Identità del dominio per i manager
Un dominio Keystone per cliente, amministrato dai suoi manager
Per saperne di piùOpenKeel: la soluzione Cloud sovrana, francese e di portata europea, del gruppo inherent Scopri inherent
Architettura
La console Skyline di OpenKeel è skyline-console upstream più cinque patch e un'estensione server: identità delegate per dominio cliente, Single Sign-On per dominio, credenziali EC2, costo e impronta di carbonio alla creazione, una dashboard FinOps / GreenOps e le metriche delle VM.
Un dominio Keystone per cliente, amministrato dai suoi manager
Per saperne di piùOgni dominio porta il proprio provider di identità OpenID Connect
Per saperne di piùGli utenti provenienti dall'IdP attendono un ruolo; i manager lo assegnano o li pre-autorizzano
Per saperne di piùChiavi di accesso e segrete per l'API EC2, per utenti e amministratori
Per saperne di piùCifre FinOps e GreenOps nei moduli di creazione e nel popup delle quote
Per saperne di piùUna dashboard dei costi e dell'impronta del progetto, e le metriche delle sue VM
Per saperne di piùKeystone delega la gestione degli utenti per dominio: un utente con il ruolo manager su un dominio ne crea utenti, gruppi e progetti e assegna manager, member o reader, mai admin e mai fuori dal dominio. OpenKeel dà a ogni cliente un dominio tutto suo.
| Cosa | Come | Stato |
|---|---|---|
| Un dominio per cliente | La risorsa OpenKeelCustomer (Kubernetes, con ambito cluster) dichiara il dominio, i suoi manager e i primi progetti; il controller keystone-customers li mantiene in Keystone e ripara le modifiche manuali ogni 10 minuti | Fatto |
| Manager | Ruolo manager sul dominio, ereditato dai suoi progetti perché Skyline accetti il loro accesso; password iniziale in un Secret, mai reimpostata dal controller | Fatto |
| Accesso | <utente>@<dominio> nel campo utente della console (alice@acme) | Fatto |
| Regole Keystone in Skyline | Le 204 regole keystone:* di Keystone 2026.2, verificate con un persona manager con ambito dominio (1.866 regole × 8 persona identiche) | Fatto |
| Menu Dominio della console di progetto | Dominio > Single Sign-On per gli utenti con manager o admin sul dominio | Fatto |
| Utenti, gruppi e progetti del dominio da Skyline | Le pagine Identità della console restano riservate agli amministratori di sistema: un manager usa ok o l'API con un token con ambito dominio | Da fare |
Eliminare un cliente: deletionPolicy: Retain disattiva il dominio e lo conserva; Delete lo rimuove con utenti, gruppi e progetti. Dettagli: openkeel-keystone/docs/CUSTOMERS.md.
Dominio > Single Sign-On, scheda Identity Provider: il manager collega il dominio all'IdP dell'azienda (Keycloak, Entra ID, Okta…). Le impostazioni vanno nell'OpenKeelCustomer del dominio; il controller scrive in Keystone il provider di identità, un mapping generato da OpenKeel (mai scritto dal cliente) e il protocollo openid.
| Impostazione | Ruolo |
|---|---|
| Attivato | Attiva o disattiva il Single Sign-On del dominio |
| Issuer URL | L'issuer OpenID Connect dell'IdP; il suo documento di discovery deve essere raggiungibile |
| Client ID, Client Secret | Il client della console presso l'IdP; il secret è in sola scrittura (mantenuto se lasciato vuoto) e conservato in un Secret Kubernetes |
| User Name Claim | Il claim che dà il nome all'utente nel dominio (default preferred_username) |
| Groups Claim, Group Mapping | Gruppi dell'IdP trasformati in appartenenze ai gruppi del dominio (cloud-admins = admins), gruppi creati se mancano |
| Testo del pulsante | Testo del pulsante di accesso |
| Redirect URI | Mostrato dalla pagina, da registrare nel client dell'IdP |
Gli utenti creati tramite l'IdP sono utenti ombra del solo dominio del cliente. Non ancora fatto: un host di console per cliente, per cui la pagina di accesso propone ancora gli IdP della configurazione di Skyline.
Dominio > Single Sign-On, scheda Users: nessuno entra nei progetti del dominio senza la decisione di un manager.
Un utente autenticato dall'IdP viene creato nel dominio senza ruolo: mostrato Pending
Il manager sceglie un ruolo: member, manager (sul dominio, ereditato dai suoi progetti) o none
none rimuove i ruoli e disattiva l'utente: Keystone revoca i suoi token
Add User: identificativo presso l'IdP, ruolo ed e-mail prima del primo accesso, che ritrova allora l'utente e il suo ruolo
Le chiavi di accesso e segrete dell'API EC2 di OpenKeel (AWS CLI, boto3, Terraform), gestite dalla console secondo le policy ec2_* di Keystone.
Identità > EC2 Credentials: le credenziali di tutti gli utenti con i nomi di utente e progetto; create per un utente e un progetto scelti, o eliminate.
Menu utente, accanto alle Application Credentials: l'utente crea credenziali per uno dei suoi progetti.
I moduli di creazione calcolano ciò che viene costruito tramite openkeel-pricing (POST /v1/quotes), con le tariffe unitarie dell'OpenKeelTenant del progetto: costo al mese (€) e impronta di carbonio all'anno (kg CO₂e).
| Dove | Cosa viene mostrato |
|---|---|
| Modulo istanza | Flavor, numero, volumi root e dati (il disco root del flavor è escluso quando l'istanza si avvia da un volume) |
| Modulo volume | Dimensione e numero |
| Zona DNS, connessione IPsec tra siti | Il costo e l'impronta annui della zona o della VPN |
| Popup delle quote dei moduli | Due schede sotto gli indicatori: il costo stimato del progetto al mese e la sua impronta di carbonio all'anno, sul suo utilizzo più ciò che il modulo aggiunge (vCPU, memoria, capacità dei volumi) |
Non viene mostrato nulla quando il catalogo non ha la voce pricing o nessun OpenKeelTenant fissa le tariffe.
kubevirt_vmi_* lette da Prometheus da skyline-apiserver (GET /extension/server_metrics)skyline-console resta upstream: l'immagine openkeel-skyline scarica un commit fissato della console e applica in ordine le patch di openkeel-skyline/console-patches prima di costruirla. La build fallisce quando una patch non si applica più, quindi una nuova versione della console non viene mai distribuita senza di esse. Ogni testo è presente in ogni lingua (tedesco e cinese tradotti).
Il lato server è openkeel-skyline, la riscrittura in Go di skyline-apiserver: inoltra i nuovi tipi di catalogo (pricing, rating, customer) come le API OpenStack e aggiunge GET /extension/server_metrics.