（计算机应用技术专业论文）网格环境中基于pmi的授权管理系统的研究.pdf

华北电力大学硕士学位论文摘要 摘要 本文给出了网格环境中基于p m i 的授权管理系统模型。首先给出了五层结构的 网格环境中基于p m i 的授权管理系统模型，但此模型有两个不足：p m i 的瓶颈问题 和v o 层授权管理模型需要研究。为了缓解由属性证书查找操作带来了p m i 系统瓶 颈问题，给出了属性证书缓存机制，并给出了相应的更新算法，提高了p m i 系统的 响应性能；然后，通过分析授权管理系统的本质，对传统委托进行扩展，给出了广 义委托理论，并在此基础上给出了基于广义委托的v o 授权管理模型d b v o a m ， 并给出了p m i 的具体实现形式。最后给出了基于p m i 的网格授权管理系统模型的 具体实现，并研究了电力网格授权管理系统模型。 关键词：网格，授权，p m i ，广义委托，属性证书缓存机制 a b s t r a c t t h i sp a p e r p r o p o s e sa p m i b 嬲e da u t h o r i z a t i o nm a n a g e m e n ts y s t e mm o d e li ng r i d f i r s t , t h i sp a p e rg i v e sap m i b a s e da u t h o r i z a t i o nm a n a g e m e n ts y s t e mm o d e li ng r i d t h e r e r et w oo t h e rw o r k sn e e d e dt od oi nt h i sm o d e l ：i m p r o v i n gt h ep e r f o r m a n c eo ft h e p m is y s t e ma n dr e s e a r c h i n gv oa u t h o r i z a t i o nm a n a g e m e n tm o d e l t ol i g h t e nt h e b o t t l e n e c kt a k e nb yt h ep r o c e s st h a tc a l l i n ga c s ，i tg i v e st h ea cc a c h em e c h a n i s ma n d g i v e st h er e l a t i v eu p d a t i n ga l g o r i t h m t h e ni ta n a l y z e st h ee s s e n c eo ft h ea u t h o r i z a t i o n m a n a g e m e n ts y s t e m m o d e l ，g i v e sg e n e r a l i z e dd e l e g a t i o nb ye x t e n d i n gt r a d i f i o n m d e l e g a t i o n , a n dg i v e sg e n e r a l i z e dd e l e g a t i o nb 淞e da u t h o r i z a t i o nm a n a g e m e n tm o d e l ( d b v o a m ) ，i ta l s oi m p l e m e n t sd b v o a m 晰t hp m i ，a tl a s t ，t h i sp a p e rp r e s e n t ss o m e s i m u l a t i o n sa n dr e s e a r c h e st h ea u t h o r i z a t i o nm a n a g e m e n ts y s t e mm o d e li np o w e rg r i d l i a n gx i a o y a n ( c o m p u t e ra p p l i c a t i o nt e c h n o l o g y ) d i r e c t e db yp r o f z h a n gs h a o m i n k e yw o r d s ：g r i d ，a u t h o r i z a i o n ，p m i ，g e n e r a l i z e d d e l e g a t i o n ，a cc a c h e m e e h a n i s m 声明 零入郑鬟声疆：藏憝瑟键交戆磺士学垃谂文瓣糁繇壤皆基于p m i 翦撩投 管理系统的研究，热本人在华北电力大学攻读硕士辫位期间，在导师指导下进 行黥醛究王露黧取襻鹣骚究或柒。