Identitäten der Domain für Manager
Eine Keystone-Domain pro Kunde, von ihren Managern verwaltet
Mehr erfahrenOpenKeel: die souveräne französische Cloud-Lösung mit europäischer Reichweite der inherent-Gruppe inherent entdecken
Architektur
Die Skyline-Konsole von OpenKeel ist das Upstream-skyline-console plus fünf Patches und eine Server-Erweiterung: delegierte Identitäten pro Kunden-Domain, Single Sign-On pro Domain, EC2-Credentials, Kosten und CO₂-Fußabdruck beim Anlegen, ein FinOps-/GreenOps-Dashboard und die Metriken der VMs.
Eine Keystone-Domain pro Kunde, von ihren Managern verwaltet
Mehr erfahrenJede Domain bringt ihren eigenen OpenID-Connect-Identity-Provider mit
Mehr erfahrenBenutzer aus dem IdP warten auf eine Rolle; Manager vergeben sie oder autorisieren sie vorab
Mehr erfahrenZugangs- und geheime Schlüssel für die EC2-API, für Benutzer und Administratoren
Mehr erfahrenFinOps- und GreenOps-Zahlen in den Anlageformularen und im Quota-Popup
Mehr erfahrenEin Dashboard der Kosten und des Fußabdrucks des Projekts und die Metriken seiner VMs
Mehr erfahrenKeystone delegiert die Benutzerverwaltung pro Domain: Ein Benutzer mit der Rolle manager auf einer Domain legt deren Benutzer, Gruppen und Projekte an und vergibt manager, member oder reader, nie admin und nie außerhalb der Domain. OpenKeel gibt jedem Kunden eine eigene Domain.
| Was | Wie | Status |
|---|---|---|
| Eine Domain pro Kunde | Die Ressource OpenKeelCustomer (Kubernetes, clusterweit) beschreibt die Domain, ihre Manager und ihre ersten Projekte; der Controller keystone-customers hält sie in Keystone aktuell und repariert manuelle Änderungen alle 10 Minuten | Erledigt |
| Manager | Rolle manager auf der Domain, von ihren Projekten geerbt, damit Skyline ihre Anmeldung akzeptiert; Anfangspasswort in einem Secret, vom Controller nie zurückgesetzt | Erledigt |
| Anmeldung | <benutzer>@<domain> im Benutzerfeld der Konsole (alice@acme) | Erledigt |
| Keystone-Regeln in Skyline | Die 204 keystone:*-Regeln von Keystone 2026.2, geprüft mit einer domänenbezogenen Manager-Persona (1.866 Regeln × 8 Personas identisch) | Erledigt |
| Domain-Menü der Projektkonsole | Domain > Single Sign-On für Benutzer mit manager oder admin auf der Domain | Erledigt |
| Benutzer, Gruppen und Projekte der Domain aus Skyline | Die Identitätsseiten der Konsole bleiben Systemadministratoren vorbehalten: Ein Manager nutzt ok oder die API mit einem domänenbezogenen Token | Offen |
Einen Kunden löschen: deletionPolicy: Retain deaktiviert die Domain und behält sie; Delete entfernt sie mit ihren Benutzern, Gruppen und Projekten. Details: openkeel-keystone/docs/CUSTOMERS.md.
Domain > Single Sign-On, Reiter Identity Provider: Der Manager verbindet die Domain mit dem IdP des Unternehmens (Keycloak, Entra ID, Okta…). Die Einstellungen landen im OpenKeelCustomer der Domain; der Controller schreibt den Identity Provider, ein von OpenKeel erzeugtes Mapping (nie vom Kunden geschrieben) und das Protokoll openid in Keystone.
