调用OpenStack REST API POST创建服务器返回403错误如何修复

接口返回403的核心原因是请求携带的身份令牌不具备目标项目的资源操作权限，由以下几个明确问题导致：

• 核心结构错误：获取令牌的请求体不符合Keystone v3 API规范，project字段被错误放在identity层级下。OpenStack v3认证接口中，项目作用域（scope）是和identity平级的字段，放错位置会直接返回无作用域（unscoped）令牌，这类令牌没有任何项目资源的操作权限，调用创建实例接口必然返回403。
• 参数配置错误：创建服务器请求里的flavorRef传值"0"不符合规范，该字段要求传云主机规格的完整UUID，或对应规格的API访问路径，传0即使权限校验通过也会触发参数拦截，部分部署场景下会直接返回403。
• 潜在权限问题：如果令牌结构修正后仍返回403，需要确认test账号在目标项目（ID：7646jkkjds876tdsuhi87fd4d2a953ca3f4）下是否绑定了实例创建相关角色（如member角色），无角色绑定的账号即使拿到项目作用域令牌，也没有操作资源的权限。

1. 修正获取令牌的请求体 #

正确的v3密码认证+指定项目作用域的请求体结构如下，注意scope字段和identity平级：

{
  "auth": {
    "identity": {
      "methods": ["password"],
      "password": {
        "user": {
          "domain": {"name": "default"},
          "name": "test",
          "password": "zxcZXC123@"
        }
      }
    },
    "scope": {
      "project": {
        "id": "7646jkkjds876tdsuhi87fd4d2a953ca3f4"
      }
    }
  }
}

用修正后的请求调用Keystone的/v3/auth/tokens接口，从响应头的X-Subject-Token字段拿到的就是具备目标项目操作权限的有效令牌。

2. 修正创建服务器的请求参数 #

先携带有效令牌调用云主机规格列表接口（/v2.1/flavors），查询到你要使用的规格对应的完整UUID，替换掉原请求里flavorRef字段的"0"，修正后的请求体参考：

{
  "server": {
    "name": "test-vm1",
    "imageRef": "c8d859c9-ce15-4673-a486-5524ba1e41ff",
    "flavorRef": "替换为实际查询到的flavor UUID",
    "max_count": 1,
    "min_count": 1,
    "networks": [
      {
        "uuid": "01f1888b-1d12-4e6c-9936-d8175e71f311"
      }
    ],
    "security_groups": [
      {
        "name": "default"
      }
    ]
  }
}

3. 校验请求头配置 #

调用创建服务器接口（/v2.1/servers）时，必须携带两个核心请求头：

• X-Auth-Token: 前面步骤获取的有效项目作用域令牌
• Content-Type: application/json

4. 权限兜底校验 #

如果以上步骤都修正后仍返回403，联系OpenStack管理员确认test账号在目标项目下是否绑定了member及以上权限角色，未绑定角色的账号需要先完成角色授权才能操作项目内资源。

内容的提问来源于stack exchange，提问作者Shervin Souri