OpenStack版本比较之Keystone

约定不等于承诺〃 2024-04-19 11:43 45阅读 0赞

### [OpenStack版本比较之Keystone][OpenStack_Keystone] ###

目录[(?)][Link 1][\[+\]][Link 1]

## 目的 ##

本文主要比较OpenStack中Essex与Folsom版本的Keystone在依赖包、数据库结构、配置方面的差异，为Keystone从Essex向Folsom升级做些前期准备工作。这些比较大部分是在源代码库上通过git命令进行的，首先要clone一个keystone的本地库，命令如下：

**\[plain\]**  [view plain][Link 1] [copy][Link 1]

1.  git clone git://github.com/openstack/keystone.git  
2.  cd keystone

## 依赖包的差异 ##

tools/pip-requires文件包含keystone的依赖库文件信息，通过以下命令比较发现Folsom版只是添加了一个依赖包iso8601版本须>=0.1.4，该包同时也是nova E版和F版的依赖包，因此依赖包的差异可以忽略，升级Keystone可以不安装其它依赖包。

**\[plain\]**  [view plain][Link 1] [copy][Link 1]

1.  \[ugyn@localhost keystone\]$ git diff 2012.1:tools/pip-requires 2012.2:tools/pip-requires  
2.  diff --git a/2012.1:tools/pip-requires b/2012.2:tools/pip-requires  
3.  index 0e13534..ec5562d 100644  
4.  \--- a/2012.1:tools/pip-requires  
5.  \+++ b/2012.2:tools/pip-requires  
6.  @@ -1,4 +1,4 @@  
7.  \-\# keystonelight dependencies  
8.  \+\# keystone dependencies  
9.   pam==0.1.4  
10.  WebOb==1.0.8  
11.  eventlet  
12. @@ -10,3 +10,4 @@ sqlalchemy  
13.  sqlalchemy-migrate  
14.  passlib  
15.  lxml  
16. \+iso8601>=0.1.4

## 数据库结构的差异 ##

### 与数据库相关的源文件 ###

要比较数据库结构的差异首先要找到keystone中与数据库相关的源文件，可通过以下命令实现：

**\[plain\]**  [view plain][Link 1] [copy][Link 1]

1.  \[ugyn@localhost keystone\]$ git grep "sql.ModelBase"  
2.  keystone/catalog/backends/sql.py:class Service(sql.ModelBase, sql.DictBase):  
3.  keystone/catalog/backends/sql.py:class Endpoint(sql.ModelBase, sql.DictBase):  
4.  keystone/common/sql/migrate\_repo/versions/001\_add\_initial\_tables.py:    sql.ModelBase.metadata.create\_all(migrate\_engine)  
5.  keystone/contrib/ec2/backends/sql.py:class Ec2Credential(sql.ModelBase, sql.DictBase):  
6.  keystone/identity/backends/sql.py:class User(sql.ModelBase, sql.DictBase):  
7.  keystone/identity/backends/sql.py:class Tenant(sql.ModelBase, sql.DictBase):  
8.  keystone/identity/backends/sql.py:class Role(sql.ModelBase, sql.DictBase):  
9.  keystone/identity/backends/sql.py:class Metadata(sql.ModelBase, sql.DictBase):  
10. keystone/identity/backends/sql.py:class UserTenantMembership(sql.ModelBase, sql.DictBase):  
11. keystone/token/backends/sql.py:class TokenModel(sql.ModelBase, sql.DictBase):  
12. tests/test\_backend\_sql.py:        sql.ModelBase.metadata.bind = engine  
13. tests/test\_backend\_sql.py:        sql.ModelBase.metadata.create\_all(engine)  
14.

### service及endpoint表比较 ###

这两个表的定义在源文件keystone/catalog/backends/sql.py中，分别为Service及Endpoint类，从下面的结果可以看出这两个类完全没变，只是在类Catalog中对它们的操作做了些修改，因此在数据库方面这两个表应该是没在差异的。

