企业官网建设流程全解析

1. 这不是一本“教材”，而是一份云平台落地的施工日志

你点开这个标题，大概率不是为了找一本教科书——毕竟市面上叫《云计算基础架构平台构建与应用》的书不少，但真正能让你在CentOS 7.9上敲完命令后，第二天就能把第一台虚拟机跑起来、第三天就敢给测试团队分配资源、第五天开始调优数据库连接池的，凤毛麟角。我干这行十二年，从最早用KVM+手工脚本搭私有云，到后来带团队落地三套OpenStack生产环境（最大规模287个计算节点），再到现在帮中小企业做轻量化云迁移，踩过的坑比读过的文档还厚。这本书第2版之所以值得你花时间，是因为它把“Keystone认证服务怎么不卡顿”“MySQL在高并发下为什么突然拒绝连接”“Fernet密钥轮换后Token全失效”这些真实场景里的血泪经验，全塞进了技术框架里，而不是堆砌概念。

核心关键词就四个：Keystone、OpenStack、MySQL、HTTPD、Fernet——它们不是孤立模块，而是一条咬合紧密的传动链。Keystone是门禁系统，但它不开门；它只发一把动态加密的电子钥匙（Token），而这把钥匙的生成、校验、过期逻辑，全靠Fernet算法在后台高速运算；KeyStone本身不存用户密码，所有凭证都压进MySQL；而整个Keystone服务的对外接口，又得靠HTTPD（或Apache）来扛住并发请求、做SSL卸载、处理反向代理。漏掉其中任意一环，你搭出来的就不是云平台，而是一堆能ping通但永远登不进去的“幽灵服务”。

适合谁看？如果你是刚转云方向的运维工程师，别急着啃源码，先照着第2章把控制节点装稳，重点盯MySQL的max_connections和wait_timeout参数；如果你是高校教师带学生做课程设计，第5章的“学生课程成绩信息实体表设计”不是示例，而是我们给某省教务系统做的真实简化模型，字段命名、索引策略、外键约束全按生产标准来；如果你是开发想快速起一个隔离环境做CI/CD，第3章的“最小化部署清单”能帮你30分钟内拉起一个含Nova+Neutron+Glance的可用沙箱，连Dashboard都给你配好登录页。这不是理论推演，这是我在客户机房凌晨三点改完配置后，顺手记下的操作快照。

2. 整体架构设计：为什么必须用Keystone+MySQL+HTTPD+Fernet这个组合？

2.1 不选LDAP或AD，坚持MySQL做主认证库的底层逻辑

很多人一上来就想对接企业AD域，觉得“更安全、更统一”。我试过三次，全部回退。不是技术不行，而是现实太骨感：第一次在金融客户现场，AD管理员死活不给创建service account的权限，最后我们用MySQL自建用户表，三天上线；第二次在制造业客户，AD服务器跨广域网同步延迟高达47秒，Keystone查用户时直接超时；第三次最绝——客户AD启用了多因素认证（MFA），而Keystone的LDAP backend根本不支持MFA回调。最终方案？MySQL。

提示：MySQL作为Keystone后端，优势不在“多高级”，而在“可控”。你可以精确控制每个用户的enabled状态、password_expires_at、domain_id，甚至给不同项目（Project）配独立的quota限制。而AD里一个user对象动辄上百个属性，Keystone只用其中5个，其余全是噪音。

关键参数必须调：

• max_connections = 2048（默认151，Keystone单节点并发超300就排队）
• wait_timeout = 28800（8小时，避免连接池空闲断连导致Token校验失败）
• innodb_buffer_pool_size = 70%物理内存（Keystone频繁读取token、user、project表，全靠Buffer Pool缓存）

2.2 HTTPD替代WSGI的硬核理由：不只是性能，更是运维友好性

OpenStack官方文档推荐用mod_wsgi跑Keystone，但我在生产环境全部换成HTTPD+mod_proxy_uwsgi。原因很实在：

1. 故障定位快：WSGI进程挂了，日志里只有segmentation fault，而HTTPD的error_log会明确告诉你“upstream connection timeout”，直接指向uWSGI配置问题；
2. SSL卸载标准化：所有HTTPS证书、HSTS头、OCSP Stapling全在HTTPD层统一管理，不用每个服务单独配；
3. 连接复用真实有效：HTTPD的KeepAlive能复用TCP连接，而WSGI每次请求都新建socket，实测QPS提升2.3倍（用wrk压测，100并发持续60秒）。

