Keystone初始化报错：数据库连接失败

Question

Keystone初始化时报“数据库连接失败”是常见问题，通常源于配置文件中数据库连接字符串（connection）设置错误，如主机地址、端口、用户名、密码或数据库名不正确。此外，MySQL或PostgreSQL服务未启动、网络策略限制、防火墙阻挡3306/5432端口，或数据库未提前创建并授权，均会导致连接失败。建议检查/etc/keystone/keystone.conf中的[database]配置项，确认服务可达性与凭证有效性。

Answer 1

Keystone初始化数据库连接失败问题深度解析与实战排查指南

1. 问题现象与初步诊断

在OpenStack部署过程中，Keystone作为身份认证服务的核心组件，在执行keystone-manage db_sync时频繁报出“数据库连接失败”错误。典型日志信息如下：

    sqlalchemy.exc.OperationalError: (MySQLdb._exceptions.OperationalError) 
    (2003, "Can't connect to MySQL server on '192.168.1.10' (111)")
    

该错误提示表明Keystone无法通过配置的连接字符串访问后端数据库。首要怀疑对象为/etc/keystone/keystone.conf中的[database]段落配置。

2. 配置文件检查：connection参数详解

查看Keystone配置文件的关键部分：

[database]
connection = mysql+pymysql://keystone:KEYSTONE_DBPASS@192.168.1.10/keystone

其中各字段含义如下：

• mysql+pymysql：使用的数据库驱动类型
• keystone：数据库用户名
• KEYSTONE_DBPASS：用户密码
• 192.168.1.10：数据库服务器IP地址
• keystone：目标数据库名

任一字段错误均会导致连接失败，尤其是密码或IP写错最为常见。

3. 数据库服务状态验证流程

即使配置正确，若数据库服务未运行，连接仍会失败。可通过以下命令验证：

数据库类型	服务名	检查命令
MySQL	mysqld	systemctl status mysqld
PostgreSQL	postgresql	systemctl status postgresql

确保服务处于active (running)状态，否则需启动服务并设置开机自启。

4. 网络连通性与端口可达性测试

使用telnet或nc命令测试数据库端口开放情况：

telnet 192.168.1.10 3306
# 或
nc -zv 192.168.1.10 5432

若连接超时或被拒绝，需排查网络策略、安全组规则或防火墙设置。例如CentOS中：

firewall-cmd --list-ports | grep 3306
firewall-cmd --add-port=3306/tcp --permanent
firewall-cmd --reload

5. 数据库预创建与权限授权实践

Keystone要求数据库和用户预先存在并具备相应权限。以MySQL为例：

CREATE DATABASE keystone;
GRANT ALL PRIVILEGES ON keystone.* TO 'keystone'@'%' IDENTIFIED BY 'KEYSTONE_DBPASS';
FLUSH PRIVILEGES;

注意@'%'表示允许远程连接，若仅限本地可使用@'localhost'或具体IP。

6. 多维度故障排查流程图

graph TD
            A[Keystone db_sync失败] --> B{检查/etc/keystone/keystone.conf}
            B --> C[connection参数是否正确?]
            C -->|否| D[修正主机/IP/端口/用户/密码/DB名]
            C -->|是| E[数据库服务是否运行?]
            E -->|否| F[启动MySQL/PostgreSQL服务]
            E -->|是| G[网络是否可达?]
            G -->|否| H[检查防火墙/安全组/路由]
            G -->|是| I[用户权限是否正确?]
            I -->|否| J[重新授权用户访问权限]
            I -->|是| K[尝试手动连接测试]

7. 手动连接测试验证凭证有效性

使用与Keystone相同的凭据进行外部连接测试：

pymysql.connect(
    host='192.168.1.10',
    user='keystone',
    password='KEYSTONE_DBPASS',
    database='keystone'
)

或使用命令行工具：

mysql -ukeystone -pKEYSTONE_DBPASS -h 192.168.1.10 -D keystone

成功登录则说明凭证无误，问题可能出在Keystone环境依赖上。

8. 日志分析与高级调试技巧

深入/var/log/keystone/keystone.log查看详细堆栈信息，关注SQLAlchemy异常链：

• Connection refused → 网络或服务问题
• Access denied → 用户名/密码/权限问题
• Unknown database → DB未创建或拼写错误
• Host not allowed → 用户host限制

启用SQLAlchemy echo模式可输出执行语句，便于定位。

9. 容器化部署中的特殊考量

在Docker或Kubernetes环境中，需额外注意：

• 容器间网络互通（bridge/network policy）
• 环境变量注入connection字符串
• InitContainer等待数据库就绪
• Secret管理敏感信息如密码

建议使用健康检查探针确保数据库Ready后再启动Keystone。

10. 自动化检测脚本示例

编写Shell脚本批量验证关键点：

#!/bin/bash
DB_HOST="192.168.1.10"
DB_PORT="3306"
timeout 3 bash -c "cat </dev/null >/dev/tcp/$DB_HOST/$DB_PORT" && echo "Port open" || echo "Port closed"
systemctl is-active mysqld && echo "MySQL running" || echo "MySQL stopped"

结合CI/CD流水线实现部署前自动校验。