**\[plain\]**  [view plain][Link 1] [copy][Link 1]

1.  \[ugyn@localhost keystone\]$ git diff 2012.1:keystone/catalog/backends/sql.py 2012.2:keystone/catalog/backends/sql.py > tables\_diff  
2.  \[ugyn@localhost keystone\]$ cat tables\_diff  
3.  diff --git a/2012.1:keystone/catalog/backends/sql.py b/2012.2:keystone/catalog/backends/sql.py  
4.  index 3c553e0..bd0f687 100644  
5.  \--- a/2012.1:keystone/catalog/backends/sql.py  
6.  \+++ b/2012.2:keystone/catalog/backends/sql.py  
7.  @@ -15,14 +15,11 @@  
8.   \# License for the specific language governing permissions and limitations  
9.   \# under the License.  
10.   
11. \-import sqlalchemy.exc  
12. \-import webob.exc  
13. \-  
14.  from keystone import catalog  
15. \-from keystone import config  
16. \-from keystone import exception  
17.  from keystone.common import sql  
18.  from keystone.common.sql import migration  
19. \+from keystone import config  
20. \+from keystone import exception  
21.   
22.   
23.  CONF = config.CONF  
24. @@ -96,11 +93,9 @@ class Catalog(sql.Base, catalog.Driver):  
25.   
26.      def delete\_service(self, service\_id):  
27.          session = self.get\_session()  
28. \-        service\_ref = session.query(Service).filter\_by(id=service\_id).first()  
29. \-        if not service\_ref:  
30. \-            raise exception.ServiceNotFound(service\_id=service\_id)  
31.          with session.begin():  
32. \-            session.delete(service\_ref)  
33. \+            if not session.query(Service).filter\_by(id=service\_id).delete():  
34. \+                raise exception.ServiceNotFound(service\_id=service\_id)  
35.              session.flush()  
36.   
37.      def create\_service(self, service\_id, service\_ref):  
38. @@ -114,6 +109,7 @@ class Catalog(sql.Base, catalog.Driver):  
39.      \# Endpoints  
40.      def create\_endpoint(self, endpoint\_id, endpoint\_ref):  
41.          session = self.get\_session()  
42. \+        self.get\_service(endpoint\_ref\['service\_id'\])  
43.          new\_endpoint = Endpoint.from\_dict(endpoint\_ref)  
44.          with session.begin():  
45.              session.add(new\_endpoint)  
46. @@ -122,18 +118,17 @@ class Catalog(sql.Base, catalog.Driver):  
47.   
48.      def delete\_endpoint(self, endpoint\_id):  
49.          session = self.get\_session()  
50. \-        endpoint\_ref = session.query(Endpoint)  
51. \-        endpoint\_ref = endpoint\_ref.filter\_by(id=endpoint\_id).first()  
52. \-        if not endpoint\_ref:  
53. \-            raise exception.EndpointNotFound(endpoint\_id=endpoint\_id)  
54.          with session.begin():  
55. \-            session.delete(endpoint\_ref)  
56. \+            if not session.query(Endpoint).filter\_by(id=endpoint\_id).delete():  
57. \+                raise exception.EndpointNotFound(endpoint\_id=endpoint\_id)  
58.              session.flush()  
59.   
60.      def get\_endpoint(self, endpoint\_id):  
61.          session = self.get\_session()  
62.          endpoint\_ref = session.query(Endpoint)  
63.          endpoint\_ref = endpoint\_ref.filter\_by(id=endpoint\_id).first()  
64. \+        if not endpoint\_ref:  
65. \+            raise exception.EndpointNotFound(endpoint\_id=endpoint\_id)  
66.          return endpoint\_ref.to\_dict()  
67.   
68.      def list\_endpoints(self):  
69. @@ -163,6 +158,7 @@ class Catalog(sql.Base, catalog.Driver):  
70.              internal\_url = ep\['internalurl'\].replace('$(', '%(')  
71.              public\_url = ep\['publicurl'\].replace('$(', '%(')  
72.              admin\_url = ep\['adminurl'\].replace('$(', '%(')  
73. \+            catalog\[region\]\[srv\_type\]\['id'\] = ep\['id'\]  
74.              catalog\[region\]\[srv\_type\]\['name'\] = srv\_name  
75.              catalog\[region\]\[srv\_type\]\['publicURL'\] = public\_url % d  
76.              catalog\[region\]\[srv\_type\]\['adminURL'\] = admin\_url % d  
77.

### user、tenant、role、metadata、user\_tenant\_membership表的比较 ###

这几个表的定义均在源文件keystone/identity/backends/sql.py的相关类中。从下面的输出来看，在F版中的主要变化是给表user、tenant、role的name列均添加了not null属性，另外在Identity类中对这些表的操作做了不少修改，但应该不会导致相关表的结构变化。