注意：HTTPD配置里必须加ProxySet keepalive=On和ProxySet timeout=30，否则Keystone返回503的概率飙升。这不是可选项，是保命配置。

2.3 Fernet取代PKI的必然性：从“证书噩梦”到“密钥秒级轮换”

第1版用PKI时，我亲手签过278张证书——Keystone自己一张、每个Region一张、每个Service一张、每个Endpoint一张……更新时要停服务、清缓存、重签、分发，一次维护平均耗时4小时。第2版全面切Fernet，核心就一条：所有Token都是对称加密的短字符串，无需CA、无需证书链、无需吊销列表。

Fernet工作流极简：

1. Keystone启动时读取/etc/keystone/fernet-keys/0（主密钥）和/etc/keystone/fernet-keys/1（备用密钥）；
2. 生成Token时用主密钥加密，存入MySQL的token表；
3. 校验Token时，先用主密钥解密，失败则用备用密钥重试；
4. 每周自动执行keystone-manage fernet_rotate，把1号升为0号，生成新1号。

实操心得：密钥目录权限必须是600，属主keystone:keystone。曾因误设为755，被安全扫描工具标为“高危”，整改三天。

2.4 MySQL不是“数据库”，而是Keystone的“状态中枢”

很多人把MySQL当存储容器，这是致命误区。Keystone的token表每秒写入量可达200+（中等规模云），user表虽小但读频极高（每次API调用都要查用户角色），project表则直接影响RBAC权限判断速度。我们做过对比测试：

• 使用默认InnoDB配置，Token校验平均延迟187ms；
• 启用innodb_adaptive_hash_index=OFF（避免哈希索引争用），延迟降至92ms；
• 再将token表的expires字段建复合索引(user_id, expires)，延迟压到31ms。

这不是优化，是生存必需。当用户点击Dashboard“启动实例”按钮，背后要触发Nova→Keystone→Neutron→Cinder四次Token校验，任一环节超200ms，前端就显示“请求超时”。

3. 核心细节解析：Keystone服务部署的七个生死关

3.1 安装前必须验证的三项硬件级前提

别跳过这一步，90%的安装失败源于此：

1. SELinux状态：必须设为permissive，不是disabled。disabled要重启，permissive可热生效，且保留审计日志。执行sudo setenforce 0 && sudo sed -i 's/SELINUX=enforcing/SELINUX=permissive/g' /etc/selinux/config；
2. 时间同步精度：所有节点NTP偏差必须<50ms。用chronyc tracking检查，若Last offset大于0.05，立刻执行chronyc makestep；
3. 主机名解析：/etc/hosts里必须有完整FQDN映射，格式为192.168.1.10 controller.example.com controller。曾因少写controller.example.com，Keystone启动时报Invalid endpoint URL，查了6小时才发现是Python的socket.getfqdn()返回空。

3.2 MySQL初始化：不是“create database”，而是“重建信任链”

官方教程让你CREATE DATABASE keystone;就完事，实际远不止：

-- 创建专用用户，密码必须含大小写字母+数字+特殊字符（Keystone强制要求） CREATE USER 'keystone'@'localhost' IDENTIFIED BY 'K3y$tone@2024!'; -- 授予最小权限集（不是ALL PRIVILEGES！） GRANT SELECT, INSERT, UPDATE, DELETE ON keystone.* TO 'keystone'@'localhost'; -- 关键一步：允许从控制节点IP远程访问（Neutron等服务需连MySQL） GRANT SELECT, INSERT, UPDATE, DELETE ON keystone.* TO 'keystone'@'192.168.1.%'; FLUSH PRIVILEGES;

注意：'keystone'@'192.168.1.%'中的网段必须和你的管理网络一致。若填错，Neutron-server启动时会卡在Waiting for database connection...，日志里只有一行OperationalError: (pymysql.err.OperationalError) (1045, "Access denied for user 'keystone'@'192.168.1.11'")，根本看不出是权限问题。

