OpenStack Keystone手动安装实战：从零构建身份认证服务

1. 项目概述：为什么在2024年还要手动装Keystone？

Keystone不是个新名字，但“Keystone手动安装与配置”这个实训项目，在OpenStack教学和私有云运维一线依然高频出现——不是因为大家怀旧，而是因为自动部署工具（如DevStack、Kolla、Ansible Playbook）会掩盖关键路径，而生产环境里，你永远要面对那个没有图形界面、没有一键脚本、只有SSH终端和报错日志的真实世界。我带过三届云计算方向的实训班，每次讲到Keystone，学生第一反应都是：“老师，能不能直接pip install keystone然后run起来？”——这恰恰暴露了最危险的认知偏差：把身份认证服务当成一个普通Python包来对待。

Keystone的本质，是OpenStack生态的“门禁系统+户籍中心+权限总控台”。它不只校验用户名密码，还要管理Project（项目）、User（用户）、Role（角色）、Service（服务）、Endpoint（端点）五类核心资源之间的网状关系；它要对接后端数据库存凭证，要通过WSGI服务器对外提供RESTful API，要支持多种认证方式（token、password、application credential），还要为后续的Nova、Glance、Neutron等服务提供统一的鉴权入口。这些能力，绝非pip install一条命令能赋予。手动安装的过程，就是亲手把这整套逻辑骨架一砖一瓦搭起来的过程：从MySQL建库授权，到Apache加载WSGI模块；从Fernet密钥轮转机制，到admin token的临时通关逻辑；从/etc/keystone/keystone.conf的37处关键参数填空，到keystone-manage db_sync的底层SQL执行痕迹。你每敲一行命令，都在加固对OpenStack认证体系底层逻辑的理解。

这个实训项目真正训练的，不是“会不会装”，而是“出问题时能不能定位”。比如当curl -H "X-Auth-Token: $TOKEN" http://controller:5000/v3/projects返回401，你是去查keystone.log里的Invalid token，还是先确认fernet_keys目录权限？是重置admin token，还是检查memcached是否存活？这些判断链条，只有在手动配置的毛细血管级操作中才能长出来。所以别把它当成过时的体力活——它是云计算工程师的“心肺复苏术”：平时不用，用时救命。尤其在金融、政务类私有云场景，客户明确要求“所有组件必须源码可控、配置可审计、路径可追溯”，这时候Ansible脚本里一句copy: src=keystone.conf.j2反而成了合规风险点，而你手写的keystone.conf里每一行注释，都可能成为等保测评的加分项。

2. 整体设计思路：为什么坚持“手动”而非“自动化”

2.1 手动安装不是复古，而是构建认知锚点

很多人误以为手动安装Keystone是向DevOps理念倒退，实则恰恰相反。自动化部署（如Kolla-Ansible）的价值在于规模化交付，但它的代价是抽象层过厚——当你执行kolla-ansible deploy时，Ansible会自动创建MySQL数据库、生成Fernet密钥、配置Apache虚拟主机、启动keystone服务，整个过程像黑箱。而手动安装强制你站在每个组件的接口处：

• 在MySQL层面，你必须执行CREATE DATABASE keystone; GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' IDENTIFIED BY 'KEYSTONE_DBPASS';，这让你直面“服务账户最小权限原则”；
• 在Apache层面，你得编辑/etc/apache2/sites-available/wsgi-keystone.conf，明确写出WSGIScriptAlias / /usr/bin/keystone-wsgi-admin，理解WSGI协议如何将HTTP请求映射到Python应用；
• 在密钥管理上，你运行keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone，立刻意识到Fernet加密需要文件系统级持久化，且密钥轮转必须同步所有节点。

这种“被迫拆解”的过程，构建的是不可替代的认知锚点。就像学开车不能只坐自动驾驶汽车——你必须亲手感受离合器结合点、方向盘转向比、刹车踏板行程。当某天生产环境Keystone突然返回Connection refused，老手会立刻分三路排查：systemctl status apache2（Web服务器）、ss -tlnp | grep :5000（端口监听）、journalctl -u apache2 -n 50（日志上下文），而新手还在翻Ansible playbook找service: name=apache2 state=started这行代码。