撼零天錾窳，菰了文孛特掰灏臻蠡滚塞蒙瓣之 处外，论文中不包含熟他人融经发表躐撰写过的研究成果，也不包含为获得媾北 电力大学或箕毽敦雾魏筠茨学键蓑 藏书嚣使躅遗缒掰辩。号凝露王谗赘弱卷游 本研究所做的任何贡献均已在论文中作了明确的说明并表示了谢意。 糍激律辎名：鼻螋鹜荔： t ；。| k | 关于学位论文使用授权的说明 零人完全了解华北怠力大学有关保馨、便用学位谂文的规定，即：学授鬯 粳保管、并辩蠢关帮门送交学位论文静原件与簸窜彳串；学校掰以采髑影肇、缩 印或其它复制警段复制并保存学位论文；学校可允许学位论文被豢阅或借瓣； 学校琴蔽学术交添褥蠢懿，麓镄赠送稻交羧学位论震； 瀚懑学校酊潋露不溺 方式谯不同媒体上发袭、传攒学位论文的全部戏都分内容。 ( 滞密的学位论义在解獬后遵守就规定) 佟誊签名： 爨 期；筮q ：垒：； 嚣 期：徽垒f i ：盖 ，兰韭皇垄奎堂堡主堂垡丝塞 第一章绪论 1 1 选题背景及意义 i n t e r n e t 的产生与发展，对人们的思维方式、工作模式以及生活理念都产生了 巨大的影响与冲击。传统互联网实现了计算机硬件的连通，w e b 实现了网页的连通， w e b 服务实现了程序和程序之间的共享。这对人类信息的共享起了巨大的推动作用。 现在，网上已有成千上万的各类计算机，包括为数众多的高性能计算中心。但是随 着信息的不断发展，i n t e r n e t 技术已经不能满足信息共享的需求，因为在i n t e r n e t 环境下，实际的网络资源利用率是很低的，据有关统计，系统平均利用率仅为3 4 左右，有的空闲率竞达9 1 。如何更好的利用网络资源已经成为人们日益关注的课 题。如果网络上的计算机能被组织起来加以协调工作，将会形成有巨大潜力的并行 计算环境，直至形成一个能力无比的全球计算环境。这正是网格的思想。 网格是借鉴电力网( p o w e rn e t w o r k ) 的概念提出来的。简单地讲，网格是把整个 互联网整合成一台巨大的超级计算机，实现计算资源、存储资源、数据资源、信息 资源、知识资源、专家资源的全面共享。这样组织起来的“虚拟的超级计算机”有 两个优势，一个是数据处理能力超强，另一个是能充分利用网上的闲置处理能力。 对于网格，很多学者有着自己的理解。其中网格权威专家i a nf o s t e r 和c a r l k e s s e l m a n 对网格的定义“1 是：将地理分布、系统异构、性能各异的各种资源， 通过高速互连网络连接并集成起来，形成的广域范围的无缝集成和协同计算环境。 网格对信息的高度共享吸引了国内外很多专家学者的研究。国外的网格研究主 要有：由美国自然科学基金会( n f s ) 资助的网格项目n c s a 。1 ，美国宇航管理局( n a s a ) 构造的网格计划i p g ( i n f o r m a t i o np o w e rg r i d ) “，美国国防部( d o d ) 的h p c m p 网格， 美国能源部( d o e ) 的d o es c i e n c eg r i d 网格和连接三大国家实验室( l l n l ，l a n l ，s n l ) 的a n c ig r i d 网格以及由欧盟提供1 0 0 0 万欧元资金启动的欧洲数据网格e u r o p e a n d a t ag r i d ( e d g ) ，日本的n i n f - 4 ，都是有影响的网格研究计划。在我国，已经完 成的网格研究项目主要有清华大学的先进计算基础设施a c i ( a d v a n c e d c o 叩u t a t i o n a li n f r a s t r u c t u r e ) 和以中科院计算为主的国家高性能计算环境 n h p c e ( n a t i o n a lh i g hp e r f o r m a n c ec o m p u t i n ge n v i r o n m e n t ) 。