第9章 環境の把握

PyPIアーカイブからpipを使ってパッケージをインストール (もしくはアップグレード)するには、rootとして、

# pip install [--upgrade] <package-name>

パッケージを削除するには、

# pip uninstall <package-name>

もし新しいバージョンのクライアントが必要な場合、-eフラグを指定することで、アップストリームのgitリポジトリから直接導入できます。その際は、Python egg名を指定しなければいけません。例えば、

# pip install -e git+https://github.com/openstack/python-novaclient.git#egg=python-novaclient

もしEC2 APIを使いたい場合、「euca2ools」パッケージなどのEC2 API対応ツールで実現できます。EC2 APIベースのツールはこのガイドの範囲外ですが、それを使うための認証情報の取得手段については触れることにします。

*-manageという名のコマンドラインツールがいくつかあります。

前述のツールと違って、*-manageツールはクラウドコントローラーからroot権限で実行されなければいけません。なぜなら、それらのツールは/etc/nova/nova.confなどの設定ファイルを読み取り、また、OpenStack API エンドポイントではなく、データベースに対し直接クエリーを発行するからです。

*-manageツールが存在しているのは、歴史的な経緯からです。OpenStackプロジェクトは最終的に、*-manageの全機能を通常のクライアントツールへ移行する予定です。それまでは、cloud controller nodeへSSHし、必要な*-manageを使ってメンテナンス作業を行う必要があります。

OpenStackクラウドに対してクエリを発行するためにコマンドラインツールを使いたいのであれば、適切な認証情報を持っている必要があります。コマンドラインツールで使う認証情報を得るための最も簡単な方法は、Horizonダッシュボードです。ユーザー設定ページを表示するには、ページ右上のナビゲーションバーから、設定のリンクを選択し、ユーザー設定を開きます。ユーザー設定では、言語やタイムゾーンも設定できます。ここで重要なのは、このページ左側のナビゲーションにあるOpenStack API と EC2 認証情報 リンクです。このリンクから、あなたのサービスエンドポイントや認証情報といった環境変数を設定するファイルを生成できます。

OpenStackネイティブのツールを使うには、 OpenStack API リンクを選択します。ページ上部にはサービスエンドポイントのURLリストが、その下にタイトルOpenStack RCファイルのダウンロードがあります。管理者としてクラウドにアクセスする場合、ドロップダウンメニューから選択できます。ここから認証情報を取得したいプロジェクトを選択し、RCファイルのダウンロードをクリックします。以下のような、openrc.shファイルが生成されます。

#!/bin/bash
      
# With the addition of Keystone, to use an openstack cloud you should
# authenticate against keystone, which returns a **Token** and **Service
# Catalog**. The catalog contains the endpoint for all services the
# user/tenant has access to - including nova, glance, keystone, swift.
#
# *NOTE*: Using the 2.0 *auth api* does not mean that compute api is 2.0. 
# We use the 1.1 *compute api*
export OS_AUTH_URL=http://203.0.113.10:5000/v2.0
      
# With the addition of Keystone we have standardized on the term **tenant**
# as the entity that owns the resources.
export OS_TENANT_ID=98333aba48e756fa8f629c83a818ad57
export OS_TENANT_NAME="test-project"
      
# In addition to the owning entity (tenant), openstack stores the entity
# performing the action as the **user**.
export OS_USERNAME=test-user
      
# With Keystone you pass the keystone password.
echo "Please enter your OpenStack Password: "
read -s OS_PASSWORD_INPUT
export OS_PASSWORD=$OS_PASSWORD_INPUT

	注記
	あなたのパスワードはプレーンテキストに保存されません。これはいいことです。このスクリプトを読み込み、実行する際、パスワードの入力が要求され、環境変数OS_PASSWORDに設定されます。対話式に要求することが重要です。もしあなたが非対話式に操作したいのであれば、値を直接スクリプトに書くことは可能です。しかし、このファイルのセキュリティとパーミッションに細心の注意を払う必要があります。

EC2互換クレデンシャルは左側ナビゲーションバー内の「EC2 認証情報」リンクからダウンロードできます。対象認証情報のプロジェクトを選択し、「EC2 認証情報のダウンロード」をクリックすると、x509証明書とシェルスクリプトを含むzipファイルが生成されます。クラウドにアクセスするために必要な認証情報を含んでいるため、openrcとは異なり、安全な場所へ新しいディレクトリを作り、そこへzipファイルを展開してください。cacert.pem、 cert.pem、 ec2rc.sh そして pk.pemがあるはずです。 ec2rc.shは以下のようになるでしょう。

#!/bin/bash
      
NOVARC=$(readlink -f "${BASH_SOURCE:-${0}}" 2>/dev/null) ||\
NOVARC=$(python -c 'import os,sys; print os.path.abspath(os.path.realpath(sys.argv[1]))' "${BASH_SOURCE:-${0}}")
NOVA_KEY_DIR=${NOVARC%/*}
export EC2_ACCESS_KEY=df7f93ec47e84ef8a347bbb3d598449a
export EC2_SECRET_KEY=ead2fff9f8a344e489956deacd47e818
export EC2_URL=http://203.0.113.10:8773/services/Cloud
export EC2_USER_ID=42 # nova does not use user id, but bundling requires it
export EC2_PRIVATE_KEY=${NOVA_KEY_DIR}/pk.pem
export EC2_CERT=${NOVA_KEY_DIR}/cert.pem
export NOVA_CERT=${NOVA_KEY_DIR}/cacert.pem
export EUCALYPTUS_CERT=${NOVA_CERT} # euca-bundle-image seems to require this set
      
alias ec2-bundle-image="ec2-bundle-image --cert $EC2_CERT --privatekey $EC2_PRIVATE_KEY --user 42 --ec2cert $NOVA_CERT"
alias ec2-upload-bundle="ec2-upload-bundle -a $EC2_ACCESS_KEY -s $EC2_SECRET_KEY --url $S3_URL --ec2cert $NOVA_CERT"