2.2 配置选型的底层逻辑：为什么用MySQL而非SQLite，用Apache而非Eventlet

实训项目明确要求MySQL和Apache组合，这绝非随意指定。我们来算一笔账：

• 数据库选型：SQLite适合单机开发测试，但Keystone在生产环境需支撑数千并发认证请求。MySQL的连接池、主从复制、慢查询日志能力，是SQLite完全不具备的。更重要的是，OpenStack官方文档明确标注“SQLite is not supported for production use”。手动配置MySQL的过程，逼你执行ALTER DATABASE keystone CHARACTER SET = utf8mb4 COLLATE = utf8mb4_unicode_ci;，解决中文Project名乱码问题——这种细节，自动化脚本往往默认忽略。
• Web服务器选型：Keystone自带Eventlet WSGI服务器，但仅限于开发调试。Eventlet基于协程，单进程处理高并发，但遇到阻塞IO（如数据库慢查询）会拖垮整个进程。Apache + mod_wsgi采用多进程模型，一个worker崩溃不影响其他请求，且支持.htaccess规则、SSL卸载、请求限速等企业级功能。当你在wsgi-keystone.conf里写WSGIProcessGroup keystone时，就是在为后续接入负载均衡器（如HAProxy）铺路。

提示：很多学员在Ubuntu 22.04上卡在a2ensite wsgi-keystone报错，根源是未启用a2enmod wsgi。这不是疏忽，而是Apache模块化设计的必然——手动安装迫使你理解“Web服务器功能需显式启用模块”这一基础原理，而Ansible脚本里apache2_module: name=wsgi state=present一行就掩盖了全部。

2.3 安全配置的硬性约束：为什么必须禁用admin_token，必须轮转Fernet密钥

Keystone配置中最易被忽视的安全红线，恰恰藏在手动安装的细节里：

• admin_token机制：安装初期需用临时admin_token完成初始配置，但/etc/keystone/keystone.conf中[DEFAULT] admin_token = ADMIN_TOKEN这行必须在keystone-manage bootstrap后立即删除。否则攻击者只要拿到该token，就能绕过所有认证直接接管整个OpenStack。手动安装时，你会亲手执行sed -i '/^admin_token/d' /etc/keystone/keystone.conf，这个动作本身就在强化“临时凭证必须销毁”的安全肌肉记忆。
• Fernet密钥轮转：Keystone用Fernet算法加密token，密钥存于/etc/keystone/fernet-keys/。手动安装要求你执行keystone-manage fernet_setup生成密钥，并理解keystone-manage fernet_rotate的轮转逻辑——新密钥成为active，旧密钥降为secondary，确保旧token仍可解密。这种密钥生命周期管理，是金融级系统合规审计的必查项。自动化工具常默认只生成一套密钥，而手动过程逼你思考：“如果密钥泄露，我的轮转策略能否保证业务零中断？”

3. 核心配置详解与实操要点

3.1 环境准备：操作系统与依赖的精准拿捏

实训环境通常指定Ubuntu 22.04 LTS或CentOS 7，这里以Ubuntu 22.04为例（因其预装Python 3.10，与Keystone Queens+版本兼容性最佳）。关键不是“装什么”，而是“怎么装得干净”：

• 系统更新与基础工具：

  sudo apt update && sudo apt upgrade -y sudo apt install -y python3-dev python3-pip python3-venv libffi-dev libssl-dev

  注意python3-dev和libffi-dev——它们提供C扩展编译所需的头文件。若遗漏，后续pip install keystone会报fatal error: ffi.h: No such file or directory。这不是网络问题，是系统级依赖缺失。
• 时间同步强制要求：Keystone token有效期精确到秒，各节点时间差超5分钟即认证失败。必须配置NTP：

  sudo timedatectl set-ntp on sudo systemctl restart systemd-timesyncd

  手动验证：timedatectl status | grep "System clock synchronized"输出yes。曾有学员因VMware虚拟机未开启时间同步，导致keystone-manage db_sync成功但openstack project list始终401，折腾3小时才发现是时间漂移。

注意：禁止使用date -s手动改时间！这会导致系统时钟跳跃，破坏NTP平滑校准。正确做法是sudo ntpdate -s time.windows.com强制校准一次，再交由systemd-timesyncd长期维护。

3.2 数据库配置：从建库到字符集的深度控制

MySQL配置是Keystone稳定性的基石，手动安装必须直面三个致命细节：

• 数据库创建与权限分配：

  CREATE DATABASE keystone; GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'localhost' \ IDENTIFIED BY 'KEYSTONE_DBPASS'; GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' \ IDENTIFIED BY 'KEYSTONE_DBPASS'; FLUSH PRIVILEGES;

