目次 OpenStackのこれまで OpenStackの機能概要 セキュリティ機能とストレージ機能 プロジェクト管理機能 OpenStackの特徴と主要コンポーネント コンポーネントのAPI 操作 注意 : 本テキストで扱う OpenStack は RDO(Havana) がベースとなります 2

Transcription

1 openstack Open source software to build public and private clouds. OpenStack 入門 ver /7/26 Etsuji Nakai

2 目次 OpenStackのこれまで OpenStackの機能概要 セキュリティ機能とストレージ機能 プロジェクト管理機能 OpenStackの特徴と主要コンポーネント コンポーネントのAPI 操作 注意 : 本テキストで扱う OpenStack は RDO(Havana) がベースとなります 2

3 OpenStack のこれまで 3

4 OpenStack とは? OpenStackは Amazon EC2/S3 相当のクラウドインフラを構築するためのオープンソースソフトウェアです - マルチテナント型のIaaS (Infrastructure as a Service) 環境を提供します - 類似のオープンソースには CloudStack Eucalyptusなどがあります 2010 年末に 米 RackSpace 社 と NASA が共同で OpenStack プロジェクトを立ち あげて 開発をスタートしました - RackSpace が自社開発で利用していた Swift (S3 相当の機能を提供 ) と NASA が作りかけていた Nova (EC2 相当の機能を提供 ) をオープンソース化して提供して それらをベースにコミュニティモデルでの開発を開始しました 単なる仮想化管理ツールではなく パブリッククラウドと同等の機能 を実現することが OpenStack の目的 4

5 これまでの開発状況 これまで 年に 2 3 回程度のメジャーバージョンアップが行われています 当初は RackSpace 社が開発を主導していましたが 2012 年に OpenStack の開発を支える公式の非営利団体である OpenStack Foudation が設立されました 最低限動くもの を目指して地道に開発 OpenStack Foudation 設立 Bexar 2011/02/03 Diablo 2011/09/22 Folsom 2012/09/27 Havana 2013/10/ Austin 2010/10/21 Cactus 2011/04/15 Essex 2012/04/05 Grizzly 2013/04/04 Icehouse 2014/04/17 EC2/S3 相当機能がほぼ完成 5

6 ( 参考 ) OpenStack Foundation の設立 6

7 OpenStack Foundation Platinum Members (2014/01 の情報 ) 7

8 OpenStack 開発への貢献企業 開発者の所属企業別の OpenStack Havana 変更数 開発者の所属企業別の OpenStack Havana 問題解決数 8

9 OpenStack ディストリビューション コミュニティで開発された OpenStack のソースコードを元にして 独自のインストーラを組み合わせて簡単にインストールできるようにパッケージ化された OpenStack ディストリビューション があります - 複数の企業 / 団体から いくつかのディストリビューションが提供されています 開発者向けの OpenStack ディストリビューション - DevStack : 最新のソースコードをダウンロードして OpenStack 環境を構成するシェルスクリプト群が提供されています その他の無償で利用できる OpenStack ディストリビューション - Debian Linux opensuse Ubuntu Linux : OpenStack パッケージを標準で同梱 - RDO : Red Hat が提供する RHEL / Fedora で利用可能なディストリビューション 9

10 RDO の特徴 主な活動内容 - RHEL/Fedora 用のRPMパッケージを提供 - Puppetベースのインストーラ Packstack を提供 - QAフォーラムを運営 (Red Hatの開発者が回答してくれることもあります ) OpenStack を創る人々のコミュニティ RHEL/Fedora で OpenStack を使う人々のコミュニティ OpenStack Foundation 10

11 OpenStack の機能概要 11

12 OpenStack が提供する環境 OpenStack のユーザは Web コンソールや REST API を用いて 次のようなコンピューティングリソースを利用します - 仮想ネットワーク 外部ネットワーク OpenStack ユーザ - 仮想マシンインスタンス - ブロックボリューム 仮想ルータ プロジェクト環境 各ユーザは特定の プロジェクト に所 属します - プロジェクト内でリソースを共有します - プロジェクト全体でのリソース使用量の上限設定 リソース使用状況のレポーティングなどが可能です 仮想スイッチ OS 領域 仮想マシンインスタンス データ領域 ブロックボリューム 12