EC2認証情報を環境変数として有効にするには、ec2rc.shファイルを(source コマンドで) 読み込みます。

コマンドラインツールは、--debugフラグを渡すことでOpenStack APIコールを表示することができます。例えば、

# nova --debug list

この例は、クライアントからのHTTPリクエストとエンドポイントからのレスポンスを表示しています。これはOpenStack APIを使ったカスタムツールを作る際に役立ちます。

Keyring Support (https://wiki.openstack.org/wiki/KeyringSupport)は、このガイドの執筆時点では混乱の元になるかもしれません。このバグレポート (https://bugs.launchpad.net/python-novaclient/+bug/1020238)はオープンされた後、無効(invalid)としてクローズされ、何度かやり取りがあって再度オープンされています。

その問題とは、ある条件下でコマンドラインツールがPythonのkeyringを認証情報キャッシュとして使おうとし、さらにある条件が重なった時、使用するたびにツールがkeyringパスワードを要求することです。もしあなたが運悪くその現象に遭遇した場合、認証情報キャッシュを回避するため、--no-cacheフラグを追加するか、OS_NO_CACHE=1を環境変数に設定してください。

	注記
	no-cache を設定すると、コマンドラインツールがクラウドとやり取りを行う度に認証が行われます。

管理者として、あなたのOpenStackクラウドがどのような状態か、ツールを使って把握する方法が、いくつかあります。この節では、あなたのクラウドの概要、形、大きさ、状態を得るアイデアをお伝えします。

まず、あなたのOpenStackクラウドに属し、稼働しているサーバーを把握することができます。

$ nova-manage service list | sort

出力は以下のようになります。

Binary           Host              Zone Status  State Updated_At
nova-cert        cloud.example.com nova enabled  :-)  2013-02-25 19:32:38
nova-compute     c01.example.com   nova enabled  :-)  2013-02-25 19:32:35
nova-compute     c02.example.com   nova enabled  :-)  2013-02-25 19:32:32
nova-compute     c03.example.com   nova enabled  :-)  2013-02-25 19:32:36
nova-compute     c04.example.com   nova enabled  :-)  2013-02-25 19:32:32
nova-compute     c05.example.com   nova enabled  :-)  2013-02-25 19:32:41
nova-consoleauth cloud.example.com nova enabled  :-)  2013-02-25 19:32:36
nova-network     cloud.example.com nova enabled  :-)  2013-02-25 19:32:32
nova-scheduler   cloud.example.com nova enabled  :-)  2013-02-25 19:32:33

この出力は、5つのコンピュートノードと1つのクラウドコントローラーがあることを示しています。:-) のような笑顔は、サービスが起動し、稼働中であることを表しています。もしサービスが動作していない場合、:-)はXXXへと変化します。なぜサービスがダウンしているのか、問題解決すべき印です。

あなたがまだnova-volumeを使っているのであれば、nova-volumeサービスのエントリも見えるでしょう。 (nova-volumeはFolsomより後のリリースでは廃止予定です)

Cinderを使っているのであれば、以下のコマンドを実行すると同様のリストが見られます。

$ cinder-manage host list | sort

host              zone
c01.example.com   nova
c02.example.com   nova
c03.example.com   nova
c04.example.com   nova
c05.example.com   nova
cloud.example.com nova

これら2つの表で、どのサーバーとサービスがあなたのクラウドを構成しているのか、概要を知ることができました。

また、認証サービス (Keystone)を使い、あなたのクラウドでどのサービスが使えるのか、また、どのエンドポイントがサービス向けに構成されているか、知ることができます。

下記コマンドを実行するには、あなたのシェル環境で正しく管理系の変数が設定されている必要があります。

$ keystone service-list

+-----+----------+----------+----------------------------+
| id  | name     | type     | description                |
+-----+----------+----------+----------------------------+
| ... | cinder   | volume   | Cinder Service             |
| ... | glance   | image    | OpenStack Image Service    |
| ... | nova_ec2 | ec2      | EC2 Service                |
| ... | keystone | identity | OpenStack Identity Service |
| ... | nova     | compute  | OpenStack Compute Service  |
+-----+----------+----------+----------------------------+

上記の出力は、5つのサービスが構成されていることを示しています。

各サービスのエンドポイントを見るには、

$ keystone endpoint-list

+-----+-----------------------------------------+-/+-----------------------------------------+
| id  |            publicurl                    | \|               adminurl                  |
+-----+-----------------------------------------+-/+-----------------------------------------+
| ... | http://example.com:8774/v2/%(tenant_id)s| \| http://example.com:8774/v2/%(tenant_id)s|
| ... | http://example.com:8773/services/Cloud  | /| http://example.com:8773/services/Admin  |
| ... | http://example.com:9292/v1              | \| http://example.com:9292/v1              |
| ... | http://example.com:5000/v2.0            | /| http://example.com:35357/v2.0           |
| ... | http://example.com:8776/v1/%(tenant_id)s| \| http://example.com:8776/v1/%(tenant_id)s|
+-----+-----------------------------------------+-/+-----------------------------------------+

service と endpointは1対1でマッピングされます。いくつかのサービスではパブリックURLと管理URLが異なるので注意してください。