**\[plain\]**  [view plain][Link 1] [copy][Link 1]

1.  \[ugyn@localhost keystone\]$ git diff 2012.1:keystone/identity/backends/sql.py  2012.2:keystone/identity/backends/sql.py  > tables\_diff  
2.  \[ugyn@localhost keystone\]$ cat tables\_diff  
3.  diff --git a/2012.1:keystone/identity/backends/sql.py b/2012.2:keystone/identity/backends/sql.py  
4.  index e4281a8..a3c8d1f 100644  
5.  \--- a/2012.1:keystone/identity/backends/sql.py  
6.  \+++ b/2012.2:keystone/identity/backends/sql.py  
7.  @@ -17,11 +17,12 @@  
8.   import copy  
9.   import functools  
10.   
11. \-from keystone import identity  
12. \-from keystone import exception  
13. \+from keystone import clean  
14.  from keystone.common import sql  
15. \-from keystone.common import utils  
16.  from keystone.common.sql import migration  
17. \+from keystone.common import utils  
18. \+from keystone import exception  
19. \+from keystone import identity  
20.   
21.   
22.  def \_filter\_user(user\_ref):  
23. @@ -45,7 +46,7 @@ def handle\_conflicts(type='object'):  
24.              try:  
25.                  return method(\*args, \*\*kwargs)  
26.              except sql.IntegrityError as e:  
27. \-                raise exception.Conflict(type=type, details=str(e))  
28. \+                raise exception.Conflict(type=type, details=e.message)  
29.          return wrapper  
30.      return decorator  
31.   
32. @@ -53,7 +54,7 @@ def handle\_conflicts(type='object'):  
33.  class User(sql.ModelBase, sql.DictBase):  
34.      \_\_tablename\_\_ = 'user'  
35.      id = sql.Column(sql.String(64), primary\_key=True)  
36. \-    name = sql.Column(sql.String(64), unique=True)  
37. \+    name = sql.Column(sql.String(64), unique=True, nullable=False)  
38.      \#password = sql.Column(sql.String(64))  
39.      extra = sql.Column(sql.JsonBlob())  
40.   
41. @@ -79,7 +80,7 @@ class User(sql.ModelBase, sql.DictBase):  
42.  class Tenant(sql.ModelBase, sql.DictBase):  
43.      \_\_tablename\_\_ = 'tenant'  
44.      id = sql.Column(sql.String(64), primary\_key=True)  
45. \-    name = sql.Column(sql.String(64), unique=True)  
46. \+    name = sql.Column(sql.String(64), unique=True, nullable=False)  
47.      extra = sql.Column(sql.JsonBlob())  
48.   
49.      @classmethod  
50. @@ -104,7 +105,7 @@ class Tenant(sql.ModelBase, sql.DictBase):  
51.  class Role(sql.ModelBase, sql.DictBase):  
52.      \_\_tablename\_\_ = 'role'  
53.      id = sql.Column(sql.String(64), primary\_key=True)  
54. \-    name = sql.Column(sql.String(64), unique=True)  
55. \+    name = sql.Column(sql.String(64), unique=True, nullable=False)  
56.   
57.   
58.  class Metadata(sql.ModelBase, sql.DictBase):  
59. @@ -134,6 +135,20 @@ class Identity(sql.Base, identity.Driver):  
60.      def db\_sync(self):  
61.          migration.db\_sync()  
62.   
63. \+    def \_check\_password(self, password, user\_ref):  
64. \+        """Check the specified password against the data store.  
65. \+  
66. \+        This is modeled on ldap/core.py.  The idea is to make it easier to  
67. \+        subclass Identity so that you can still use it to store all the data,  
68. \+        but use some other means to check the password.  
69. \+        Note that we'll pass in the entire user\_ref in case the subclass  
70. \+        needs things like user\_ref.get('name')  
71. \+        For further justification, please see the follow up suggestion at  
72. \+        https://blueprints.launchpad.net/keystone/+spec/sql-identiy-pam  
73. \+  
74. \+        """  
75. \+        return utils.check\_password(password, user\_ref.get('password'))  
76. \+  
77.      \# Identity interface  
78.      def authenticate(self, user\_id=None, tenant\_id=None, password=None):  
79.          """Authenticate based on a user, tenant and password.  
80. @@ -142,56 +157,69 @@ class Identity(sql.Base, identity.Driver):  
81.          in the list of tenants on the user.  
82.   
83.          """  
84. \-        user\_ref = self.\_get\_user(user\_id)  
85. \-        if (not user\_ref  
86. \-            or not utils.check\_password(password, user\_ref.get('password'))):  
87. \+        user\_ref = None  
88. \+        tenant\_ref = None  
89. \+        metadata\_ref = \{\}  
90. \+  
91. \+        try:  
92. \+            user\_ref = self.\_get\_user(user\_id)  
93. \+        except exception.UserNotFound:  
94.              raise AssertionError('Invalid user / password')  
95.   
96. \-        tenants = self.get\_tenants\_for\_user(user\_id)  
97. \-        if tenant\_id and tenant\_id not in tenants:  
98. \-            raise AssertionError('Invalid tenant')  
99. \+        if not utils.check\_password(password, user\_ref.get('password')):  
100. \+            raise AssertionError('Invalid user / password')  
101. \+  
102. \+        if tenant\_id is not None:  
103. \+            if tenant\_id not in self.get\_tenants\_for\_user(user\_id):  
104. \+                raise AssertionError('Invalid tenant')  
105. \+  
106. \+            try:  
107. \+                tenant\_ref = self.get\_tenant(tenant\_id)  
108. \+                metadata\_ref = self.get\_metadata(user\_id, tenant\_id)  
109. \+            except exception.TenantNotFound:  
110. \+                tenant\_ref = None  
111. \+                metadata\_ref = \{\}  
112. \+            except exception.MetadataNotFound:  
113. \+                metadata\_ref = \{\}  
114.   
115. \-        tenant\_ref = self.get\_tenant(tenant\_id)  
116. \-        if tenant\_ref:  
117. \-            metadata\_ref = self.get\_metadata(user\_id, tenant\_id)  
118. \-        else:  
119. \-            metadata\_ref = \{\}  
120.          return (\_filter\_user(user\_ref), tenant\_ref, metadata\_ref)  
121.   
122.      def get\_tenant(self, tenant\_id):  
123.          session = self.get\_session()  
124.          tenant\_ref = session.query(Tenant).filter\_by(id=tenant\_id).first()  
125. \-        if not tenant\_ref:  
126. \-            return  
127. \+        if tenant\_ref is None:  
128. \+            raise exception.TenantNotFound(tenant\_id=tenant\_id)  
129.          return tenant\_ref.to\_dict()  
130.   
131.      def get\_tenant\_by\_name(self, tenant\_name):  
132.          session = self.get\_session()  
133.          tenant\_ref = session.query(Tenant).filter\_by(name=tenant\_name).first()  
134.          if not tenant\_ref:  
135. \-            return  
136. \+            raise exception.TenantNotFound(tenant\_id=tenant\_name)  