13 OpenStack の仮想ネットワークモデル プロジェクトごとに仮想ルータを用いて プライベートなネットワークを構成します - 仮想ルータの背後に任意の数の仮想スイッチを作成して 接続します - それぞれの仮想スイッチは プライベートIPの独立したサブネットを持ちます 仮想マシンインスタンス起動時に 接続する仮想スイッチを選択します - DHCPでプライベートIPアドレスが割り当てられます - 同じプロジェクトの仮想マシンインスタンス間は プライベートIPで通信できます 外部ネットワーク プロジェクト A 仮想ルータ プロジェクト B 仮想ルータ 仮想スイッチ /24 仮想スイッチ /24 13

14 プライベート IP とフローティング IP 外部ネットワークと通信する際は 仮想マシンインスタンスに フローティング IP を 割り当てます - 外部ネットワークのサブネット上で フローティング IP として利用可能な IP アドレスをプールしておきます - 仮想ルータ上で フローティング IP とプライベート IP の NAT が行われます - フローティング IP を割り当てない場合でも 仮想マシンインスタンスから外部ネットワークへの接続は可能です ( 仮想ルータの IP アドレスを代表 IP として マスカレード接続します ) 外部ネットワークからはフローティング IP で接続 フローティング IP プライベート IP インスタンス同士はプライベート IP で接続 プライベート IP Web サーバー DB サーバー 14

15 仮想マシンインスタンスの起動 仮想マシンインスタンスを起動する際は 次の項目を指定します - インスタンスタイプ - テンプレートイメージ (*) 外部ネットワーク - 接続する仮想ネットワーク - セキュリティグループ - キーペア 形式 raw AMI/AKI/ARI qcow2 VDI VMDK VHD 説明フラットなイメージファイル Amazon EC2が利用する形式 Linux KVMが利用する形式 VirtualBoxが利用する形式 VMwareが利用する形式 Hyper-Vが利用する形式 セキュリティグループ テンプレートとしてインポート可能なイメージ形式 テンプレートイメージ 複製 OS 領域 複数ネットワーク接続も可能 15

16 テンプレートイメージの準備方法 (1) Oz( 仮想マシンイメージの作成に特化したOSインストールツール ) で作成する - OpenStack 用イメージ作成のデファクトツール - ディストリビューション標準のテンプレートイメージを利用 - Fedora の OpenStack 対応イメージ

17 テンプレートイメージの準備方法 (2) Red Hat Enterprise Linux (RHEL) では RHEL6.4 より OpenStack で利用可能なテン プレートイメージが提供されています - これをダウンロードして OpenStack に登録することで すぐに RHEL の仮想マシンを起動することができます 17

18 セキュリティ機能とストレージ機能 18

19 セキュリティグループ 仮想マシンインスタンスの受信パケットを セキュリティグループ でフィルタリング します - セキュリティグループを作成して プロトコル 宛先ポート 送信元 IP などの条件で受信を許可するパケットを指定します - 仮想マシンインスタンス起動時に適用するセキュリティグループを指定します Ping の受信許可 HTTP の受信許可 SSH の受信許可 セキュリティグループ default の仮想マシンからは任意の受信許可 送信は自由に可能 19

20 キーペアによる SSH ログイン認証 事前に公開鍵を登録しておき 仮想マシンインスタンス起動時にゲストOSに埋め込みます - 公開鍵の登録は ユーザ個別に行います 複数ユーザでキーペアを共有する形にはなりません 3 秘密鍵で認証 仮想マシンインスタンス 秘密鍵 公開鍵 2 公開鍵をゲスト OS に埋め込み 1 公開鍵を事前に登録 ユーザ情報データベース 20

21 インスタンスタイプとディスク領域の関係 デフォルトで用意されるインスタンスタイプは次のようになります - ルートディスクは テンプレートイメージを複製した後に指定のサイズまで拡張されます インスタンスタイプ仮想 CPU メモリルートディスク 一時ディスク スワップディスク m1.tiny 1 512MB 1GB 0 0 m1.small 1 2GB 20GB 0 0 m1.medium 2 4GB 40GB 0 0 m1.large 4 4GB 80GB 0 0 m1.xlarge 8 8GB 160GB 0 0 管理者ユーザは任意のインスタンスタイプを定義することができます - 一時ディスクとスワップディスクを与えると ゲスト OS からは下図のように認識されます - これらのディスク領域は 仮想マシンインスタンスを停止するとすべて破棄されます ( 永続保存が必要なユーザデータは ブロックボリュームに保存します ) NAME MAJ:MIN RM SIZE RO TYPE MOUNTPOINT vda 252:0 0 20G 0 disk vda1 252:1 0 20G 0 part / ルートディスク vdb 252:16 0 5G 0 disk /mnt 一時ディスク vdc 252:32 0 1G 0 disk [SWAP] スワップディスク 21