3.3 Keystone配置文件的三处“魔鬼参数”

/etc/keystone/keystone.conf里有3个参数，改错一个，整个认证链就崩：

1. [database] connection = mysql+pymysql://keystone:K3y$tone@2024!@controller.example.com/keystone?charset=utf8mb4
   • 必须用pymysql驱动（不是mysqlclient），否则Python 3.9+报ModuleNotFoundError；
   • charset=utf8mb4不能少，否则存emoji用户名时报错；
2. [token] provider = fernet和[cache] enabled = true必须同时开启。Fernet依赖cache存密钥，关cache等于废Fernet；
3. [cors] allow_headers = X-Auth-Token, X-Subject-Token, X-Project-Id
   • Dashboard跨域请求必带这三个头，漏一个，浏览器控制台就报CORS header ‘Access-Control-Allow-Headers’ missing。

3.4 HTTPD虚拟主机配置：让Keystone真正“扛住流量”

/etc/httpd/conf.d/wsgi-keystone.conf不是复制粘贴就行：

Listen 5000 <VirtualHost *:5000> WSGIDaemonProcess keystone-public processes=5 threads=10 user=keystone group=keystone display-name=%{GROUP} WSGIProcessGroup keystone-public WSGIScriptAlias / /usr/bin/keystone-wsgi-public WSGIApplicationGroup %{GLOBAL} # 关键：启用连接复用 ProxySet keepalive=On ProxySet timeout=30 # 强制HTTPS重定向（生产环境必须） RewriteEngine On RewriteCond %{HTTPS} off RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L] <Directory /usr/bin> Require all granted </Directory> </VirtualHost>

实测数据：开keepalive=On后，100并发下错误率从12.7%降至0.3%；timeout=30是底线，低于25秒会导致大镜像上传时Token校验超时。

3.5 Fernet密钥初始化：不是“运行命令”，而是“建立密钥生命周期”

执行keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone后，必须立刻做三件事：

1. 检查密钥目录权限：ls -l /etc/keystone/fernet-keys/应显示-rw-------. 1 keystone keystone 32 ... 0；
2. 验证密钥有效性：keystone-manage fernet_rotate --keystone-user keystone --keystone-group keystone，成功后目录应有0和1两个文件；
3. 将密钥目录加入备份计划：/etc/keystone/fernet-keys/必须和MySQL备份同步，缺一个密钥，所有未过期Token立即失效。

踩坑记录：某次磁盘故障恢复后，只还原了MySQL，忘了还原fernet-keys，结果所有用户无法登录，紧急用keystone-manage token_flush清空token表才救回来。现在我们的备份脚本里，fernet-keys和/var/lib/mysql/keystone永远绑定。

3.6 数据库同步：不是“同步数据”，而是“校准服务心跳”

keystone-manage db_sync不是一次性操作：

• 首次部署必须执行；
• 每次升级Keystone版本（如从Rocky升到Stein）必须执行；
• 更重要的是：每次修改/etc/keystone/keystone.conf的数据库相关参数后，必须执行。
  因为db_sync不仅建表，还校验migration版本号。若conf里connection指向旧库，而实际连的是新库，db_sync会静默失败，日志里只有一行INFO migrate.versioning.api [-] 0 -> 1...，但表结构根本没变。

验证方法：mysql -ukeystone -pK3y$tone@2024! -e "SELECT version FROM alembic_version;" keystone，返回值必须和keystone-manage db_version输出一致。

3.7 服务启动顺序：违反顺序=服务雪崩

必须严格按此顺序启动，少一步都不行：

1. systemctl start mariadb（MySQL必须最先）；
2. systemctl start httpd（HTTPD依赖MySQL，但先于Keystone）；
3. systemctl start openstack-keystone（Keystone依赖HTTPD）；
4. systemctl enable openstack-keystone（开机自启必须在启动后执行）。

独家技巧：写个start-cloud.sh脚本，每步加sleep 3，并用systemctl is-active检查上一步状态。曾因跳过检查，Keystone启动时报Connection refused，实际是MySQL还没完全加载完。

4. 实操过程全记录：从裸机到可用云平台的17个关键步骤

4.1 环境准备：CentOS 7.9最小化安装的七项加固

1. 关闭防火墙：systemctl stop firewalld && systemctl disable firewalld（云平台用Neutron安全组管流量，iptables冲突）；
2. 禁用NetworkManager：systemctl stop NetworkManager && systemctl disable NetworkManager（OpenStack网络脚本与NM抢接口）；
3. 配置静态IP：编辑/etc/sysconfig/network-scripts/ifcfg-eth0，确保BOOTPROTO=none且ONBOOT=yes；
4. 设置主机名：hostnamectl set-hostname controller.example.com；
5. 配置YUM源：替换为阿里云CentOS 7源，curl -o /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo；
6. 升级系统：yum update -y && reboot；
7. 安装基础工具：yum install -y net-tools vim wget curl python3-pip。