  关键在'keystone'@'%'——Keystone服务可能部署在独立节点，localhost权限无法跨网络访问。若只授localhost，keystone-manage db_sync --database-connection mysql+pymysql://keystone:KEYSTONE_DBPASS@controller/keystone会报Access denied。
• 字符集强制统一：Ubuntu 22.04默认MySQL 8.0，其默认字符集为utf8mb4，但Keystone要求utf8mb4_unicode_ci。必须在创建库时指定：

  CREATE DATABASE keystone CHARACTER SET = utf8mb4 COLLATE = utf8mb4_unicode_ci;

  若遗漏，后续创建中文Project时会报Incorrect string value错误。这是MySQL底层存储引擎（InnoDB）与Unicode编码的硬性约束，自动化脚本常忽略。
• 连接数调优：Keystone默认最大连接数100，高并发场景易触发Too many connections。需修改MySQL配置：

  # /etc/mysql/mysql.conf.d/mysqld.cnf [mysqld] max_connections = 500 wait_timeout = 28800

  重启MySQL后，用mysql -u root -p -e "SHOW VARIABLES LIKE 'max_connections';"验证。

3.3 Keystone核心配置：keystone.conf的37处关键参数解析

/etc/keystone/keystone.conf是Keystone的“宪法”，手动安装需逐行理解。以下是最易出错的12个参数（其余25个在实训手册中有说明）：

参数位置	示例值	为什么必须设	常见错误
[database] connection	mysql+pymysql://keystone:KEYSTONE_DBPASS@controller/keystone	指定数据库驱动与凭据	忘记pymysql://前缀，导致No module named 'mysql'
[token] provider	fernet	启用Fernet加密token	设为uuid（已废弃），导致keystone-manage fernet_setup无效
[cache] backend	dogpile.cache.memcached	启用Memcached缓存token	未安装python3-memcache，服务启动失败
[cache] memcache_servers	controller:11211	指定Memcached地址	写成127.0.0.1:11211，跨节点时无法连接
[identity] driver	sql	启用SQL后端管理用户	设为ldap但未配LDAP，服务崩溃
[assignment] driver	sql	启用SQL后端管理角色分配	与[identity] driver不一致，启动报错
[eventlet_server] bind_host	controller	绑定到主机名而非IP	bind_host = 0.0.0.0导致安全审计不通过
[eventlet_server] public_endpoint	http://controller:5000	声明外部可访问的Endpoint	与实际Nginx反代地址不一致，OpenStack CLI失效
[revoke] driver	sql	启用Token吊销功能	未启用，openstack token revoke无效
[oslo_messaging_rabbit] rabbit_hosts	controller:5672	配置RabbitMQ消息队列	生产环境必需，否则通知服务不可用
[profiler] enabled	True	启用性能分析（调试用）	实训环境可关，但需理解其作用
[DEFAULT] log_level	WARNING	控制日志详细程度	设为DEBUG导致磁盘爆满

提示：修改配置后必须执行sudo chown keystone:keystone /etc/keystone/keystone.conf，否则Apache worker进程（以keystone用户运行）无权读取配置，启动时静默失败。

3.4 Apache与WSGI集成：从模块启用到虚拟主机配置

Keystone在Ubuntu上依赖Apache作为生产级Web服务器，手动配置需打通三层：

• 启用必要模块：

  sudo a2enmod ssl sudo a2enmod headers sudo a2enmod wsgi sudo systemctl restart apache2

  headers模块用于设置X-Frame-Options等安全头，ssl为后续HTTPS做准备。若漏掉wsgi，a2ensite wsgi-keystone会报Module wsgi does not exist!。
• 创建WSGI虚拟主机：
  /etc/apache2/sites-available/wsgi-keystone.conf内容必须严格匹配：

  Listen 5000 Listen 35357 <VirtualHost *:5000> WSGIDaemonProcess keystone-public processes=5 threads=1 user=keystone group=keystone display-name=%{GROUP} WSGIProcessGroup keystone-public WSGIScriptAlias / /usr/bin/keystone-wsgi-public WSGIApplicationGroup %{GLOBAL} WSGIPassAuthorization On ErrorLog /var/log/apache2/keystone-error.log CustomLog /var/log/apache2/keystone-access.log combined <Directory /usr/bin> Require all granted </Directory> </VirtualHost> <VirtualHost *:35357> WSGIDaemonProcess keystone-admin processes=5 threads=1 user=keystone group=keystone display-name=%{GROUP} WSGIProcessGroup keystone-admin WSGIScriptAlias / /usr/bin/keystone-wsgi-admin WSGIApplicationGroup %{GLOBAL} WSGIPassAuthorization On ErrorLog /var/log/apache2/keystone-error.log CustomLog /var/log/apache2/keystone-access.log combined <Directory /usr/bin> Require all granted </Directory> </VirtualHost>

