openstack组件使用的默认端口号

前言

随着虚拟化技术的不断发展，虚拟机的应用也越来越广泛。日常应用中可能出现资源不足，系统管理调整或者系统备份等原因，希望将某一虚拟机从原来物理主机迁移到另一个物理主机上，即
V2V（Virtual-to-Virtual）迁移。虚拟机的迁移需要物理主机上 VMM（Virtual Machine Monitor）的支持。相同类型 VMM 之间，使用相同的
API 接口，通常具有强大的迁移能力。例如本系列第二篇文章介绍的 KVM 虚拟机之间的迁移，它支持三种迁移方式：离线迁移、在线共享存储迁移和在线块迁移。而不同的
VMM 之间，由于虚拟化实现技术的不同、开发厂商的不同、API 接口的不同，使虚拟机迁移困难重重。本文分别介绍如何静态迁移 VMware
ESX/ESXi、VMware Workstation 及 VMware Player 上的虚拟机到 KVM 主机。

下面的表格中展示了Api与策略的对应关系

服务(Services)

keyStone是在一个或多个端点(Endpoint)上对外开放的已租内部服务组织，这些服务中很多都是以组合的方式供给前端使用。例如，验证动作会调用认证服务去认证用户的凭据，如果成功，就会使用令牌服务返回一个令牌。

原文地址

角色（Role）

OpenStack的服务通常使用基于角色的访问控制来决定是否允许用户使用某个API。这意味着需要比较用户的角色（存在于令牌token
中）和角色能够使用的API（在访问策略polocy中定义）。用户通过角色来使用相关的API。

原文地址

凭据管理

服务器会返回一个令牌用于交换用户提供的身份验证凭据。并且可以选择性的授权特定的项目或域。

原文地址

域配置

1

译者注：该组API实际为配置认证服务的相关信息。

你可以对特定的预配置项进行管理。

原文地址

用户组

用户组API关联项：https://docs.openstack.org/api/openstack-identity/3/rel/group

译者注：这部分与前部分的风格不一样，估计和前面不是一个人写的。

原文地址

认证服务（Identity）生成一套令牌（Token）来授权用户访问OpenStack Restful Api。用户以授权令牌和服务端点（URL
Endpoint）作为有效凭证访问其他服务的API。

每次访问一个OpenStack的API，都要提供名为X-Auth-Token，值为Token的访问头。

First Things First

虽然看起来很有趣，但是有以下几点是必须要注意的。

• Time Machine 使用的 AFP 协议__没有加密__。因此，如果你的服务器暴露在公网：有必要新建一个账户单独用于 Time Machine 使用。
• 这个账户应当使用__随机密码__，以避免撞库。
• 有必要__禁用这个账户任何不必要的权限__。换言之，不要赋予任何不需要的权限（尤其 ssh 登录）。
• AFP 使用 TCP 548 端口。在服务商面板／iptables／ufw 限制这个端口传入连接的 IP 地址。如果你的 IP
  地址并不是固定的，那么请复习一下 IP 地址段表示法
  ，限制为你可能被分配到的 IP 地址范围。
• 即便如此，Time Machine 开启加密的捆绑稀疏镜像依然是安全的。所以务必加密。