22 仮想マシンインスタンスのスナップショット 仮想マシンインスタンスの スナップショット により ルートディスクを複製して保 存することができます テンプレートイメージ インスタンスのスナップショット テンプレートイメージから仮想マシンインスタンス起動 スナップショットから仮想マシンインスタンス起動 OS 領域 OS 領域 ルートディスクを複製してスナップショットを作成 22

23 ブロックボリュームの使い方 ブロックボリュームは 仮想マシンインスタンスを停止してもそのまま残るので 永続 的なデータ保存領域として使います OS 領域 OS 領域 他の仮想マシンインスタンスに再接続可能 ( 同時接続は不可 ) データ領域 データ領域 2 仮想マシンインスタンスに接続してデータ領域として使用 4 スナップショットを複製して新たなブロックボリュームを作成 1 新規ブロックボリュームを作成 3 スナップショット作成 23

24 ブロックボリュームの使い方 ブロックボリュームにゲスト OS をインストールして ブロックボリュームから仮想マシンインスタンスを起動することも可能です - 仮想マシンインスタンスを停止しても OS 領域への変更が破棄されずに残ります - スナップショットを作成しておき 仮想マシンインスタンスを起動するタイミングで スナップショットから新しいブロックボリュームを用意することも可能です OS 領域 OS 領域 仮想マシンインスタンスに接続してゲスト OS 起動 複製 テンプレートイメージ OS 領域 OS 領域 テンプレートイメージを複製してブロックボリュームを作成 スナップショット作成 24

25 新規プロジェクト / ユーザの作成 25

26 プロジェクト単位のリソース使用レポート 現在の使用量 指定期間の累計 26

27 プロジェクトのリソース使用量の上限 27

28 OpenStack の特徴と主要コンポーネント 28

29 OpenStack の主要コンポーネント OpenStackでは 機能別にソフトウェアをモジュール化して開発が進められています - Swift : オブジェクトストレージ ファイル単位で出し入れするだけの単純なファイルストア - Nova : 仮想マシンの配置決定と起動 停止処理 - Glance : 仮想マシンイメージの管理 バックエンドにSwift その他のストレージを使用 - Cinder : ブロックボリュームの提供 サンプル実装では Linux LVM + iscsiソフトウェアターゲットを使用 外部のストレージ装置をバックエンドにすることも可能 - Keystone : 統合認証機能 - Neutron : 仮想ネットワーク管理機能 (Quantumから改名) 仮想ネットワークの作成を外部のプラグインモジュール (SDN 製品 ) に移譲 標準提供のプラグインでは Linux bridge もしくは Open vswitchを使用 - Horizon : GUIコンソールのサンプル実装 29

30 コンポーネント間の連携処理 Web コンソールで操作をすると REST API 経由で各モジュールに指示が飛びます また クライアントは 各モジュールの REST API を直接操作することも可能です - これにより プログラムコードからの呼び出しによる環境操作の自動化が可能になります パブリックネットワーク クライアント PC テンプレートイメージ保存 テンプレートイメージ検索 Web コンソールアクセス Network Node 仮想ネットワーク作成 Swift Glance Horizon Nova Neutron Nova Nova Nova Compute Compute Compute 管理ネットワーク 仮想マシンイメージ Keystone テンプレートダウンロード QPID MySQL 仮想マシン起動 ブロックボリューム提供 (iscsi) Cinder LUN LUN LUN 認証サーバ メッセージキュー データベース 30

31 OpenStack の特徴 APIで操作する Programmable Infrastructure の提供 - 既存のGUI ワークフローに縛られたくないユーザ層の獲得 - プログラムによるインフラ環境の自動構築 変更に対応 スケーラビリティを意識した疎結合アーキテクチャ - コンピューティングノードの追加が容易 / コントローラの負荷分散が可能 - システム設計 運用 管理にはこれまでとは違うノウハウが必要 Driver/Plugin による外部コンポーネントとの連携 - 既存インフラと連携 統合するための作りこみが可能 - サードパーティ製品連携のエコシステム ここがポイント 31