137.          return tenant\_ref.to\_dict()  
138.   
139.      def get\_tenant\_users(self, tenant\_id):  
140.          session = self.get\_session()  
141. \+        self.get\_tenant(tenant\_id)  
142.          user\_refs = session.query(User)\\  
143. \-                .join(UserTenantMembership)\\  
144. \-                .filter(UserTenantMembership.tenant\_id == tenant\_id)\\  
145. \-                .all()  
146. \+            .join(UserTenantMembership)\\  
147. \+            .filter(UserTenantMembership.tenant\_id ==  
148. \+                    tenant\_id)\\  
149. \+            .all()  
150.          return \[\_filter\_user(user\_ref.to\_dict()) for user\_ref in user\_refs\]  
151.   
152.      def \_get\_user(self, user\_id):  
153.          session = self.get\_session()  
154.          user\_ref = session.query(User).filter\_by(id=user\_id).first()  
155.          if not user\_ref:  
156. \-            return  
157. \+            raise exception.UserNotFound(user\_id=user\_id)  
158.          return user\_ref.to\_dict()  
159.   
160.      def \_get\_user\_by\_name(self, user\_name):  
161.          session = self.get\_session()  
162.          user\_ref = session.query(User).filter\_by(name=user\_name).first()  
163.          if not user\_ref:  
164. \-            return  
165. \+            raise exception.UserNotFound(user\_id=user\_name)  
166.          return user\_ref.to\_dict()  
167.   
168.      def get\_user(self, user\_id):  
169. @@ -206,11 +234,16 @@ class Identity(sql.Base, identity.Driver):  
170.                                .filter\_by(user\_id=user\_id)\\  
171.                                .filter\_by(tenant\_id=tenant\_id)\\  
172.                                .first()  
173. \-        return getattr(metadata\_ref, 'data', \{\})  
174. \+        if metadata\_ref is None:  
175. \+            raise exception.MetadataNotFound()  
176. \+        return metadata\_ref.data  
177.   
178.      def get\_role(self, role\_id):  
179.          session = self.get\_session()  
180. \-        return session.query(Role).filter\_by(id=role\_id).first()  
181. \+        role\_ref = session.query(Role).filter\_by(id=role\_id).first()  
182. \+        if role\_ref is None:  
183. \+            raise exception.RoleNotFound(role\_id=role\_id)  
184. \+        return role\_ref  
185.   
186.      def list\_users(self):  
187.          session = self.get\_session()  
188. @@ -225,6 +258,8 @@ class Identity(sql.Base, identity.Driver):  
189.      \# These should probably be part of the high-level API  
190.      def add\_user\_to\_tenant(self, tenant\_id, user\_id):  
191.          session = self.get\_session()  
192. \+        self.get\_tenant(tenant\_id)  
193. \+        self.get\_user(user\_id)  
194.          q = session.query(UserTenantMembership)\\  
195.                     .filter\_by(user\_id=user\_id)\\  
196.                     .filter\_by(tenant\_id=tenant\_id)  
197. @@ -239,10 +274,14 @@ class Identity(sql.Base, identity.Driver):  
198.   
199.      def remove\_user\_from\_tenant(self, tenant\_id, user\_id):  
200.          session = self.get\_session()  
201.   
202. \+        self.get\_tenant(tenant\_id)  
203. \+        self.get\_user(user\_id)  
204.          membership\_ref = session.query(UserTenantMembership)\\  
205.                                  .filter\_by(user\_id=user\_id)\\  
206.                                  .filter\_by(tenant\_id=tenant\_id)\\  
207.                                  .first()  
208. \+        if membership\_ref is None:  
209. \+            raise exception.NotFound('User not found in tenant')  
210.          with session.begin():  
211.              session.delete(membership\_ref)  
212.              session.flush()  
213. @@ -254,37 +293,50 @@ class Identity(sql.Base, identity.Driver):  
214.   
215.      def get\_tenants\_for\_user(self, user\_id):  
216.          session = self.get\_session()  
217. \+        self.get\_user(user\_id)  
218.          membership\_refs = session.query(UserTenantMembership)\\  
219. \-                          .filter\_by(user\_id=user\_id)\\  
220. \-                          .all()  
221. \+                                 .filter\_by(user\_id=user\_id)\\  
222. \+                                 .all()  
223.          return \[x.tenant\_id for x in membership\_refs\]  
224.   
225.      def get\_roles\_for\_user\_and\_tenant(self, user\_id, tenant\_id):  
226. \-        metadata\_ref = self.get\_metadata(user\_id, tenant\_id)  
227. \-        if not metadata\_ref:  
228. \+        self.get\_user(user\_id)  
229. \+        self.get\_tenant(tenant\_id)  
230. \+        try:  
231. \+            metadata\_ref = self.get\_metadata(user\_id, tenant\_id)  
232. \+        except exception.MetadataNotFound:  
233.              metadata\_ref = \{\}  
234.          return metadata\_ref.get('roles', \[\])  
235.   
236.      def add\_role\_to\_user\_and\_tenant(self, user\_id, tenant\_id, role\_id):  
237. \-        metadata\_ref = self.get\_metadata(user\_id, tenant\_id)  
238. \-        is\_new = False  
239. \-        if not metadata\_ref:  
240. \-            is\_new = True  
241. \+        self.get\_user(user\_id)  
242. \+        self.get\_tenant(tenant\_id)  
243. \+        self.get\_role(role\_id)  
244. \+        try:  
245. \+            metadata\_ref = self.get\_metadata(user\_id, tenant\_id)  
246. \+            is\_new = False  
247. \+        except exception.MetadataNotFound:  
248.              metadata\_ref = \{\}  
249. \+            is\_new = True  
250.          roles = set(metadata\_ref.get('roles', \[\]))  
251. \+        if role\_id in roles:  
252. \+            msg = ('User %s already has role %s in tenant %s'  
253. \+                   % (user\_id, role\_id, tenant\_id))  
254. \+            raise exception.Conflict(type='role grant', details=msg)  
255.          roles.add(role\_id)  
256.          metadata\_ref\['roles'\] = list(roles)  
257. \-        if not is\_new:  
258. \-            self.update\_metadata(user\_id, tenant\_id, metadata\_ref)  
259. \-        else:  
260. \+        if is\_new:  
261.              self.create\_metadata(user\_id, tenant\_id, metadata\_ref)  
262. \+        else:  
263. \+            self.update\_metadata(user\_id, tenant\_id, metadata\_ref)  
264.   
265.      def remove\_role\_from\_user\_and\_tenant(self, user\_id, tenant\_id, role\_id):  
266. \-        metadata\_ref = self.get\_metadata(user\_id, tenant\_id)  
