OpenStack Identity服务提供单点集成，用于管理身份验证，授权和服务目录。
身份服务通常是用户与之交互的第一个服务。经过身份验证后，最终用户可以使用其身份访问其他OpenStack服务。
同样，其他OpenStack服务利用身份服务来确保用户是他们所声称的人，并发现部署中的其他服务。 
Identity服务还可以与某些外部用户管理系统（例如LDAP）集成。

用户和服务可以使用由Identity服务管理的服务目录来查找其他服务。顾名思义，服务目录是OpenStack部署中可用服务的集合。
每个服务可以有一个或多个端点，每个端点可以是以下三种类型之一：admin，internal或public。
在生产环境中，出于安全原因，不同的端点类型可能驻留在暴露给不同类型用户的不同网络上。例如，公共API网络可能从Internet上可见，因此客户可以管理他们的云。
管理API网络可能仅限于管理云基础架构的组织内的运营商。内部API网络可能仅限于包含OpenStack服务的主机。此外，OpenStack支持多个区域以实现可伸缩性。
为简单起见，本指南将管理网络用于所有端点类型和默认的RegionOne区域。在身份服务中创建的区域，服务和端点一起构成部署的服务目录。
部署中的每个OpenStack服务都需要一个服务条目，其中相应的端点存储在Identity服务中。这可以在安装和配置Identity服务之后完成。

一个中心化的服务器使用RESTful 接口来提供认证和授权服务。
驱动或服务后端被整合进集中式服务器中。它们被用来访问OpenStack外部仓库的身份信息, 并且它们可能已经存在于OpenStack被部署在的基础设施（例如，SQL数据库或LDAP服务器）中。
中间件模块运行于使用身份认证服务的OpenStack组件的地址空间中。这些模块拦截服务请求，取出用户凭据，并将它们送入中央是服务器寻求授权。
中间件模块和OpenStack组件间的整合使用Python Web服务器网关接口。

本节介绍如何在控制器节点上安装和配置代号为keystone的OpenStack Identity服务。 出于可伸缩性的目的，此配置部署了Fernet令牌和Apache HTTP服务器来处理请求。
在安装和配置Identity服务之前，必须创建数据库。

上一节使用环境变量和命令选项的组合，通过openstack客户端与Identity服务进行交互。
为了提高客户端操作的效率，OpenStack支持简单的客户端环境脚本，也称为OpenRC文件。
这些脚本通常包含所有客户端的公共选项，但也支持唯一选项。 有关更多信息，请参阅“OpenStack最终用户指南”。
创建 admin 和 ``demo``项目和用户创建客户端环境变量脚本。本指南的接下来的部分会引用这些脚本，为客户端操作加载合适的的凭证。
客户端环境脚本的路径不受限制。 为方便起见，您可以将脚本放在任何位置，但请确保它们是可访问的。