32 システムアーキテクチャのパラダイムシフト 32

33 コンポーネントの API 操作 33

34 コンポーネントの API 操作のパターン コンポーネントの API を操作する際は 2 種類のパターンがあります - ユーザがダッシュボード経由で各コンポーネントの API を操作 もしくは 直接に API を操作 - あるコンポーネントが他のコンポーネントに処理を依頼するために API を操作 データベース MySQL 共有データ保存 メッセージング QPID エージェント通信のメッセージ中継 Keystone ( ユーザ認証 ) API アクセス Horizon ( ダッシュボード ) Web ブラウザアクセス Neutron ( 仮想ネットワーク ) Cinder ( ブロックボリューム ) Nova ( 仮想マシン ) Glance ( テンプレート ) 仮想ネットワークへの接続 ブロックボリュームの接続 テンプレートイメージのダウンロード 34

35 API 操作のユーザ認証 コンポーネントの API を操作する際は ユーザ認証が必要となります - ユーザ もしくは コンポーネントは Keystone から API 操作を許可する トークン を取得した後に 操作対象コンポーネントの API にリクエストを送信します ( 各コンポーネントは 自分自身を表す ユーザ が Keystone に事前に登録されています ) - Keystone からトークンを取得する際に 操作対象コンポーネントの API の URL を併せて取得します したがって ユーザは Keystone の API の URL だけを知っている必要があります Keystone ( ユーザ認証 ) Horizon ( ダッシュボード ) Neutron ( 仮想ネットワーク ) Cinder ( ブロックボリューム ) Nova ( 仮想マシン ) Glance ( テンプレート ) 35

36 Keystone のコマンド操作例 (1) OpenStack 標準のコマンドラインツールは 環境変数でユーザ / パスワード / 操作対象テナント /Keystone API のベース URL を指定します - Keystone API は 管理ユーザ用と一般ユーザ用で URL( ポート番号 ) が異なります - 引数でユーザ等を指定した場合は そちらが優先されます - 次はデフォルトの管理ユーザ admin で Keystone を操作する例です # cat keystonerc_admin export OS_USERNAME=admin export OS_TENANT_NAME=admin export OS_PASSWORD=714f1ab569a64a3b export OS_AUTH_URL= export PS1='[\u@\h \W(keystone_admin)]\$ ' 管理ユーザの場合はポート番号 #. keystonerc_admin # keystone user-list id name enabled a800d bfade afd6 admin True test@test.com 3c45a1f5a88d4c1d8fb07b51ed72cd55 cinder True cinder@localhost f23d88041e5245ee8cc8b0a5c3ec3f6c demo_admin True 44be5165fdf64bd5907d07aa1aaa5dab demo_user True cd ed3a09d92b61aacf0a7 glance True glance@localhost a38561ed906e48468cf c53 nova True nova@localhost 157c e0abdd16895dc8f024 neutron True neutron@localhost

37 Keystone のコマンド操作例 (3) 各コマンドラインツールは help サブコマンド でサブコマンドの一覧や各サブコマ ンドの詳細が確認できます # keystone help サブコマンドの一覧 # keystone help user-list サブコマンド user-list の詳細説明 37

38 仮想マシンインスタンスの起動 Nova の API に仮想マシンインスタンスの起動を指示すると Glance / Netron と連携して インスタンスの起動と仮想ネットワーク接続の処理が行われます - Nova は Glance API を通じて テンプレートイメージをコンピュートノードにコピーします - 同じく Neutron API を通じて 仮想マシンインスタンスを仮想ネットワークに接続します Keystone ( ユーザ認証 ) Horizon ( ダッシュボード ) Neutron ( 仮想ネットワーク ) Cinder ( ブロックボリューム ) Nova ( 仮想マシン ) Glance ( テンプレート ) 仮想ネットワークへの接続 テンプレートイメージのダウンロード 38