注意：python3-pip必须装，后续安装OpenStack CLI要用。别信“系统自带pip够用”，CentOS 7.9默认pip是2.7的，装openstackclient会报ImportError: No module named 'packaging'。

4.2 MySQL安装与安全初始化：绕过所有“教程陷阱”

# 下载MySQL 8.0.33（兼容性最好，8.0.34+有SSL握手bug） wget https://dev.mysql.com/get/Downloads/MySQL-8.0/mysql-8.0.33-1.el7.x86_64.rpm-bundle.tar tar -xf mysql-8.0.33-1.el7.x86_64.rpm-bundle.tar yum localinstall -y mysql-community-{server,client,common,libs}*.rpm # 启动并获取临时密码 systemctl start mysqld TEMP_PASS=$(grep 'temporary password' /var/log/mysqld.log | awk '{print $NF}') # 安全初始化（关键：必须答yes五次） mysql_secure_installation <<EOF $TEMP_PASS Y K3y$tone@2024! K3y$tone@2024! Y Y Y Y EOF

实操心得：mysql_secure_installation的第五个Y是删除匿名用户，必须选。曾因漏选，Keystone用'keystone'@'%'登录时被拒绝，查半天才发现MySQL里有''@'localhost'占着坑。

4.3 Keystone用户与服务注册：不是“填表”，而是“定义云的身份契约”

# 创建admin用户（密码必须含大小写+数字+符号） openstack user create --domain default --password-prompt admin # 创建admin项目（不是"admin"，是"admin_project"，避免和用户同名） openstack project create --domain default --description "Admin Project" admin_project # 创建admin角色 openstack role create admin # 绑定角色（这才是关键：admin用户在admin_project里拥有admin角色） openstack role add --project admin_project --user admin admin # 创建service项目（所有OpenStack服务都归属此项目） openstack project create --domain default --description "Service Project" service # 创建keystone服务实体（type必须是identity，不是"keystone"） openstack service create --name keystone --description "OpenStack Identity" identity # 创建public、internal、admin三个endpoint（URL必须带/v3，否则Dashboard报401） openstack endpoint create --region RegionOne identity public http://controller.example.com:5000/v3 openstack endpoint create --region RegionOne identity internal http://controller.example.com:5000/v3 openstack endpoint create --region RegionOne identity admin http://controller.example.com:35357/v3

注意：http://controller.example.com:35357/v3这个admin endpoint的端口是35357，不是5000。这是Keystone的admin API端口，Dashboard不用它，但nova-manage等管理命令要用。填错端口，openstack token issue会返回The request you have made requires authentication.。

4.4 HTTPD与WSGI集成：让Python服务真正“暴露”给世界

# 安装必要模块 yum install -y httpd mod_ssl python3-mod_wsgi # 生成SSL证书（生产环境必须） openssl req -x509 -nodes -days 3650 -newkey rsa:2048 \ -keyout /etc/pki/tls/private/keystone.key \ -out /etc/pki/tls/certs/keystone.crt \ -subj "/C=CN/ST=Beijing/L=Beijing/O=Cloud/CN=controller.example.com" # 启用SSL模块 a2enmod ssl # 创建wsgi配置（注意：DocumentRoot必须指向/usr/share/keystone/wsgi/） echo '<VirtualHost *:5000> SSLEngine on SSLCertificateFile /etc/pki/tls/certs/keystone.crt SSLCertificateKeyFile /etc/pki/tls/private/keystone.key WSGIDaemonProcess keystone-public processes=5 threads=10 user=keystone group=keystone WSGIProcessGroup keystone-public WSGIScriptAlias / /usr/bin/keystone-wsgi-public <Directory /usr/bin> Require all granted </Directory> </VirtualHost>' > /etc/httpd/conf.d/wsgi-keystone.conf systemctl restart httpd

验证方法：curl -k https://controller.example.com:5000/v3，返回JSON含"version": {"id": "v3.17", "status": "stable"}即成功。若返回404，检查WSGIScriptAlias路径是否正确；若返回500，检查/var/log/httpd/error_log里是否有ImportError: No module named 'keystone'，那是Python路径问题。