  关键点：
  • WSGIDaemonProcess指定user/group为keystone，确保进程以正确权限运行；
  • WSGIPassAuthorization On允许Apache将Authorization头透传给Keystone，否则token认证永远失败；
  • Listen 35357端口用于admin API，5000用于public API，这是OpenStack标准端口规划。

启用站点：sudo a2ensite wsgi-keystone && sudo systemctl reload apache2。验证：sudo ss -tlnp | grep ':5000\|:35357'应显示apache2进程监听。

4. 实操全流程与关键环节实现

4.1 初始化数据库与Fernet密钥：从零构建信任链

数据库初始化是Keystone启动前的“奠基仪式”，必须按严格顺序执行：

1. 同步数据库结构：

   sudo keystone-manage db_sync

   此命令执行/usr/lib/python3/dist-packages/keystone/common/sql/core.py中的upgrade()函数，将SQLAlchemy模型映射为MySQL表。若报错Table 'keystone.project' doesn't exist，说明db_sync未执行或MySQL权限不足。
2. 生成Fernet密钥：

   sudo keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone sudo keystone-manage credential_setup --keystone-user keystone --keystone-group keystone

   fernet_setup在/etc/keystone/fernet-keys/生成0号密钥（active）；credential_setup生成/etc/keystone/credential-keys/用于加密credential。注意：--keystone-user参数必须与Apache配置中WSGIDaemonProcess的user一致，否则Apache worker无法读取密钥文件。
3. Bootstrap初始化：

   sudo keystone-manage bootstrap \ --bootstrap-password ADMIN_PASS \ --bootstrap-admin-url http://controller:5000/v3/ \ --bootstrap-internal-url http://controller:5000/v3/ \ --bootstrap-public-url http://controller:5000/v3/ \ --bootstrap-region-id RegionOne

   此命令创建admin用户、admin_project、admin_role，并将admin用户加入admin_project并赋予admin_role。关键参数--bootstrap-admin-url必须与keystone.conf中[eventlet_server] public_endpoint一致，否则OpenStack CLI无法连接。

实操心得：keystone-manage bootstrap执行后，/etc/keystone/keystone.conf中的[DEFAULT] admin_token行必须立即删除！执行sudo sed -i '/^admin_token/d' /etc/keystone/keystone.conf && sudo systemctl restart apache2。这是安全红线，也是实训考核点。

4.2 创建服务实体与Endpoint：构建OpenStack服务地图

Keystone不仅是用户认证中心，更是OpenStack服务的“黄页”。手动创建服务实体（Service）和端点（Endpoint）是打通整个生态的关键：

• 创建服务实体：

  openstack service create \ --name keystone \ --description "OpenStack Identity" \ identity

  此命令在keystone数据库service表插入一行，type=identity是OpenStack约定类型。
• 创建Endpoint：

  openstack endpoint create --region RegionOne \ identity public http://controller:5000/v3/ openstack endpoint create --region RegionOne \ identity internal http://controller:5000/v3/ openstack endpoint create --region RegionOne \ identity admin http://controller:35357/v3/

  三个Endpoint对应不同访问场景：public供外部用户调用，internal供同Region内服务间调用，admin供管理员操作。端口35357是admin专用端口，必须与Apache虚拟主机配置的<VirtualHost *:35357>匹配。

验证：openstack endpoint list | grep identity应显示三行，URL列分别对应5000和35357端口。若admin端点URL为5000，则openstack user list会报401 Unauthorized，因为admin操作必须走admin端口。

4.3 用户与项目创建：模拟真实租户隔离场景

实训需创建至少两个Project（admin、demo）和用户（admin、demo），体现OpenStack多租户特性：

• 创建admin Project与用户（已在bootstrap中完成，此处验证）：

  openstack project show admin openstack user show admin

• 创建demo Project与用户：

  openstack project create --domain default --description "Demo Project" demo openstack user create --domain default --password DEMO_PASS demo openstack role add --project demo --user demo user