39 仮想マシンインスタンスの起動 (1) 次は nova コマンドで仮想マシンインスタンスの起動に必要な情報を確認しています #. keystonerc_demo_user # nova flavor-list ID Name Memory_MB Disk Ephemeral Swap VCPUs RXTX_Factor Is_Public extra_specs m1.tiny True {} 2 m1.small True {} 3 m1.medium True {} 4 m1.large True {} 5 m1.xlarge True {} # nova keypair-list Name Fingerprint mykey 31:8c:0e:43:67:40:f6:17:a3:f8:3f:d5:73:8e:d0: Nova から Glance API を呼び出して情報を取得しています # nova image-list ID Name Status Server d0c4e-b06c-4c15-85e5-9bb612eb6414 Fedora19 ACTIVE Nova から Neutron API を呼び出して情報を取得しています # nova secgroup-list Name Description default default # nova net-list ID Label CIDR a e9f-950f-d44daa83358c private01 None d3c763f0-ebf b3fc-cda69bcd1957 private02 None d b0-46eb-9c51-149dfe351bbe ext-network None

40 仮想マシンインスタンスの起動 (2) 次は 確認した情報を元に 仮想マシンインスタンスを起動しています # nova boot --flavor m1.small --image Fedora19 --key-name mykey \ --security-groups default --nic net-id=843a e9f-950f-d44daa83358c vm Property Value status BUILD updated T06:22:52Z OS-EXT-STS:task_state scheduling key_name mykey image Fedora19 hostid OS-EXT-STS:vm_state building flavor m1.small id f40c9b a5f-a62c-87021ba277ce security_groups [{u'name': u'default'}] user_id 2e57cd295e3f4659b151dd80f3a73468 name vm01 adminpass 5sUFyKhgovV6 tenant_id 555b49dc8b6e4d92aa74103bfb656e70 created T06:22:51Z OS-DCF:diskConfig MANUAL metadata {} ( 中略 ) # nova list ID Name Status Networks f40c9b a5f-a62c-87021ba277ce vm01 ACTIVE private01=

41 仮想マシンインスタンスの起動 (3) カスタマイズスクリプト を使用する際は スクリプトを記載したファイルを用意して --user-data オプションで指定します - 次の例では カスタマイズスクリプトを指定して仮想マシンインスタンスを起動した後 フローティング IP を割り当てて 実際にログインしています # cat hello.txt #!/bin/sh echo 'Hello, World!' > /etc/motd # nova boot --flavor m1.small --image Fedora19 --key-name mykey \ --security-groups default --nic net-id=843a e9f-950f-d44daa83358c \ --user-data hello.txt vm01 # nova floating-ip-list Ip Instance Id Fixed Ip Pool None None ext-network None None ext-network None None ext-network None None ext-network None None ext-network # nova add-floating-ip vm # ssh -i ~/mykey.pem fedora@ The authenticity of host ' ( )' can't be established. RSA key fingerprint is b7:24:54:63:1f:02:33:4f:81:a7:47:90:c1:1b:78:5a. Are you sure you want to continue connecting (yes/no)? yes Warning: Permanently added ' ' (RSA) to the list of known hosts. Hello, World! [fedora@vm01 ~]$ 41

42 ブロックボリュームの作成と接続 Cinder の API を通して ブロックボリュームの作成 削除 スナップショット作成など が可能です - 仮想マシンインスタンスにブロックボリュームを接続する際は Nova の API に指示を出すと Nova が Cinder の API を経由して連携処理を行います Keystone ( ユーザ認証 ) Horizon ( ダッシュボード ) Neutron ( 仮想ネットワーク ) Cinder ( ブロックボリューム ) Nova ( 仮想マシン ) Glance ( テンプレート ) ブロックボリュームの接続 42

43 ブロックボリュームの作成と接続 次は 5GB のボリュームを作成して 仮想マシンインスタンスに接続 / 取り外しを行う例で す # cinder create --display-name volume01 5 # cinder list ID Status Display Name Size Volume Type Bootable Attached to b4d23b-3b57-4a38-9f6e-10e ef available volume01 5 None false # nova volume-attach vm01 78b4d23b-3b57-4a38-9f6e-10e ef Property Value device /dev/vdb serverid f40c9b a5f-a62c-87021ba277ce id 78b4d23b-3b57-4a38-9f6e-10e ef volumeid 78b4d23b-3b57-4a38-9f6e-10e ef # nova volume-detach vm01 78b4d23b-3b57-4a38-9f6e-10e ef 43

44 openstack Open source software to build public and private clouds.