<div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex;"><span style="border-collapse:collapse;font-family:arial, sans-serif;font-size:13px"><div><br></div>
<div>However, I think we want the same credentials for users ('username' & 'password'), irrespective of the API (or auth protocol) they're using.  I think the weird terminology is what got us into the odd situation in which we now find ourselves where there are two sets of credentials (and one set exposes the secret of the other set!)</div>

<div><br></div></span></blockquote><div><br></div><div>The exposing of the secret is not true, they are just named differently.  Lets pretend you want to generalize the naming of everything via the EC2 api (api_key, api_secret).  If you switch to using OpenStack auth, then you would send the api_key as the username, and the api_secret as the api_key.   There is no exposure of the secret key.</div>
<div><br></div><div>--</div><div>Chuck</div></div>