正在研发的项目 有8 6 3 计划支持多家科研单位参加的“中国网格( c h i n ag r i d ) ”建设；由多所上 海的大学参加的“上海教育科研网格”；由航天二院和清华大学共同开展的“仿真 网格”；由中科院计算所领衔开发的“织女星”网格等，这对我国的网格研究工作 具有重大意义。 华北电力大学硕士学位论文 网格突破了过去强加在计算资源上的种种限制，使人们能够以一种全新的、更 自由、更方便的方式使用计算资源。网格环境的这种特殊性决定了网格安全问题研 究的重要性。因此，安全对于网格来说至关重要，缺乏有效的安全机制将会限制网 格技术的进一步发展和网格应用的进一步推广。网格环境中的安全问题集中于解决 如何将网格资源安全地分配给网格用户，以及如何保证网格用户安全地使用分配的 网格资源( 即授权管理) 。但是目前还没有一个网格授权管理系统能尽如人意。 另外随着三峡电厂的建成及投入运行，我国的电力迫切要求实现全国范围内的 大连网。网格技术是解决该问题的有力工具。将网格技术作为技术平台，使其和电 力系统监控技术相结合，并在此基础上构建未来的互联电网监控系统中国电力 网格，将是解决我国区域电网互联后大系统安全稳定、经济运行的有效手段。文献 5 ，6 ，7 设计了电力网格的体系结构，并设计和实现了原型系统，证明了电力网 格体系结构的可用性和有效性，并为基于电力网格的应用研究与开发提供了基础试 验平台。这对全国范围内的电力大连网具有重要意义。但是同样电力网格中面临着 一个重要的安全问题授权管理问题。电力系统是一个集成的、多用户共享的系 统，因此如何严格地保护重要数据同时又为授权用户提供尽可能的方便，如何有效 地管理用户权限等都是不可忽略的安全问题，是电力网格成功应用的必要前提条 件。但是目前电力网格还没有成型的授权管理系统。 k 5 本文将对网格进行深入研究，研究网格环境中授权管理系统的需求，分析授权 管理的本质，给出一个新的网格环境授权管理模型，来较好地完成网格环境下的授 权管理，为网格环境中的高度信息共享提供安全保障。为网格技术的发展贡献自己 的一份力量。并将给出的授权模型应用于电力网格，为电力网格的授权管理的安全 性提供保障。 本文的理论意义是研究一种网格环境通用的授权管理系统模型。本文的实际应 用意义是：研究的授权管理系统模型可以完成网格环境中的授权管理，并分析电力 网格授权管理的特点，设计了一体化的电力网格授权管理平台。 1 2 国内外文献综述 现有的网格环境下的授权管理的研究目前主要有：g s i ，c a s ，v 伽s ，c a r d e a ， a k e n t i ，p e r m i s 。 ( 1 ) g s i ( g r i ds e c u r i t yi n f r a s t r u c t u r e ) ”1 。g l o b u s 砷1 中的网格安全架构 g s i 是一个解决网格计算系统的安全问题的一个集成方案，它结合目前成熟的分布 式安全技术，并对这些技术进行一定的扩展，以适合网格计算系统的特点。g s i 的 特点是在于保证网格计算系统的安全性的同时，尽量方便用户和各种服务的交互， 而且g s i 充分利用现有的网络安全技术，并对某些部分进行扩充，使得在网格环境 2 华北电力大学硕士学位论文 下g s i 具有一个一致的安全性界面，极大地方便了网格应用的开发和使用。g s i 的 授权是通过对一个文件( 通常是e t c g r i d s e c u r i t y g r i d m a p f i l e ) 的操作来实 现的，这个文件提供了证书标识( 全局用户) 到本地账号的映射关系。这种方法实 现简单、功能健壮，获得了很广的应用。但是，g s i 要求每一个访问资源的全局用 户都需要在本地资源服务器上拥有一个自己的账号，每一个资源服务器都需要维护 一个庞大笨拙的全局本地映射表，这种授权机制难以扩展到拥有大量资源和大量 用户的大规模环境中。另外，g s i 缺乏基于全局策略的具有良好扩展性的访问控制 机制。因而它不能满足权限的细粒度性、可测性、表达性和适应性。 ( 2 ) c a s ( c o m m u n i t ya u t h o r i z a t i o ns e r v i c e ) “”。