/domains контейнера.
### 3. Опечатка в имени драйвера LDAP
В вашем примере:
[identity]
driver = keystone.identity.backends.ldap.Identit
пропущена буква y в конце Identity. Правильный entry point для LDAP-драйвера:
[identity]
driver = keystone.identity.backends.ldap.Identity
Это обязательная константа из OpenStack Keystone ([sergslipushenko.github.io][5]).
### 4. Отладка трафика вне контейнера
Никита
Когда Keystone работает в Docker-контейнере, его сетевой трафик идёт через docker-bridge (обычно docker0) или специфичные интерфейсы сети kolla. Запуск tcpdump только на интерфейсе eth0 хоста не показывает запросы из контейнера. Надо либо:
* запускать tcpdump на docker0 (или -i any);
* либо внутрь контейнера (docker exec -it kolla_keystone bash && tcpdump -i eth0 port 389) ([Launchpad][1]).
---
## Пошаговые рекомендации по устранению
### 1. Исправьте keystone.conf на хосте
В файле /etc/kolla/config/keystone/keystone.conf установите:
[identity]
domain_specific_drivers_enabled = True
domain_config_dir = /etc/keystone/domains
Обратите внимание на заглавную True и путь, совпадающий с тем, что шаблон копирует в контейнер ([OpenDev: Free Software Needs Free Tools][6], [docs.openstack.org][2]).
### 2. Разместите файл доменной конфигурации в правильном каталоге
Создайте на хосте:
/etc/kolla/config/keystone/domains/keystone.best.conf
(где best – ваше имя домена), и скопируйте в него ваши LDAP-настройки. Другие локации Kolla игнорирует ([lists.openstack.org][4]).
### 3. Поправьте имя драйвера LDAP
Во вновь созданном keystone.best.conf убедитесь, что в секции [identity] стоит именно:
driver = keystone.identity.backends.ldap.Identity
а не просто ldap и уж тем более без опечаток ([sergslipushenko.github.io][5]).
### 4. Примените изменения и перезапустите контейнер
Выполните на хосте:
kolla-ansible reconfigure
это скопирует обновлённые файлы в контейнеры и перезапустит Keystone ([OpenDev: Free Software Needs Free Tools][3]).
### 5. Проверьте трафик и логи
* Для захвата LDAP-запросов запустите tcpdump внутри контейнера или на docker0 интерфейсе:
docker exec -it kolla_keystone bash
tcpdump -i eth0 port 389
* Логи Keystone лежат в контейнере по /var/log/keystone/keystone.log — внимательно их просмотрите на предмет ошибок при загрузке доменных конфигов.
---
После выполнения всех шагов повторите команду:
openstack user list --domain best
и убедитесь, что Keystone стал обращаться к IPA-серверу. Если запросы не появляются на tcpdump, значит конфигурация теперь применяется корректно, и оставшиеся проблемы — уже сетевые или прав доступа в IPA.
[1]: https://bugs.launchpad.net/bugs/2053025?utm_source=chatgpt.com "Bug #2053025 “keystone configuration template domain_specific_dr ..."
[2]: https://docs.openstack.org/keystone/pike/admin/identity-domain-specific-config.html?utm_source=chatgpt.com "Domain-specific configuration - OpenStack Docs"
[3]: https://opendev.org/openstack/kolla-ansible/commit/a5e402f1e829be553e79f43ee32b2bc9ba189b12?utm_source=chatgpt.com "Support Keystone Domain specific files · a5e402f1e8 - kolla-ansible"
[4]: https://lists.openstack.org/pipermail/openstack-discuss/2023-April/033180.html?utm_source=chatgpt.com "[horizon][domain][yoga][kolla-ansible] horizon display failed to ..."
[5]: https://sergslipushenko.github.io/html_doc/keystone_integrate_identity_backend_ldap.html?utm_source=chatgpt.com "OpenStack Docs: Integrate Identity back end with LDAP"
[6]: https://opendev.org/openstack/kolla-ansible/src/commit/22363e63b8843b313e35aceb79dae7acf82878cb/ansible/roles/keystone/templates/keystone.conf.j2?utm_source=chatgpt.com "kolla-ansible/keystone.conf.j2 at ... - OpenDev"
icewolf
надо вот сюда смотреть.
https://opendev.org/openstack/kolla-ansible/src/branch/master/ansible/roles/keystone/templates/keystone.conf.j2
Никита
С вас 5 тыщ
Raul
в общем я частично решил вопрос, все ссылки которые рекомендовали к прочтению, не работают с openstack kolla точнее не совсем так работают, и по конфигам есть неточности
Никита
Победа
Raul
этот ключ , не работает, возможно изменились пути вызова драйвера, работает короткий ключ ldap
driver = keystone.identity.backends.ldap.Identity
Mikhail
Победа
ага, он все сам сделал при этом, без твоей помощи :D я еще вангую, что он взял код из мастера, а не стабильную ветку.