267. \-        is\_new = False  
268. \-        if not metadata\_ref:  
269. \-            is\_new = True  
270. \+        try:  
271. \+            metadata\_ref = self.get\_metadata(user\_id, tenant\_id)  
272. \+            is\_new = False  
273. \+        except exception.MetadataNotFound:  
274.              metadata\_ref = \{\}  
275. \+            is\_new = True  
276.          roles = set(metadata\_ref.get('roles', \[\]))  
277.          if role\_id not in roles:  
278.              msg = 'Cannot remove role that has not been granted, %s' % role\_id  
279. @@ -292,14 +344,15 @@ class Identity(sql.Base, identity.Driver):  
280.   
281.          roles.remove(role\_id)  
282.          metadata\_ref\['roles'\] = list(roles)  
283. \-        if not is\_new:  
284. \-            self.update\_metadata(user\_id, tenant\_id, metadata\_ref)  
285. \-        else:  
286. \+        if is\_new:  
287.              self.create\_metadata(user\_id, tenant\_id, metadata\_ref)  
288. \+        else:  
289. \+            self.update\_metadata(user\_id, tenant\_id, metadata\_ref)  
290.   
291.      \# CRUD  
292.      @handle\_conflicts(type='user')  
293.      def create\_user(self, user\_id, user):  
294. \+        user\['name'\] = clean.user\_name(user\['name'\])  
295.          user = \_ensure\_hashed\_password(user)  
296.          session = self.get\_session()  
297.          with session.begin():  
298. @@ -310,9 +363,15 @@ class Identity(sql.Base, identity.Driver):  
299.   
300.      @handle\_conflicts(type='user')  
301.      def update\_user(self, user\_id, user):  
302. \+        if 'name' in user:  
303. \+            user\['name'\] = clean.user\_name(user\['name'\])  
304.          session = self.get\_session()  
305. \+        if 'id' in user and user\_id != user\['id'\]:  
306. \+            raise exception.ValidationError('Cannot change user ID')  
307.          with session.begin():  
308.              user\_ref = session.query(User).filter\_by(id=user\_id).first()  
309. \+            if user\_ref is None:  
310. \+                raise exception.UserNotFound(user\_id=user\_id)  
311.              old\_user\_dict = user\_ref.to\_dict()  
312.              user = \_ensure\_hashed\_password(user)  
313.              for k in user:  
314. @@ -326,21 +385,17 @@ class Identity(sql.Base, identity.Driver):  
315.   
316.      def delete\_user(self, user\_id):  
317.          session = self.get\_session()  
318. \-        user\_ref = session.query(User).filter\_by(id=user\_id).first()  
319. \-        membership\_refs = session.query(UserTenantMembership)\\  
320. \-                          .filter\_by(user\_id=user\_id)\\  
321. \-                          .all()  
322. \-  
323.          with session.begin():  
324. \-            if membership\_refs:  
325. \-                for membership\_ref in membership\_refs:  
326. \-                    session.delete(membership\_ref)  
327. \-  
328. \-            session.delete(user\_ref)  
329. \-            session.flush()  
330. \+            session.query(UserTenantMembership)\\  
331. \+                   .filter\_by(user\_id=user\_id).delete(False)  
332. \+            session.query(Metadata)\\  
333. \+                   .filter\_by(user\_id=user\_id).delete(False)  
334. \+            if not session.query(User).filter\_by(id=user\_id).delete(False):  
335. \+                raise exception.UserNotFound(user\_id=user\_id)  
336.   
337.      @handle\_conflicts(type='tenant')  
338.      def create\_tenant(self, tenant\_id, tenant):  
339. \+        tenant\['name'\] = clean.tenant\_name(tenant\['name'\])  
340.          session = self.get\_session()  
341.          with session.begin():  
342.              tenant\_ref = Tenant.from\_dict(tenant)  
343. @@ -350,9 +405,13 @@ class Identity(sql.Base, identity.Driver):  
344.   
345.      @handle\_conflicts(type='tenant')  
346.      def update\_tenant(self, tenant\_id, tenant):  
347. \+        if 'name' in tenant:  
348. \+            tenant\['name'\] = clean.tenant\_name(tenant\['name'\])  
349.          session = self.get\_session()  
350.          with session.begin():  
351.              tenant\_ref = session.query(Tenant).filter\_by(id=tenant\_id).first()  
352. \+            if tenant\_ref is None:  
353. \+                raise exception.TenantNotFound(tenant\_id=tenant\_id)  
354.              old\_tenant\_dict = tenant\_ref.to\_dict()  
355.              for k in tenant:  
356.                  old\_tenant\_dict\[k\] = tenant\[k\]  
357. @@ -365,10 +424,13 @@ class Identity(sql.Base, identity.Driver):  
358.   
359.      def delete\_tenant(self, tenant\_id):  
360.          session = self.get\_session()  
361. \-        tenant\_ref = session.query(Tenant).filter\_by(id=tenant\_id).first()  
362.          with session.begin():  
363. \-            session.delete(tenant\_ref)  
364. \-            session.flush()  
365. \+            session.query(UserTenantMembership)\\  
366. \+                   .filter\_by(tenant\_id=tenant\_id).delete(False)  
367. \+            session.query(Metadata)\\  
368. \+                   .filter\_by(tenant\_id=tenant\_id).delete(False)  
369. \+            if not session.query(Tenant).filter\_by(id=tenant\_id).delete(False):  
370. \+                raise exception.TenantNotFound(tenant\_id=tenant\_id)  
371.   
372.      @handle\_conflicts(type='metadata')  
373.      def create\_metadata(self, user\_id, tenant\_id, metadata):  
374. @@ -412,6 +474,8 @@ class Identity(sql.Base, identity.Driver):  
375.          session = self.get\_session()  
376.          with session.begin():  
377.              role\_ref = session.query(Role).filter\_by(id=role\_id).first()  
378. \+            if role\_ref is None:  
379. \+                raise exception.RoleNotFound(role\_id=role\_id)  
380.              for k in role:  
381.                  role\_ref\[k\] = role\[k\]  
382.              session.flush()  
383. @@ -419,6 +483,7 @@ class Identity(sql.Base, identity.Driver):  
384.   
385.      def delete\_role(self, role\_id):  
386.          session = self.get\_session()  
387. \-        role\_ref = session.query(Role).filter\_by(id=role\_id).first()  
388.          with session.begin():  
389. \-            session.delete(role\_ref)  
390. \+            if not session.query(Role).filter\_by(id=role\_id).delete():  
391. \+                raise exception.RoleNotFound(role\_id=role\_id)  
392. \+            session.flush()  
393.