c a s 是伴随着v o ( v i r t u a l 0 r g a n i z a t i o n ) “”1 的概念给出的。v o 的概念是由l a nf o s t e r 、c a r lk e s s e l m a n 等 人提出的。它把网格分成若干个具有某些共同特征的某些实体的集合，集合中的实 体在共享和使用各种资源时具有一致的模式，每一个集合就叫做一个v o ( 这里一致 的模式是指v 0 中的成员和资源共同遵守的规则和策略) 。v o 是一个可信第三方，v 0 内的各组织将他们一定的控制策略授予v o ，由v o 统一管理这些控制策略来实现资源 共享和使用。资源服务所采用的策略是v o 策略和本地策略的交集。c a s 是由美国 e s g ( e a r t hs y s t e mg r i d ) 项目提出的模型，得到了g l o b u s 项目的支持，现已发布了 第二个版本。c a s 提出了在一个v o 内实行策略管理和对服务实行强制性策略的方案， 在每一个v o 内部建立一个c a s 服务器来维护社区的策略，在用户的代理证书中加入 c a s 的授权声明( 即策略声明) 来实现授权的访问控制。c a s 解决了在g s i 中存在的 缺乏细粒度性、可测性、表达性和适应性的问题。在e a r t hs y s t e mg r i d 项目中得 到了很好的应用。但是c a s 违背了最小权限原则。 ( 3 ) v o m s “”。v o m s ( v i r t u a lo r g n i z a t i o nm e m b e r s h i ps e r v e r ) 是由欧洲数 据网格e d g ( e u r o p e a nd a t e g r i d ) 项目提出的模型。在e d g 中得到了应用。和c a s 在体系结构上是很相似的，他们都由服务中心发布策略声明给用户，由用户提供资 源来获得虚拟组织授予的权限。他们的不同主要是在于他们操作的授权级别不同， c a s 的策略声明直接包含了权限，并不需要由资源提供者来解释权限；而v o m s 的策 略声明包含一个角色或组成员的列表，用户将这个组关系策略声明发送给资源提供 者，由资源提供者基于本地的组策略来授予用户权限。同样，v o m s 违背了最小权限 原则。 ( 4 ) a k e n t i ”是由美国伯克利国家实验室分布式安全r d t 作组开发的，它 得到能源部科学计算网格项目和科学计算实验室等资助，是专门为高性能的分布式 网络环境提供一种可扩展的安全服务体系。虽然a k e n t i 专用于对w e b 资源尤其是w e b 站点的授权访问，但由于网格环境是一个开放的分布式系统，所以这种授权机制也 适用于网格。a k e n t i 授权机制的特点：1 ) 直接给出对文件等的操作权限，和g a s 相 华北电力大学硕士学位论文 似。2 ) 授权声明信息不提供给用户，而是存放在a k e n t i 服务器上，它以一组分等级 的策略证书文件方式存储。3 ) a k e n t i 采用p u l l 的方式，由资源握供者查询a k e n t i 服 务索取授权决定。4 ) a k e n t i 专用于对w e b 资源尤其是w e b 站点的授权访问，在网格的 v o 中不具有灵活性。 ( 5 ) p e r m i s “”“1 。p e r m i s 是基于p m i ( p r i v i l e g em a n a g e m e n ti n f r a s t r u c t u r e ) “”1 的授权管理系统。授权管理基础设施p m i 是一个属性证书、属性权威、属性证 书库等部件构成的综合系统，用来实现权限和证书的产生、管理、存储、分发和撤 销等功能。p m i 使用属性证书表示和容纳权限信息，通过管理证书的生命周期实现 对权限生命周期的管理。属性证书的申请，签发，注销，验证流程对应着权限的申 请，发放，撤消，使用和验证的过程。当用户申请资源时，由p m i 的a p i 截取请求， 根据用户的身份从属性证书库中取出用户的属性证书与用户的请求比较对照，来做 出是否允许访问资源的判断。p m i 并不把用户的属性发给用户，所以符合最小权限 原则。另外，p m i 与网格有着天然的联系，即p m i 具备网格所要求的一切特性：动 态性、开放性、分布性。