| Einstellung | Rolle |
|---|---|
| Aktiviert | Schaltet das Single Sign-On der Domain ein oder aus |
| Issuer URL | Der OpenID-Connect-Issuer des IdP; sein Discovery-Dokument muss erreichbar sein |
| Client ID, Client Secret | Der Client der Konsole beim IdP; das Secret ist nur schreibbar (leer gelassen bleibt es erhalten) und in einem Kubernetes-Secret gespeichert |
| User Name Claim | Der Claim, der den Benutzer in der Domain benennt (Standard preferred_username) |
| Groups Claim, Group Mapping | IdP-Gruppen werden zu Mitgliedschaften in den Gruppen der Domain (cloud-admins = admins), fehlende Gruppen werden angelegt |
| Beschriftung der Schaltfläche | Text der Anmeldeschaltfläche |
| Redirect URI | Von der Seite angezeigt, im Client des IdP zu registrieren |
Über den IdP angelegte Benutzer sind Schattenbenutzer allein der Domain des Kunden. Noch nicht umgesetzt: ein Konsolen-Host pro Kunde, daher bietet die Anmeldeseite noch die IdPs der Skyline-Konfiguration an.
Domain > Single Sign-On, Reiter Users: Niemand gelangt ohne Entscheidung eines Managers in die Projekte der Domain.
Ein vom IdP authentifizierter Benutzer wird ohne Rolle in der Domain angelegt: als Pending angezeigt
Der Manager wählt eine Rolle: member, manager (auf der Domain, von ihren Projekten geerbt) oder none
none entzieht die Rollen und deaktiviert den Benutzer: Keystone widerruft seine Tokens
Add User: Kennung beim IdP, Rolle und E-Mail vor der ersten Anmeldung, die dann den Benutzer und seine Rolle vorfindet
Die Zugangs- und geheimen Schlüssel der EC2-API von OpenKeel (AWS CLI, boto3, Terraform), in der Konsole unter den Keystone-Policies ec2_* verwaltet.
Identität > EC2 Credentials: die Credentials aller Benutzer mit Benutzer- und Projektnamen; für einen gewählten Benutzer und ein Projekt angelegt oder gelöscht.
Benutzermenü, neben den Application Credentials: Der Benutzer legt Credentials für eines seiner Projekte an.
Die Anlageformulare berechnen über openkeel-pricing (POST /v1/quotes), was gebaut wird, mit den Einheitstarifen des OpenKeelTenant des Projekts: Kosten pro Monat (€) und CO₂-Fußabdruck pro Jahr (kg CO₂e).
| Wo | Was angezeigt wird |
|---|---|
| Instanzformular | Flavor, Anzahl, Root- und Datenvolumes (die Root-Disk des Flavors entfällt, wenn die Instanz von einem Volume startet) |
| Volume-Formular | Größe und Anzahl |
| DNS-Zone, IPsec-Site-Verbindung | Die jährlichen Kosten und der Fußabdruck der Zone oder des VPN |
| Quota-Popup der Formulare | Zwei Karten unter den Anzeigen: die geschätzten Kosten des Projekts pro Monat und sein CO₂-Fußabdruck pro Jahr, über seine Nutzung plus das, was das Formular hinzufügt (vCPUs, Speicher, Volume-Kapazität) |
Nichts wird angezeigt, wenn der Katalog keinen Eintrag pricing hat oder kein OpenKeelTenant die Tarife festlegt.
kubevirt_vmi_*, von skyline-apiserver aus Prometheus gelesen (GET /extension/server_metrics)skyline-console bleibt Upstream: Das openkeel-skyline-Image holt einen festgelegten Commit der Konsole und wendet vor dem Bau der Reihe nach die Patches von openkeel-skyline/console-patches an. Der Bau schlägt fehl, wenn ein Patch nicht mehr passt, sodass eine neue Konsolenversion nie ohne sie ausgeliefert wird. Jeder Text liegt in jeder Sprache vor (Deutsch und Chinesisch übersetzt).
Die Serverseite ist openkeel-skyline, die Go-Neufassung von skyline-apiserver: Es leitet die neuen Katalogtypen (pricing, rating, customer) wie die OpenStack-APIs weiter und ergänzt GET /extension/server_metrics.