HowTo: Application Credentials

Einführung

In der OpenCloud können User Application Credentials erstellen, damit sich ihre Anwendungen (insbes. die OpenStack CLI Tools) gegenüber OpenStack authentifizieren können, ohne die Anmeldeinformationen des Benutzers verwenden zu müssen. Dabei können Ablaufdatum sowie feingranulare Berechtigungen vergeben werden.

📘
Projekte & Benutzer
Application Credentials gehören dem User, der sie erstellt und beziehen sich immer auf das Projekt, in dem sie erstellt wurden.
Andere User können fremde Application Credentials nicht sehen oder verwalten.
Beim Löschen eines Users werden alle Application Credentials des Users mitgelöscht.

Application Credentials über die CLI

Erstellen von Application Credentials

Application Credentials können im gewünschten Projekt über die CLI wie folgt erstellt werden:

openstack application credential create my-app-credentials
+--------------+--------------------+
| Field        | Value              |
+--------------+--------------------+
| ID           | 11111111           |
| Name         | my-app-credentials |
| Description  | None               |
| Project ID   | 22222222           |
| Roles        | member, reader     |
| Unrestricted | False              |
| Access Rules | []                 |
| Expires At   | None               |
| Secret       | ********           |
+--------------+--------------------+

🚧
Wichtig
Das Secret (ob vom Benutzer festgelegt oder automatisch generiert) wird nur einmalig beim Erstellen der Application Credentials angezeigt. Bitte notieren Sie sich das Secret zu diesem Zeitpunkt.

Anzeigen von Application Credentials

Existierende Application Credentials können mit dem folgendem Befehl aufgelistet werden:

openstack application credential list
+----------+--------------------+-------------+------------+----------------+
| ID       | Name               | Description | Project ID | Roles          | 
+----------+--------------------+-------------+------------+----------------+
| 11111111 | my-app-credentials | None        | 22222222   | member, reader |
+----------+--------------------+-------------+------------+----------------+

Löschen von Application Credentials

Application Credentials können mit dem folgenden Befehl über den Namen oder die ID wie folgt gelöscht werden, beispielsweise:

openstack application credential delete my-app-credentials

Mangagement Application Credentials über die UI

Erstellen von Application Credentials

Loggen Sie sich in Horizon ein
Navigieren Sie zu Identity → Application Credentials
Klicken Sie auf Create Application Credential
1. Geben Sie den Application Credentials einen bezeichnenden Namen
2. Optional: Wählen Sie die ein Ablaufdatum oder einzelne Rollen aus

Bestätigen Sie das Erstellen mit Klick auf Create Application Credential

Laden Sie die Application Credentials über den Button Download openrc file herunter

🚧
Wichtig
Das Secret (ob vom Benutzer festgelegt oder automatisch generiert) wird nur einmalig beim Erstellen der Application Credentials angezeigt. Bitte notieren Sie sich das Secret zu diesem Zeitpunkt, beispielsweise durch das Herunterladen der OpenRC-Datei.

Anzeigen von Application Credentials

Loggen Sie sich in Horizon ein
Navigieren Sie zu Identity → Application Credentials
Wählen Sie die gewünschten Application Credentials aus, um sich die Details anzeigen zu lassen

Löschen von Application Credentials

Application Credentials können über das Horizon Dashboard wie folgt gelöscht werden:

Loggen Sie sich in Horizon ein
Navigieren Sie zu Identity → Application Credentials
Identifizieren Sie die zu löschenden Application Credentials und klicken Sie auf Delete Application Credential
Bestätigen Sie Löschung

⚠️
Wichtig
Das Löschen der Application Credentials ist permanent und kann nicht rückgängig gemacht werden.

Verwenden der Application Credentials

📘
Die Umgebungsvariablen werden nur pro Session in der jeweiligen Shell geladen. Vor jeder Verwendung der OpenStack CLI Tools muss ein source oder $env: (abhängig vom Betriebssystem) erfolgen.

Windows

Die OpenStack CLI Tools für Windows können gemäß folgender Anleitung installiert werden.

Für die Verwendung der OpenStack CLI müssen die Application Credentials in der PowerShell-Konsole als Umgebungsvariablen definiert werden. Anders als unter Linux und macOS kann die heruntergeladene OpenRC-Datei nicht einfach mittels source geladen werden. Die Werte müssen einzeln editiert und im Terminal geladen werden:

$env:OS_AUTH_URL="https://keystone.opencloud.telemaxx.de:5000/v3"
$env:OS_AUTH_TYPE="v3applicationcredential"
$env:OS_IDENTITY_API_VERSION=3
$env:OS_REGION_NAME="Karlsruhe"
$env:OS_INTERFACE="public"
$env:OS_APPLICATION_CREDENTIAL_ID="****"
$env:OS_APPLICATION_CREDENTIAL_SECRET="****"

Hier müssen die Werte von OS_APPLICATION_CREDENTIAL_ID und OS_APPLICATION_CREDENTIAL_SECRET mit den passenden Werten aus der zuvor heruntergeladenen OpenRC-Datei ersetzt werden. Nun kann die OpenStack CLI in PowerShell verwendet werden.

Linux/macOS

Hier geht es zur Installationsanleitung der OpenStack CLI Tools.

Anschließend müssen die Application Credentials geladen werden.

source my-credential-openrc.sh

Nun kann die OpenStack CLI im Terminal verwendet werden.