建立基于p m i 的权限管理系统对解决网格权限管理问题是 一个很好的解决方案。但是，目前，p e r m i s 虽然实现了p m i 的a p i ，但是在网格环 境下p m i 应用的研究还不完善，仅仅处于初级阶段。 h 在我国，主要的网格项目有先进计算基础设施a c i ( a d v a n c e dc o m p u t a t i o n a l i n f r a s t r u c t u r e ) 、国家高性能计算环境n h p c e ( n a t i o n a lh i g hp e r f o r m a n c e c o m p u t i n ge n v i r o n m e n t ) 、8 6 3 计划支持的“中国网格( c h i n ag r i d ) ”、“上海 教育科研网格”、“仿真网格”、“织女星网格”。这些项目的主要目的是建立一 个可以投入使用的网格，并没有提出成熟的权限管理模型，只是利用现有的模型并 加以改进。 因此，现在网格环境中还没有一个授权管理系统能尽如人意，因此网格环境中 的授权管理系统的研究仍是网格问题研究中的热点和难点。本文将借鉴p m i 系统的 灵活性、开放性、广域性的特点，研究一种网格环境中基于p m i 的授权管理系统模 型。 1 3 论文的主要研究内容 在网格这样一个庞大的环境下，研究基于p m i 的授权管理模型是一个复杂的工 作，我们将此工作分几步来完成： 网格环境中基于p m i 的授权管理系统模型的研究。研究能在网格范围内完 成授权管理的模型，来完成网格范围内的授权管理。 缓解p m i 的瓶颈问题的研究。由上面的介绍，我们得知：p m i 基础设施与 网格有着天然的联系，即p m i 具备网格所要求的动态性、开放性、分布性 4 华北电力大学硕士学位论文 等特性，建立基于p m i 的权限管理系统对解决网格权限管理问题是一个很 好的解决方案。但是，在大量资源访问的情况下，p m i 会造成通信瓶颈， 影响整个系统的性能。通过这部分的研究，我们找一种方法来缓解p m i 系统的瓶颈问题。 v o 授权管理模型的研究。v o 范围内存在着大量的授权管理系统，它们各 自采用自己的实现机制，统一管理这些异构的授权管理系统是建立v o 授 权管理系统的一个主要难点。通过这部分的研究，我们给出一个v 0 授权 管理模型，来完成v o 范围内的授权管理。 电力网格一体化授权管理平台的研究。研究电力网格授权管理的特点， 设计一体化的电力网格授权管理平台。 1 4 论文的组织安排 论文共分为六章。 ( 1 ) 第一章绪论。本章介绍论文的选题背景、理论意义、实用意义，国内 外相关领域研究现状综述，论文研究的主要工作内容和论文的组织安排。 ( 2 ) 第二章网格环境中基于p i i 的授权管理系统模型的研究。本章介绍网 格、网格授权管理、p m i 等相关的技术、理论，给出了网格环境中基于p m i 的授权 管理系统模型，并对模型进行了分析。 ( 3 ) 第三章属性证书缓存机制及其相应更新算法的研究。本章研究了由属 性证书的查找引起的p m i 瓶颈产生的原因，采用一种方法来缓解此瓶颈问题。并用 实验验证方法的有效性。 ( 4 ) 第四章广义委托理论及基于广义委托的v 0 授权管理模型。本章在分析 授权管理系统的本质的基础上，对传统的委托外延进行了扩充，给出了广义委托的 概念，并对广义委托的主要概念和功能进行了定义，再此基础上给出了基于广义委 托的v o 授权管理模型来完成v o 范围内的授权管理。并用p m i 的组件实现了此模型， 同时把第三章给出的缓存机制也嵌入到了p m i 中，更好地实现了此模型。 ，( 5 ) 第五章网格环境中基于p h i 的授权管理系统模型的实现及其在电力网 格中的应用。本章在第四章基础上，把d b v o a j , i 模型引入到由多级v 0 组成的网格环 境中，来完成网格范围内的授权管理。给出了模型的具体实现。并把给出的网格授 权管理模型引入到电力网格环境中来完成电力网格的授权管理，为电力网格的安全 提供保障。 ( 6 ) 第六章结论和展望。 华北电力大学硕士学位论文 1 5 本章小结 本章说明了课题的研究背景、研究意义。概述了网格授权管理系统的国内外研 究现状。简要介绍了研究内容及论文的组织结构。 