环境: 客户端:负责发送请求, 服务器:负责接受请求; 认证服务器keystone:负责认证
具体认证步骤:
1、客户端首先进行签名计算,将得到的签名字符串作为authorization发给keystone。利用secretkey计算签名,签名中包括:accesskey,时间戳,主机IP、端口,要找keystone进行校验的请求API,由于需要注意,keystone要求时间戳为UTC格式,所以需要转换为UTC,否则导致最后keystone验签失败,返回400 Bad Request,相关代码如下:
utc_time = datetime.datetime.utcnow().strftime('%Y-%m-%dT%H:%M:%SZ') host = "10.0.0.3:8787" # IP为客户端要访问的服务器的IP authorization = {'version': 'auth-v1', 'access': accesskey, 'timestamp': utc_time, 'period': '10800', 'signedheaders': '', 'signature': 'SIGNATURE_SPACE_HOLDER'} request = { 'method': 'POST', 'uri': '/data/add', 'params': { }, 'headers': { 'x-date': utc_time, 'Host': host, } }
之后,用户将计算好的签名插入到API请求头部,访问服务器,计算好的签名示例如下:
x-date:2017-05-31T05:06:30Z
Authorization:auth-v1/2d6e969a81384d03848708bbb4fb0bca/2017-05-31T05:06:30Z/1800/host;x-date/128709e9cd3b3ef751cff70028851641cca8ef3262f6e9d06514ac243b839a54
Content-Type:application/json
2、服务器收到客户端请求后,首先到keystone申请token,原因是keystone要求服务携带一个表征服务身份的token,放在X-Auth-Token请求头中,token有效期一般为半小时,发送的请求为(具体的参数是keystone要求的,必须严格一致,否则导致token不对)
params = json.dumps({ "auth": { "identity": { "methods": [ "password" ], "password": { "user": { "domain": { "id": "default" }, "name": username, "password": password } } }, "scope": { "domain": { "id": "default" } } }, })
请求响应中x-token就是需要的token
最后,服务器将客户的authorization,申请到的token,以及请求的信息Method(GET), Uri(/data/add); host(服务器IP)提交到keystone来进行验签
3、keystone基于请求信息进行签名的验算,向服务返回验签过通与否,如果验证通过,服务器执行用户请求的操作