### ec2\_credential表比较 ###

该表在源文件keystone/contrib/ec2/backends/sql.py文件中定义，从下面的输出来看该表没有变化。

**\[plain\]**  [view plain][Link 1] [copy][Link 1]

1.  \[ugyn@localhost keystone\]$ git diff 2012.1:keystone/contrib/ec2/backends/sql.py  2012.2:keystone/contrib/ec2/backends/sql.py   > tables\_diff  
2.  \[ugyn@localhost keystone\]$ cat tables\_diff  
3.  diff --git a/2012.1:keystone/contrib/ec2/backends/sql.py b/2012.2:keystone/contrib/ec2/backends/sql.py  
4.  index d84c381..c3af464 100644  
5.  \--- a/2012.1:keystone/contrib/ec2/backends/sql.py  
6.  \+++ b/2012.2:keystone/contrib/ec2/backends/sql.py  
7.  @@ -15,7 +15,6 @@  
8.   \# under the License.  
9.    
10.  from keystone.common import sql  
11. \-from keystone.common.sql import migration  
12.   
13.   
14.  class Ec2Credential(sql.ModelBase, sql.DictBase):

### token表的差异 ###

该表在源文件keystone/token/backends/sql.py中定义，从下面的输出来看F版中该表添加了一个新的布尔列valid默认值为True。

**\[plain\]**  [view plain][Link 1] [copy][Link 1]

1.  \[ugyn@localhost keystone\]$ git diff 2012.1:keystone/token/backends/sql.py  2012.2:keystone/token/backends/sql.py   > tables\_diff  
2.  \[ugyn@localhost keystone\]$ cat tables\_diff  
3.  diff --git a/2012.1:keystone/token/backends/sql.py b/2012.2:keystone/token/backends/sql.py  
4.  index 7a9a551..02e8947 100644  
5.  \--- a/2012.1:keystone/token/backends/sql.py  
6.  \+++ b/2012.2:keystone/token/backends/sql.py  
7.  @@ -16,9 +16,12 @@  
8.    
9.   import copy  
10.  import datetime  
11. \+import hashlib  
12.   
13. \+from keystone.common import cms  
14.  from keystone.common import sql  
15.  from keystone import exception  
16. \+from keystone.openstack.common import timeutils  
17.  from keystone import token  
18.   
19.   
20. @@ -27,6 +30,7 @@ class TokenModel(sql.ModelBase, sql.DictBase):  
21.      id = sql.Column(sql.String(64), primary\_key=True)  
22.      expires = sql.Column(sql.DateTime(), default=None)  
23.      extra = sql.Column(sql.JsonBlob())  
24. \+    valid = sql.Column(sql.Boolean(), default=True)  
25.   
26.      @classmethod  
27.      def from\_dict(cls, token\_dict):  
28. @@ -49,21 +53,31 @@ class Token(sql.Base, token.Driver):  
29.      \# Public interface  
30.      def get\_token(self, token\_id):  
31.          session = self.get\_session()  
32. \-        token\_ref = session.query(TokenModel).filter\_by(id=token\_id).first()  
33. \+        token\_ref = session.query(TokenModel)\\  
34. \+            .filter\_by(id=self.token\_to\_key(token\_id),  
35. \+                       valid=True).first()  
36.          now = datetime.datetime.utcnow()  
37.          if token\_ref and (not token\_ref.expires or now < token\_ref.expires):  
38.              return token\_ref.to\_dict()  
39.          else:  
40.              raise exception.TokenNotFound(token\_id=token\_id)  
41.   
42. \+    def token\_to\_key(self, token\_id):  
43. \+        if len(token\_id) > cms.UUID\_TOKEN\_LENGTH:  
44. \+            hash = hashlib.md5()  
45. \+            hash.update(token\_id)  
46. \+            return hash.hexdigest()  
47. \+        else:  
48. \+            return token\_id  
49. \+  
50.      def create\_token(self, token\_id, data):  
51.          data\_copy = copy.deepcopy(data)  
52.          if 'expires' not in data\_copy:  
53.              data\_copy\['expires'\] = self.\_get\_default\_expire\_time()  
54.   
55.          token\_ref = TokenModel.from\_dict(data\_copy)  
56. \-        token\_ref.id = token\_id  
57. \-  
58. \+        token\_ref.id = self.token\_to\_key(token\_id)  
59. \+        token\_ref.valid = True  
60.          session = self.get\_session()  
61.          with session.begin():  
62.              session.add(token\_ref)  
63. @@ -72,12 +86,45 @@ class Token(sql.Base, token.Driver):  
64.   
65.      def delete\_token(self, token\_id):  
66.          session = self.get\_session()  
67. \-        token\_ref = session.query(TokenModel)\\  
68. \-                                .filter\_by(id=token\_id)\\  
69. \-                                .first()  
70. \-        if not token\_ref:  
71. \-            raise exception.TokenNotFound(token\_id=token\_id)  
72. \-  
73. \+        key = self.token\_to\_key(token\_id)  
74.          with session.begin():  
75. \-            session.delete(token\_ref)  
76. \+            token\_ref = session.query(TokenModel).filter\_by(id=key,  
77. \+                                                            valid=True).first()  
78. \+            if not token\_ref:  
79. \+                raise exception.TokenNotFound(token\_id=token\_id)  
80. \+            token\_ref.valid = False  
81.              session.flush()  
82. \+  
83. \+    def list\_tokens(self, user\_id, tenant\_id=None):  
84. \+        session = self.get\_session()  
85. \+        tokens = \[\]  
86. \+        now = timeutils.utcnow()  
87. \+        for token\_ref in session.query(TokenModel)\\  
88. \+                                .filter(TokenModel.expires > now)\\  
89. \+                                .filter\_by(valid=True):  
90. \+            token\_ref\_dict = token\_ref.to\_dict()  
91. \+            if 'user' not in token\_ref\_dict:  
92. \+                continue  
93. \+            if token\_ref\_dict\['user'\].get('id') != user\_id:  
94. \+                continue  
95. \+            if tenant\_id is not None:  
96. \+                if 'tenant' not in token\_ref\_dict:  
97. \+                    continue  
98. \+                if token\_ref\_dict\['tenant'\].get('id') != tenant\_id:  
99. \+                    continue  
100. \+            tokens.append(token\_ref\['id'\])  
101. \+        return tokens  
102. \+  
103. \+    def list\_revoked\_tokens(self):  
104. \+        session = self.get\_session()  
105. \+        tokens = \[\]  
106. \+        now = timeutils.utcnow()  
107. \+        for token\_ref in session.query(TokenModel)\\  
108. \+                                .filter(TokenModel.expires > now)\\  
109. \+                                .filter\_by(valid=False):  
110. \+            record = \{  
111. \+                'id': token\_ref\['id'\],  
112. \+                'expires': token\_ref\['expires'\],  
113. \+            \}  
114. \+            tokens.append(record)  
115. \+        return tokens  
116.