6 华北电力大学硕士学位论文 第二章网格环境中基于p m i 的授权管理系统模型的研究 2 1 网格 2 1 1 网格概述 网格( g r i d ) 一词来自于电力网( p o w e rn e t w o r k ) ，网格的最终目的是希望用户在 使用网格计算能力时，就如同在使用电力一样方便。我们在使用电力时，不需要知 道它是从哪个发电站输送出来的，也不需要知道该电力是通过什么样的发电机产生 的，不管是水力发电，还是通过核反应发电，我们使用的是一种统一形式的。电能”。 同样，我们也不需要考虑我们使用电力做什么，不管是照明取暖，还是给电动机或 仪器供电，我们都只需将插头插入带电的插座即可。网格希望把整个互联网虚拟为 一台超级计算机，给最终的使用者提供一种与地理位置无关、与具体的计算设施无 关的通用计算能力。网格是构筑在互联网上的一组新兴技术，它将高速互联网、计 算机、大型数据库、传感器、远程设备等融为一体，为科技人员和普通用户提供更 多的资源、功能和服务。有人把网格看成是未来的互联网，国外媒体常用“下一代 i n t e r n e t ，“国际互联网2 ”等词汇来描述网格相关技术。 ； 4 网格的发展经历了三个阶段啪1 ：第一阶段是网格的萌芽阶段，开始于2 0 世纪9 0 年代早期，研究内容是关于千兆网试验床以及一些元计算方面的工作；第二阶段是 。些早期的试验，时间大概从2 0 世纪9 0 年代中期到晚期，出现了一些比较重要的开 创性和奠基性的研究项目， 比如i w a y ，g l o b u s ，l e g i o n 等；目前是网格计算发展 的第三阶段，也是迅速发展的阶段，关于网格的研究，开发和应用项目大量涌现， 出现了影响很大的全球网格论坛，同时网格计算也不再仅仅局限于科学研究，工业 界与学术界开展了广泛联盟，正致力于使网格计算在更广泛的领域得到推广和应 用。 现在，网格比较权威的概念是i a nf o s t e r 和c a r lk e s s e l m a n 对网格的定 粟“”：将地理分布、系统异构、性能各异的各种资源，通过高速互连网络连接并集 成起来，形成的广域范围的无缝集成和协同计算环境。 2 1 2 网格体系结构 网格体系结构就是关于如何建造网格的技术，它描述了网格的基本组成和功 能，以及各个组成部分之间的相互关系和网格的运行机制。 五层沙漏模型蚓是i a nf o r s t e r 等在网格发展的早期阶段提出来的一种网格体 系结构。后来，在以i b m 为代表的工业界的影响下，在网格体系结构中引入t w e b 7 华北电力大学硕士学位论文 s e r v i c e 技术，提出了目前广泛流行的开放网格服务体系结构0 g s a ( o p e ng r i d s e r v i c e sa r c h i t e c t u r e ) ”。o g s a 在较高的层次上对网格的整体结构和服务进行了 抽象的定义，为网格的构建绘制了一幅蓝图，但对于具体各部分的功能和实现，以 及相关的协议则没有进行定义。开放网格服务基础设施o g s i ( o p e ng r i ds e r v i c e s i n f r a s t r u c t u r e ) ”基于o g s a 标准，对网格环境中使用的各种服务之间的接口和协 议进行了标准化。w e b 服务资源框架w s r f ( w e bs e r v i c e sr e s o u r c ef r a m e w o r k ) o ” 是在吸收了w e b h & 务的最新发展之后，对o g s i 的重构和演进。我们将分别对五层沙 漏模型、0 g s a 0 g s i 和w s r f 进行介绍和分析。 2 1 2 1 五层沙漏结构 五层沙漏模型”0 3 是一种以协议为中心的协议结构，强调“协议”的重要性。类 似于网络协议中的分层结构，五层沙漏模型将整个网格环境中的各种协议分为五 层，从下往上分别是：构造层( f a b r i c ) 、连接层( c o n n e c t i v i t y ) 、资源层 r e s o u r c e ) 、汇聚层( c o l e c t i v e ) 和应用层( a p p l i c a t i o n ) 。在i n t e r n e t 协议栈中， 网络层协议和传输层协议( t c p ，u d p ) 构成了i n t e r n e t 协议栈的瓶颈。