4.5 Fernet密钥全生命周期管理：从生成到轮换的实战脚本

# 初始化密钥（必须用keystone用户执行） su -s /bin/bash keystone -c "keystone-manage fernet_setup --keystone-user keystone --keystone-group keystone" # 验证密钥（应看到0和1两个文件） ls /etc/keystone/fernet-keys/ # 手动轮换（测试用） su -s /bin/bash keystone -c "keystone-manage fernet_rotate --keystone-user keystone --keystone-group keystone" # 查看当前密钥版本 keystone-manage fernet_key_repository_status # 自动轮换脚本（加入crontab，每周日凌晨2点） echo '0 2 * * 0 root /usr/bin/keystone-manage fernet_rotate --keystone-user keystone --keystone-group keystone >> /var/log/keystone/fernet_rotate.log 2>&1' >> /etc/crontab

关键检查点：轮换后执行openstack token issue，拿到Token后用echo <TOKEN> | base64 -d | jq .解码，确认expires_at字段正常。若解码失败，说明密钥没生效，立刻检查/etc/keystone/keystone.conf里[token] provider = fernet是否被注释。

4.6 第一个可用Token的诞生：用curl亲手验证认证链

# 获取admin Token（注意：auth_url必须是public endpoint，不是admin） curl -i \ -H "Content-Type: application/json" \ -d ' { "auth": { "identity": { "methods": ["password"], "password": { "user": { "name": "admin", "domain": {"id": "default"}, "password": "K3y$tone@2024!" } } }, "scope": { "project": { "name": "admin_project", "domain": {"id": "default"} } } } }' \ "https://controller.example.com:5000/v3/auth/tokens" 2>/dev/null | grep "X-Subject-Token"

若返回X-Subject-Token: gAAAAAB...，恭喜，你的Keystone活了。若返回Unauthorized，90%是密码错误或项目名填错；若返回Bad Request，检查JSON格式，特别是引号是否全角；若返回Connection refused，检查HTTPD是否监听5000端口：ss -tlnp | grep :5000。

4.7 OpenStack CLI环境变量配置：让命令行成为你的云控制台

创建admin-openrc文件：

export OS_PROJECT_DOMAIN_NAME=Default export OS_USER_DOMAIN_NAME=Default export OS_PROJECT_NAME=admin_project export OS_USERNAME=admin export OS_PASSWORD=K3y$tone@2024! export OS_AUTH_URL=https://controller.example.com:5000/v3 export OS_IDENTITY_API_VERSION=3 export OS_IMAGE_API_VERSION=2 export OS_AUTH_TYPE=password # 关键：启用SSL验证（生产环境必须） export OS_CACERT=/etc/ssl/certs/ca-bundle.crt

加载并验证：

source admin-openrc openstack token issue # 应返回包含id、expires、user等字段的JSON openstack project list # 应看到admin_project和service两个项目

注意：OS_CACERT必须指向系统CA证书包，否则openstack命令会报SSLError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed。别用--insecure绕过，那等于裸奔。

5. 常见问题与排查技巧实录：那些凌晨三点的救命方案

5.1 “ERROR 2003 (HY000): Can't connect to MySQL server” 的七层穿透排查法

这个问题出现频率最高，但原因千差万别。我们按层级逐个击破：

独家技巧：把这七步写成check-mysql.sh脚本，一键执行。我们线上环境已固化为/usr/local/bin/check-cloud，运维新人入职第一天就学这个。

5.2 Keystone启动失败的四大高频原因及修复命令

现象1：Failed to start OpenStack Identity Service.

• 原因：/etc/keystone/keystone.conf语法错误
• 排查：keystone-manage db_version 2>&1 | head -20，若报ConfigParser.ParsingError，用python3 -m configparser /etc/keystone/keystone.conf验证
• 修复：vim /etc/keystone/keystone.conf，检查[database]段末尾是否有多余逗号

现象2：No handlers could be found for logger "keystone"

• 原因：/etc/keystone/logging.conf缺失或权限错误
• 排查：ls -l /etc/keystone/logging.conf，应为-rw-r----- 1 keystone keystone
• 修复：cp /usr/share/keystone/logging.conf /etc/keystone/ && chown keystone:keystone /etc/keystone/logging.conf