### migrate\_version表的差异 ###

该表似乎跟Keystone进行数据库升级有关，具体差异不清楚。

## 配置差异 ##

从下面的示例配置文件的比较来看主要是增加了几个filter中间件

**\[plain\]**  [view plain][Link 1] [copy][Link 1]

1.  \[ugyn@localhost keystone\]$ git diff 2012.1:etc/keystone.conf 2012.2:etc/keystone.conf.sample    > tables\_diff  
2.  \[ugyn@localhost keystone\]$ cat tables\_diff  
3.  diff --git a/2012.1:etc/keystone.conf b/2012.2:etc/keystone.conf.sample  
4.  index 3ecf641..1d48676 100644  
5.  \--- a/2012.1:etc/keystone.conf  
6.  \+++ b/2012.2:etc/keystone.conf.sample  
7.  @@ -1,53 +1,128 @@  
8.   \[DEFAULT\]  
9.  \-\#bind\_host = 0.0.0.0  
10. \-public\_port = 5000  
11. \-admin\_port = 35357  
12. \-admin\_token = ADMIN  
13. \-compute\_port = 8774  
14. \-verbose = True  
15. \-debug = True  
16. \-\#log\_config = ./etc/logging.conf.sample  
17. \-  
18. \-\# ================= Syslog Options ============================  
19. \-\# Send logs to syslog (/dev/log) instead of to file specified  
20. \-\# by \`log-file\`  
21. \-use\_syslog = False  
22. \-  
23. \-\# Facility to use. If unset defaults to LOG\_USER.  
24. \-\# syslog\_log\_facility = LOG\_LOCAL0  
25. \+\# A "shared secret" between keystone and other openstack services  
26. \+\# admin\_token = ADMIN  
27. \+  
28. \+\# The IP address of the network interface to listen on  
29. \+\# bind\_host = 0.0.0.0  
30. \+  
31. \+\# The port number which the public service listens on  
32. \+\# public\_port = 5000  
33. \+  
34. \+\# The port number which the public admin listens on  
35. \+\# admin\_port = 35357  
36. \+  
37. \+\# The port number which the OpenStack Compute service listens on  
38. \+\# compute\_port = 8774  
39. \+  
40. \+\# === Logging Options ===  
41. \+\# Print debugging output  
42. \+\# verbose = False  
43. \+  
44. \+\# Print more verbose output  
45. \+\# (includes plaintext request logging, potentially including passwords)  
46. \+\# debug = False  
47. \+  
48. \+\# Name of log file to output to. If not set, logging will go to stdout.  
49. \+\# log\_file = keystone.log  
50. \+  
51. \+\# The directory to keep log files in (will be prepended to --logfile)  
52. \+\# log\_dir = /var/log/keystone  
53. \+  
54. \+\# Use syslog for logging.  
55. \+\# use\_syslog = False  
56. \+  
57. \+\# syslog facility to receive log lines  
58. \+\# syslog\_log\_facility = LOG\_USER  
59. \+  
60. \+\# If this option is specified, the logging configuration file specified is  
61. \+\# used and overrides any other logging options specified. Please see the  
62. \+\# Python logging module documentation for details on logging configuration  
63. \+\# files.  
64. \+\# log\_config = logging.conf  
65. \+  
66. \+\# A logging.Formatter log message format string which may use any of the  
67. \+\# available logging.LogRecord attributes.  
68. \+\# log\_format = %(asctime)s %(levelname)8s \[%(name)s\] %(message)s  
69. \+  
70. \+\# Format string for %(asctime)s in log records.  
71. \+\# log\_date\_format = %Y-%m-%d %H:%M:%S  
72. \+  
73. \+\# onready allows you to send a notification when the process is ready to serve  
74. \+\# For example, to have it notify using systemd, one could set shell command:  
75. \+\# onready = systemd-notify --ready  
76. \+\# or a module with notify() method:  
77. \+\# onready = keystone.common.systemd  
78.   
79.  \[sql\]  
80. \-connection = sqlite:///keystone.db  
81. \-idle\_timeout = 200  
82. \+\# The SQLAlchemy connection string used to connect to the database  
83. \+\# connection = sqlite:///keystone.db  
84.   
85. \-\[ldap\]  
86. \-\#url = ldap://localhost  
87. \-\#tree\_dn = dc=example,dc=com  
88. \-\#user\_tree\_dn = ou=Users,dc=example,dc=com  
89. \-\#role\_tree\_dn = ou=Roles,dc=example,dc=com  
90. \-\#tenant\_tree\_dn = ou=Groups,dc=example,dc=com  
91. \-\#user = dc=Manager,dc=example,dc=com  
92. \-\#password = freeipa4all  
93. \-\#suffix = cn=example,cn=com  
94. \+\# the timeout before idle sql connections are reaped  
95. \+\# idle\_timeout = 200  
96.   
97.  \[identity\]  
98. \-driver = keystone.identity.backends.sql.Identity  
99. \+\# driver = keystone.identity.backends.sql.Identity  
100.   
101.  \[catalog\]  
102. \-driver = keystone.catalog.backends.templated.TemplatedCatalog  
103. \-template\_file = ./etc/default\_catalog.templates  
104. \+\# dynamic, sql-based backend (supports API/CLI-based management commands)  
105. \+\# driver = keystone.catalog.backends.sql.Catalog  
106. \+  
107. \+\# static, file-based backend (does \*NOT\* support any management commands)  
108. \+\# driver = keystone.catalog.backends.templated.TemplatedCatalog  
109. \+  
110. \+\# template\_file = default\_catalog.templates  
111.   
112.  \[token\]  
113. \-driver = keystone.token.backends.kvs.Token  
114. \+\# driver = keystone.token.backends.kvs.Token  
115.   