  关键点：--domain default指定用户域，OpenStack Queens+默认域为default；role add将user角色赋予demo用户，使其能在demo Project内操作。

注意：openstackCLI需先获取admin token：

export OS_USERNAME=admin export OS_PASSWORD=ADMIN_PASS export OS_PROJECT_NAME=admin export OS_USER_DOMAIN_NAME=Default export OS_PROJECT_DOMAIN_NAME=Default export OS_AUTH_URL=http://controller:5000/v3 export OS_IDENTITY_API_VERSION=3 export OS_IMAGE_API_VERSION=2

这些环境变量构成Keystone认证的“钥匙串”，缺一不可。手动配置过程让你深刻理解：CLI不是魔法，它只是将这些参数拼成HTTP请求头X-Auth-Token。

4.4 验证与故障注入：用curl直击API本质

最终验证必须脱离openstackCLI，用curl直击HTTP层，这是检验手动安装质量的黄金标准：

• 获取admin token：

  curl -i \ -H "Content-Type: application/json" \ -d ' { "auth": { "identity": { "methods": ["password"], "password": { "user": { "name": "admin", "domain": { "id": "default" }, "password": "ADMIN_PASS" } } } } }' \ http://controller:5000/v3/auth/tokens ; echo

  成功响应首行应为HTTP/1.1 201 Created，且返回头含X-Subject-Token: gAAAAAB...。此token即后续所有操作的通行证。
• 用token查询Project列表：

  curl -H "X-Auth-Token: gAAAAAB..." http://controller:5000/v3/projects

  应返回JSON包含admin和demo两个Project。若返回401，检查token是否过期（默认1小时）、Fernet密钥是否正确、Apache是否监听5000端口。

实操心得：curl命令中-i参数显示完整HTTP头，这是诊断的关键！很多学员只看响应体，却忽略WWW-Authenticate: Keystone uri='http://controller:5000'头中的URI是否指向正确地址。

5. 常见问题与排查技巧实录

5.1 Apache服务启动失败：从日志到进程的立体排查

现象：sudo systemctl start apache2后状态为failed，journalctl -u apache2 -n 50显示AH00526: Syntax error on line X of /etc/apache2/sites-enabled/wsgi-keystone.conf。
排查路径：

1. 语法检查：sudo apache2ctl configtest，定位具体行号；
2. 模块验证：apache2ctl -M | grep wsgi确认wsgi_module (shared)已加载；
3. 权限检查：ls -l /etc/keystone/fernet-keys/应显示drwx------ 2 keystone keystone，若为root所有，则sudo chown -R keystone:keystone /etc/keystone/fernet-keys/；
4. 端口冲突：sudo ss -tlnp | grep ':5000'，若被其他进程占用，修改wsgi-keystone.conf中Listen端口或杀掉冲突进程。

根本原因：90%的启动失败源于WSGIDaemonProcess的user/group与密钥目录所有权不匹配，或WSGIPassAuthorization On缺失导致认证头丢失。

5.2 Keystone API返回404：Endpoint与URL的精确匹配

现象：curl http://controller:5000/v3返回{"error": {"message": "The resource could not be found.", "code": 404, "title": "Not Found"}}。
排查逻辑：

• 确认Apache监听：sudo ss -tlnp | grep ':5000'，若无输出，说明虚拟主机未启用或Apache未重启；
• 确认URL路径：Keystone v3 API必须带/v3/后缀，curl http://controller:5000/必然404；
• 确认Endpoint注册：openstack endpoint list | grep identity，若public URL为http://controller:5000/v2.0，则需重建Endpoint；
• 确认WSGIScriptAlias：/etc/apache2/sites-available/wsgi-keystone.conf中WSGIScriptAlias / /usr/bin/keystone-wsgi-public的/必须存在，若写成/v3则API路径错乱。

独家技巧：用curl -v http://controller:5000/v3查看完整请求/响应头，重点关注< Location: http://controller:5000/v3/重定向头——Keystone会自动补尾部斜杠，若无此重定向，说明WSGI脚本未正确挂载。