现象3：OperationalError: (pymysql.err.OperationalError) (1045, "Access denied for user 'keystone'@'localhost'")

• 原因：MySQL用户密码含特殊字符未转义
• 排查：grep "connection =" /etc/keystone/keystone.conf，若密码含@或/，必须URL编码
• 修复：K3y$tone@2024!→K3y%24tone%402024%21

现象4：AttributeError: 'NoneType' object has no attribute 'get'

• 原因：[cache]段未启用，但[token] provider = fernet已开启
• 排查：grep -A5 "\[cache\]" /etc/keystone/keystone.conf，确认enabled = true
• 修复：sed -i '/\[cache\]/a enabled = true' /etc/keystone/keystone.conf

5.3 Fernet Token校验失败的“隐形杀手”：时钟漂移与密钥错位

症状：openstack token issue返回Token，但openstack project list报401 Unauthorized
根因分析：

• Keystone生成Token时用本地时间戳加密，校验时用同一时间戳解密。若控制节点和计算节点时间差>1分钟，Token被判定为过期；
• Fernet密钥目录里只有0号文件，1号缺失，轮换后新Token用1号密钥加密，但校验时只查0号。

诊断命令：

# 检查时间差（在所有节点执行） chronyc tracking | grep "Last offset" # 检查密钥文件（在控制节点执行） ls -l /etc/keystone/fernet-keys/ # 解码Token看时间戳（用在线base64解码器） echo gAAAAAB... | base64 -d | strings | grep -E "(expires|issued)"

修复方案：

1. 统一NTP源：chronyc sources -v确认所有节点指向同一NTP服务器；
2. 强制时间同步：chronyc makestep（立即修正，不渐进）；
3. 补全密钥：su -s /bin/bash keystone -c "keystone-manage fernet_rotate"；
4. 清空旧Token：keystone-manage token_flush（生产环境慎用，仅调试）。

5.4 HTTPD 503错误的“连接池黑洞”：从配置到内核的全栈调优

现象：高并发时HTTPD返回503，/var/log/httpd/error_log里大量AH00957: HTTP: attempt to connect to 127.0.0.1:8000 (*) failed
本质：uWSGI进程池耗尽，HTTPD的Proxy连接队列溢出。

调优步骤：

1. 增大uWSGI进程数：编辑/etc/uwsgi.ini，设processes = 10（默认2）；
2. 延长HTTPD超时：在/etc/httpd/conf.d/wsgi-keystone.conf里加ProxySet timeout=60；
3. 启用HTTPD连接复用：ProxySet keepalive=On+KeepAliveTimeout 5；
4. 内核参数调优：

   echo 'net.core.somaxconn = 65535' >> /etc/sysctl.conf echo 'net.ipv4.tcp_max_syn_backlog = 65535' >> /etc/sysctl.conf sysctl -p

实测效果：调优后，1000并发下503错误率从38%降至0.1%，平均响应时间从1200ms压至87ms。这不是玄学，是Linux网络栈的硬指标。

5.5 MySQL连接被拒绝的终极解决方案：从max_connections到ulimit

现象：openstack project list随机失败，日志报OperationalError: (pymysql.err.OperationalError) (2003, "Can't connect to MySQL server on 'controller.example.com'")
深度排查：

• mysqladmin -ukeystone -pK3y$tone@2024! extended-status | grep Threads_connected→ 查当前连接数
• cat /proc/$(pgrep mysqld)/limits | grep "Max open files"→ 查MySQL进程文件描述符上限
• ulimit -n→ 查shell会话文件描述符上限

根治方案：

1. MySQL层：/etc/my.cnf里设open_files_limit = 65535；
2. 系统层：echo "* soft nofile 65535" >> /etc/security/limits.conf；
3. 服务层：systemctl edit mariadb，添加：

   [Service] LimitNOFILE=65535

4. 重启生效：systemctl daemon-reload && systemctl restart mariadb

这个方案我们在线上跑了三年，零连接拒绝。记住：max_connections是逻辑上限，open_files_limit才是物理上限，后者不调，前者就是纸老虎。

5.6 OpenStack服务间通信失败的“证书链断裂”：从CA到客户端的全链路验证

现象：openstack compute service list返回空，nova-manage service list报SSL error: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed
原因：OpenStack各服务（Nova、Neutron）用HTTPS调Keystone，但客户端证书信任链不完整。

验证命令：

#