116.  \# Amount of time a token should remain valid (in seconds)  
117. \-expiration = 86400  
118. \+\# expiration = 86400  
119.   
120.  \[policy\]  
121. \-driver = keystone.policy.backends.rules.Policy  
122. \+\# driver = keystone.policy.backends.rules.Policy  
123.   
124.  \[ec2\]  
125. \-driver = keystone.contrib.ec2.backends.kvs.Ec2  
126. \+\# driver = keystone.contrib.ec2.backends.kvs.Ec2  
127. \+  
128. \+\[ssl\]  
129. \+\#enable = True  
130. \+\#certfile = /etc/keystone/ssl/certs/keystone.pem  
131. \+\#keyfile = /etc/keystone/ssl/private/keystonekey.pem  
132. \+\#ca\_certs = /etc/keystone/ssl/certs/ca.pem  
133. \+\#cert\_required = True  
134. \+  
135. \+\[signing\]  
136. \+\#token\_format = UUID  
137. \+\#certfile = /etc/keystone/ssl/certs/signing\_cert.pem  
138. \+\#keyfile = /etc/keystone/ssl/private/signing\_key.pem  
139. \+\#ca\_certs = /etc/keystone/ssl/certs/ca.pem  
140. \+\#key\_size = 1024  
141. \+\#valid\_days = 3650  
142. \+\#ca\_password = None  
143. \+\#token\_format = PKI  
144. \+  
145. \+\[ldap\]  
146. \+\# url = ldap://localhost  
147. \+\# user = dc=Manager,dc=example,dc=com  
148. \+\# password = None  
149. \+\# suffix = cn=example,cn=com  
150. \+\# use\_dumb\_member = False  
151. \+  
152. \+\# user\_tree\_dn = ou=Users,dc=example,dc=com  
153. \+\# user\_objectclass = inetOrgPerson  
154. \+\# user\_id\_attribute = cn  
155. \+\# user\_name\_attribute = sn  
156. \+  
157. \+\# tenant\_tree\_dn = ou=Groups,dc=example,dc=com  
158. \+\# tenant\_objectclass = groupOfNames  
159. \+\# tenant\_id\_attribute = cn  
160. \+\# tenant\_member\_attribute = member  
161. \+\# tenant\_name\_attribute = ou  
162. \+  
163. \+\# role\_tree\_dn = ou=Roles,dc=example,dc=com  
164. \+\# role\_objectclass = organizationalRole  
165. \+\# role\_id\_attribute = cn  
166. \+\# role\_member\_attribute = roleOccupant  
167.   
168.  \[filter:debug\]  
169.  paste.filter\_factory = keystone.common.wsgi:Debug.factory  
170. @@ -64,12 +139,27 @@ paste.filter\_factory = keystone.middleware:XmlBodyMiddleware.factory  
171.  \[filter:json\_body\]  
172.  paste.filter\_factory = keystone.middleware:JsonBodyMiddleware.factory  
173.   
174. \+\[filter:user\_crud\_extension\]  
175. \+paste.filter\_factory = keystone.contrib.user\_crud:CrudExtension.factory  
176. \+  
177.  \[filter:crud\_extension\]  
178.  paste.filter\_factory = keystone.contrib.admin\_crud:CrudExtension.factory  
179.   
180.  \[filter:ec2\_extension\]  
181.  paste.filter\_factory = keystone.contrib.ec2:Ec2Extension.factory  
182.   
183. \+\[filter:s3\_extension\]  
184. \+paste.filter\_factory = keystone.contrib.s3:S3Extension.factory  
185. \+  
186. \+\[filter:url\_normalize\]  
187. \+paste.filter\_factory = keystone.middleware:NormalizingFilter.factory  
188. \+  
189. \+\[filter:stats\_monitoring\]  
190. \+paste.filter\_factory = keystone.contrib.stats:StatsMiddleware.factory  
191. \+  
192. \+\[filter:stats\_reporting\]  
193. \+paste.filter\_factory = keystone.contrib.stats:StatsExtension.factory  
194. \+  
195.  \[app:public\_service\]  
196.  paste.app\_factory = keystone.service:public\_app\_factory  
197.   
198. @@ -77,10 +167,10 @@ paste.app\_factory = keystone.service:public\_app\_factory  
199.  paste.app\_factory = keystone.service:admin\_app\_factory  
200.   
201.  \[pipeline:public\_api\]  
202. \-pipeline = token\_auth admin\_token\_auth xml\_body json\_body debug ec2\_extension public\_service  
203. \+pipeline = stats\_monitoring url\_normalize token\_auth admin\_token\_auth xml\_body json\_body debug ec2\_extension user\_crud\_extension public\_service  
204.   
205.  \[pipeline:admin\_api\]  
206. \-pipeline = token\_auth admin\_token\_auth xml\_body json\_body debug ec2\_extension crud\_extension admin\_service  
207. \+pipeline = stats\_monitoring url\_normalize token\_auth admin\_token\_auth xml\_body json\_body debug stats\_reporting ec2\_extension s3\_extension crud\_extension admin\_service  
208.   
209.  \[app:public\_version\_service\]  
210.  paste.app\_factory = keystone.service:public\_version\_app\_factory  
211. @@ -89,10 +179,10 @@ paste.app\_factory = keystone.service:public\_version\_app\_factory  
212.  paste.app\_factory = keystone.service:admin\_version\_app\_factory  
213.   
214.  \[pipeline:public\_version\_api\]  
215. \-pipeline = xml\_body public\_version\_service  
216. \+pipeline = stats\_monitoring url\_normalize xml\_body public\_version\_service  
217.   
218.  \[pipeline:admin\_version\_api\]  
219. \-pipeline = xml\_body admin\_version\_service  
220. \+pipeline = stats\_monitoring url\_normalize xml\_body admin\_version\_service  
221.   
222.  \[composite:main\]

[OpenStack_Keystone]: http://blog.csdn.net/ugyn109/article/details/8146659
[Link 1]: http://blog.csdn.net/ugyn109/article/details/8146659#