Никита
с опытом придет
icewolf
Mikhail
к таким не приходит, к таким приходят такие как ты, которые готовы вникать и разжежывать до уровня виндоус инсталлеров.
icewolf
я тоже показал ему файл и даже акцент на ветку мастера и diff показал
Raul
главное что нигде не описано надо после добавления в этот конфиг /etc/kolla/config/keystone/keystone.conf ключа надо выполнить реконфигурацию coomon и keystone контейнеров, причем файл перепишется после этого уже с этим ключем
[identity]
domain_specific_drivers_enabled = True
Mikhail
я тоже показал ему файл и даже акцент на ветку мастера и diff показал
это было слишком сложно, ты тоже хороший, но не положил ложку в рот, а только разжевал
icewolf
притом сказал же иди на opendev
Mikhail
главное что нигде не описано надо после добавления в этот конфиг /etc/kolla/config/keystone/keystone.conf ключа надо выполнить реконфигурацию coomon и keystone контейнеров, причем файл перепишется после этого уже с этим ключем
[identity]
domain_specific_drivers_enabled = True
да, неужели нигде не описано?))))
Mikhail
ну прям *нигде*
Raul
нигде нет описания что надо реконфиг контенера делать, только рестарт
Raul
ну прям *нигде*
я не находил и никто не подсказал, а именно из-за этого не работало, рестар контенера не помогал
icewolf
нигде нет описания что надо реконфиг контенера делать, только рестарт
написано везде! Вы там в Германии совсем обленились.. все за вас русские должны делать
icewolf
еще и код читать
Mikhail
нигде нет описания что надо реконфиг контенера делать, только рестарт
https://docs.openstack.org/kolla-ansible/latest/user/operating-kolla.html#kolla-ansible-cli учись читать
icewolf
притом это не программирование это администрирование.
Raul
написано везде! Вы там в Германии совсем обленились.. все за вас русские должны делать
покажите пожалуйста команду kolla-ansible -i all-in-one -t common,keystone reconfigure , и я принесу извинения
Mikhail
учи то как работают контейнеры, господи ну докер инспект то можно было сделать, посмотреть как замаплены директории и подумать, а поможет ли рестарт просто или надо что-то по другому делать, ой а я же коллой ставлю, мб у неё есть спец команда, когда я меняю файлики конфигураций
Mikhail
конечно, сложная цепочка размышлений, но вроде за это и платят же.
icewolf
конечно, сложная цепочка размышлений, но вроде за это и платят же.
у нас не платят это само собой разумеющийся факт.
Raul
учи то как работают контейнеры, господи ну докер инспект то можно было сделать, посмотреть как замаплены директории и подумать, а поможет ли рестарт просто или надо что-то по другому делать, ой а я же коллой ставлю, мб у неё есть спец команда, когда я меняю файлики конфигураций
так я про это и спрашивал !!, это и называется совет опытного человека!!
Никита
Борис сколько ты там говорил час у нас стоит
Mikhail
так я про это и спрашивал !!, это и называется совет опытного человека!!
чувак, тебе дали ссылки на документацию, где про это черным по белому написано, ты даже не осилил её прочитать, там два экрана то всего
Никита
так я про это и спрашивал !!, это и называется совет опытного человека!!
это не те знания что опытом нарабатываются....
Mikhail
давайте его забаним
Raul
icewolf
Борис сколько ты там говорил час у нас стоит
час технической поддержки redhat L3 стоит 17000 USD
Mikhail
и так, у нас тут участвовало три инженера, округялем до часу, он нам должен 51к баксов
Raul
и так, у нас тут участвовало три инженера, округялем до часу, он нам должен 51к баксов
в поддержке дают конкретные советы или решения а не отправляют погуглить
Илья | 😶☮️🐸
Вот опять скажут что ру комьюнити токсичные
Никита
благодаря этой токсичности ты учишься разбираться сам