Glance has been updated for integration with keystone.  That means that nova needs to forward the user's credentials (the auth token) when it uses the glance API.  This patch, combined with a forth-coming patch for nova_auth_token.py in keystone, establishes that for nova itself and for xenapi; other hypervisors will need to set up the appropriate hooks for their use of glance.