<div class="socmaildefaultfont" dir="ltr" style="font-family:Arial, Helvetica, sans-serif;font-size:10pt" ><div dir="ltr" >Hi, Thomas</div>
<div dir="ltr" > </div>
<div dir="ltr" >Thanks for your reply.</div>
<div dir="ltr" > </div>
<div dir="ltr" >In your environment, you use the "root" user for authenticating with each other compute node, rather than the "nova" user, right?</div>
<div dir="ltr" >If so, why use the "root" user rather than the "nova" user then privilege the root permission to the "nova" user?</div>
<div dir="ltr" > </div>
<div dir="ltr" >Thanks</div>
<div dir="ltr" >Zhi Chang</div>
<blockquote data-history-content-modified="1" data-history-expanded="1" dir="ltr" style="border-left:solid #aaaaaa 2px; margin-left:5px; padding-left:5px; direction:ltr; margin-right:0px" >----- Original message -----<br>From: Thomas Goirand <zigo@debian.org><br>To: openstack-discuss@lists.openstack.org<br>Cc:<br>Subject: [EXTERNAL] Re: [nova] Why nova needs password-less SSH to do live migraiton?<br>Date: Tue, Nov 3, 2020 15:51<br> 
<div><font face="Default Monospace,Courier New,Courier,monospace" size="2" >On 11/3/20 6:51 AM, Zhi CZ Chang wrote:<br>> Hi, all<br>>  <br>> In the nova live migration doc[1], there is some description of libvirt<br>> configuration:<br>> "<br>> Enable password-less SSH so that root on one compute host can log on to<br>> any other compute host without providing a password.<br>> The |libvirtd| daemon, which runs as root, uses the SSH protocol to copy<br>> the instance to the destination and can’t know the passwords of all<br>> compute hosts.<br>> "<br>> According to the description, I understand that the libvirtd daemon runs<br>> as the root user for remote copy the instance to the destination.<br>>  <br>> My question is, why make the libvirtd daemon runs as the "root" user for<br>> copy instance rather than other users, like the "nova" user?<br>>  <br>>  <br>> Thanks<br>> Zhi Chang<br><br>Hi,<br><br>What's needed is password-less (ie: key authentication) under the nova<br>user, not root.<br><br>What I did was having the ssh host keys signed, so that nodes can<br>authenticate with each other in a secure way. I strongly recommend doing<br>that, instead of blindly trusting ssh keys, which could potentially mean<br>someone could be in the middle.<br><br>Cheers,<br><br>Thomas Goirand (zigo)</font><br> </div></blockquote>
<div dir="ltr" > </div></div><BR>