на сколько понимаю логику, не так если не указан домен пользователя, то пользователь ищется в домене default просто надо указать в каком домене искать пользователя, для этого и есть опция --user-domain

создал 2 проекта один в домене default другой связал с доменом в котором привязка к ipa домену, пользователя admin добавить в оба проекта, а пользователя из домена ipa только в проект который связан с доменом ipa, меня не получается добавлять пользователя ipa в проект который не связан с доменом ipa, использовал такие варианты openstack role add --project proj_test --user-domain best --user opnadm admin --debug и openstack role add --project proj_test --user-domain opnadm admin --debug

на сколько понимаю логику, не так если не указан домен пользователя, то пользователь ищется в домене default просто надо указать в каком домене искать пользователя, для этого и есть опция --user-domain

Так точно!

но главное то и основное не сказали, домен это один iDM

Что опенстек "не нужон" и ovirt'а всем хватит за глаза. Ну или cloudstack'а

либвирта и virshа хватает, но! эти люди нам запрещают ковырятся в носу

либвирта и virshа хватает, но! эти люди нам запрещают ковырятся в носу

Вот сейчас сбер перепишет опенстек на го расте, вот тогда и заживём!

Вот сейчас сбер перепишет опенстек на го расте, вот тогда и заживём!

1. я обычно использую ИД, везде где можно (проект, пользователь, домен) 2. я бы ещё указал --project-domain

но главное то и основное не сказали, домен это один iDM

openstack role add --project proj_test --project-domain default --user-domain best --user opnadm member --debug не хочет

openstack role add --project proj_test --project-domain default --user-domain best --user opnadm member --debug не хочет

имеется ввиду одно пространство имен?

естественно разное: 1. допустим у нас есть точка входа в хорайзон example.com, и есть два домена example1.com и example2.ltd 2. Делаем два разных файла для кейтона, keystone.example1.com и keystone.example2.ltd, так как домены разные настраиваем связку. 3. Делаем по admin проекту в наших доменах уже в опенстеке.. Профит

имеется ввиду настройки кейстона на чтение информации из дерева домена? или связка между двумя доменами?

но это не очень удобно, по этому используют сервис провайдера типа кейклоак

таки поставьте вместо юзера ИДшник - 9c2887663eb3ecbfb2bdec

на го-расте, ток сплошную педерастию можно написать. И править сразу на ходу ямлы когда ставишь

Каспер вот тоже планирует ... переписать

Какая разница, что продавать отечественным госструктурам? Можно и нужно на модных языках переписать, там всё равно никто ничего не понимает

Уебунта собралась на sudo-rs переходить и все coreutils заменить на "ржавые". Прям жирнючий маркер, КМК

отчего же нет

многообещающе, но пока не получается,

через horizon?

да, хотелось бы через него

по ID добавилось, но через horizon присутствие пользователя в проекте подтверждается только сообщением об ошибке отображения, надо видимо Horizon донастраивать

это потому что имена пользователей у вас очень странные (там выше табличка была) крутите конфигу домена

можно чуть-чуть пояснить что значит странные имена? для дальнейшего использования корректных имен

@Raul_G777 может, всё таки, ovirt или cloudstack?

в таблице отображается cn, кейстон работает с cn а не c uid ?

в конфиге читается uid и cn, обычно работают с uid

получается что опенстак работает с cn?

не очень понимаю связь с геометрией, ну да ладно, переименовал поля для УЗ в домене, $ ipa user-show opnadm --all --raw dn: uid=opnadm,cn=users,cn=accounts,dc=brest,dc=testcloud uid: opnadm givenname: opnadm.firstname sn: opnadm.lastname cn: opnadm.fullname initials: oo homedirectory: /home/opnadm gecos: opnadm.gecos теперь отображаемая информация в опенстэке выглядит так +------------------------------------------------------------------+-------------------+ | ID | Name | +------------------------------------------------------------------+-------------------+ | 8a434193b11fa6d717155d24700ac439a697ef8bb744130db2e93f6a8c0fa2c2 | Administrator | | d9207ff6b0e3a175e77096417579e4c94410970767b2e2fa3afeaa1cfb5f2812 | bestadm bestadm | | 68f47aabe8a10b229d10d82042378e3e97365cf59b047aeb949e9ce3b273c161 | overmind overmind | | 9c2887663eb3ecbfb2bdec288eceaaa0f55c6f01a8e6781ecb0ef84815068a95 | opnadm.fullname | +------------------------------------------------------------------+-------------------+

Вам будет очень сложно когда опенстак взорвется. И взорвется он в самый неподходящий момент. Возьмите что-то попроще. Опенстаку нужна команда.

это был намёк на то, что вы себя ведете как семиклассник

получается что надо почитать документацию в части подключения LDAP читайте внимательно что значит каждый параметр в конфигурационном файле

я не нашел описания что для входа используется cn а не Uid

Так в коде же всё написано =)

Потом будете винить что комьюнити не разжевало/не предупредило

ну почему же предупредило. Я предупредил что ситуевина в том что люди хотят очень просто все, а в опенстеке все просто на поверхности ну если ты знаешь код хотя бы коре компонентов

Когда это всплывет, то будет поздно

я не нашел описания что для входа используется cn а не Uid

используется то что написано в конфиге посмотрите вот тут, хотя бы ссылок 10-15-20 https://www.google.com/search?q=openstack+keystone+ldap+config+user_name_attribute

мы кажется не объяснили главное, кейстоун этот сервис он использует или базу лдапа или мускуль или работает с сервис провайдером типа кейклоака.

еще раз выражаю благодарность за поддержку и советы

Гоняем kolla 2023.2 c ovs, локальные стореджи, gpu l4, l40s и h200 через passthrough Уже год полет нормальный. Буду поднимать второй кластер - думаю, стоит переходить на 2024.2? Подскажите, что по стабильности в 2024.2 ?

https://docs.openstack.org/project-team-guide/release-cadence-adjustment.html

Спасибо за ответ! Но я не обновляю существующий кластер, а разворачиваю второй кластер и думаю использовать 2024.2

если гляним сюда. https://keithtenzer.com/openstack/openstack-keystone-integrating-ldap-with-ipa/ там есть прям хорошо описаное в кейстоун конф vi /etc/keystone/keystone.conf driver = keystone.identity.backends.ldap.Identity видите? и вот кстати секция [ldap] url = ldap://ipa.lab.com user = uid=openstack,cn=users,cn=accounts,dc=lab,dc=com password = redhat01 user_tree_dn=cn=users,cn=accounts,dc=lab,dc=com user_id_attribute=uid

Спасибо за ответ! Но я не обновляю существующий кластер, а разворачиваю второй кластер и думаю использовать 2024.2