5.3 Token认证401：从密钥到时间的全链路验证

现象：openstack project list返回HTTP 401，keystone.log中Invalid token。
四步定位法：

1. 时间同步：timedatectl status确认System clock synchronized: yes且NTP service: active；
2. Fernet密钥：ls -l /etc/keystone/fernet-keys/应有0（active）和1（secondary）文件，若只有0，执行sudo keystone-manage fernet_rotate；
3. Token有效性：用curl -H "X-Auth-Token: $TOKEN" http://controller:5000/v3/auth/tokens验证token，若返回404，说明token已过期或格式错误；
4. Memcached状态：sudo systemctl status memcached，若未运行，sudo systemctl start memcached，因Keystone默认缓存token至Memcached。

注意：keystone-manage token flush可清空所有token缓存，但生产环境慎用。实训中若token混乱，直接重启Apache：sudo systemctl restart apache2。

5.4 数据库同步失败：SQLAlchemy与MySQL的兼容性陷阱

现象：keystone-manage db_sync报错sqlalchemy.exc.ProgrammingError: (pymysql.err.ProgrammingError) (1071, 'Specified key was too long...')。
根因与解法：
MySQL 5.7+默认innodb_large_prefix=OFF，而Keystone的user表name字段为VARCHAR(255)，UTF8MB4编码下索引长度超767字节限制。解决方案：

SET GLOBAL innodb_file_format=Barracuda; SET GLOBAL innodb_file_per_table=ON; SET GLOBAL innodb_large_prefix=ON; ALTER TABLE keystone.user ROW_FORMAT=DYNAMIC;

或更彻底：在/etc/mysql/mysql.conf.d/mysqld.cnf中添加：

[mysqld] innodb_file_format = Barracuda innodb_file_per_table = ON innodb_large_prefix = ON

重启MySQL后重试db_sync。此问题在自动化脚本中常被忽略，手动安装迫使你直面数据库底层约束。

5.5 实训环境特有问题：VMware与Docker的隐藏冲突

现象：在VMware Workstation中安装Ubuntu 22.04，keystone-manage db_sync成功但openstack project list始终Connection refused。
真相：VMware的NAT模式下，controller主机名解析可能指向127.0.0.1而非实际IP。验证：ping controller，若返回127.0.0.1，则修改/etc/hosts：

echo "$(hostname -I | awk '{print $1}') controller" | sudo tee -a /etc/hosts

Docker干扰：若宿主机运行Docker，其iptables规则可能拦截5000端口。临时关闭Docker：sudo systemctl stop docker，或添加iptables放行：

sudo iptables -I INPUT -p tcp --dport 5000 -j ACCEPT

提示：实训中建议关闭所有无关服务（Docker、Snapd），用sudo systemctl list-units --state=running | grep -E "(docker|snap)"快速筛查。

6. 实训延伸与工程化思考

手动安装Keystone的价值，远不止于完成一个实训任务。它是一把解剖刀，帮你切开OpenStack认证体系的肌理。当你亲手配置完keystone.conf，再去看Kolla-Ansible的keystone.yml模板，就能一眼识别出哪些变量对应数据库连接、哪些控制Fernet轮转周期；当你调试过curl返回的每一个HTTP状态码，再读OpenStack API文档时，401、403、404的语义就不再是抽象概念，而是你亲手触发过的具体场景。这种“亲手造轮子”带来的认知深度，是任何自动化工具都无法替代的。

在真实项目中，这种能力会转化为工程决策力。比如客户要求将Keystone迁移到Oracle数据库，你不会茫然——因为手动安装时你已深谙[database] connection参数的构造逻辑，知道oracle+cx_oracle://驱动的安装要点；当安全团队提出“所有token必须15分钟过期”，你立刻能定位到[token] expiration = 900参数，并理解keystone-manage fernet_rotate对短周期token的影响。甚至在云原生时代，当Kubernetes Operator开始管理Keystone，你依然需要手动验证Operator生成的ConfigMap是否正确挂载了fernet-keys卷——因为那卷里的0号密钥，正是你当年在实训中亲手生成的第一个文件。

最后分享一个硬核技巧：在/etc/keystone/keystone.conf中添加[oslo_middleware] enable_proxy_headers_parsing = true，并配置Nginx反向代理时设置proxy_set_header X-Forwarded-For $remote_addr;，这样Keystone就能获取真实客户端IP，而非代理服务器IP。这个配置在公有云API网关场景中至关重要，而它的存在，正源于你手动安装时对HTTP头传递机制的透彻理解。所以别把实训当作业，它是在给你锻造一把进入云计算核心战场的钥匙——钥匙齿痕的每一处凹凸，都刻着你亲手打磨的印记。