类似地，在五 层沙漏模型中，资源层和连接层共同组成了沙漏的瓶颈，是该模型的核心协议部分， 起到了承上启下的作用，如图2 1 所示。 图2 1 五层沙漏模型 网格构造层基本功能是控制局部资源，向上提供访问这些资源的接口。构造 层的资源可以非常广泛，可以是计算资源、存储系统、目录、网络资源、传感器。 荟- 个资源可能是一个逻辑的实体，比如分布式文件系统，计算机集群和分布式计算 池等，这时，在这些资源的内部实现中会涉及到许多协议，但这些都不属于构造层 协议要考虑的范畴。显然，构造层的实现依赖于特定的资源。 连接层的基本功能是支持便利和安全的通信，它定义了在网格环境中的网络事 务处理所需的核心的通信和认证协议。通信协议允许在构造层资源之间交换数据， 认证协议建立在通信协议的基础上，为用户和资源的识别提供加密的安全机制。这 里的通信包括传输、路由和命名等功能，实际上，这些都可以从目前的t c p i p 协 议栈中提取出来。在网格环境中的安全问题是一个很复杂的问题，另一方顽，目前 8 华北电力大学硕士学位论文 已经开发出来了许多适应于互联网协议的安全标准，在实现中，应该尽可能地利用 已有的各种标准。 资源层的主要功能是实现对单个资源的共享。资源层建立在连接层的通信和认 证协议之上，定义的协议包括安全初始化、监视、控制单个资源的共享操作、审计 以及付费等。资源层协议考虑的完全是单个的局部资源，因此忽略了全局状态和跨 越分布资源集合的原子操作。资源层两个主要的协议是信息协议和管理协议。信息 协议用来获得资源的结构和状态信息，管理协议用来协商对共享资源的访问。资源 层和连接层协议形成了沙漏模型的瓶颈部分，因此这个协议集合要小，而且尽量标 准化。这些协议要能够抓住涵盖不同资源类型的基本共享机制，但是又不能对高层 协议的类型和性能有约束。 汇聚层建立在资源层之上，其主要功能是协调各种资源的共享。汇聚层协议和 服务描述的是资源的共性，并不涉及资源的具体特征，说明不同资源集合之间是如 何相互作用的。汇聚层的协议跨越了从通用型到高端应用和特殊领域的需求，该层 协议应该简明扼要而且易于扩展。汇聚层功能可以作为永久的服务来进行实现，包 括相关的协议以及与应用相关联的a p i s d k 。应用层通过调用以下各层所提供的 服务来实现用户特定的任务。用户的需求是千差万别的，显然，应用层的各种应用 和协议也将是非常丰富的。 割 蠹g l o b u s t j 、组和i b m 于2 0 0 2 年初提出了一个新的网格结构，该结构是要将当时网 格领域最热门的两个技术计算网格和w e b 服务结合起来，把原来按照两条路线 进行的研究活动归纳到一条主线上来。开放网格服务体系结构o g s a ( o p e ng r i d $ e r v i c ea r c h i t e c t u r e ) 是一个面向服务的系统结构，主要突出从网格用户的角度 看上去的网格系统是什么样子。 未i 2 2o g s a 、o g s i 和w s r f t 将g r i d 和w e b 服务技术相结合，应用于希望获得的w e b 服务属性，称为开放式网 格服务体系结构( o g s a ) 但”。o g s a 最重要的基本思想是以服务为中心，把一切都抽象 为服务，包括计算机设备、应用程序、数据及仪器设备，这样有利于分布式系统通 过统一的标准接口来管理和共享网格上功能各异的资源。o g s a 采用了万维网服务的 霄s d l 和s o a p 规范。遵循o g s a 标准的系统都可以连在一起，用户可以很容易地集成、 共享各种系统提供的功能。o g s a 把整个网格看作是网格服务的集合，这个集合是可 扩展的，并且体现了网格的动态特性。网格服务是w e b 服务的扩展，是o g s a 的基础。 网格服务提供一套良好的定义接口和遵循一定规范的w e b 服务。通过接口提供服务 发现、动态服务创建、服务生命周期管理、消息订阅和通知发送等功能，网格服务 酊以创建服务实例，人们通过访问特定的服务实例得到服务。0 g s a 规定了网格服务 实例的基本行为，但并未对服务执行什么操作或如何完成服务提出要求，也就是说， 9 华北电力大学硕士学位论文 s a 并不涉及实现编程模型、编程语言、实现工具或执行环境等问题。因此一个网 格服务可以部署在不同的运行环境中，即可以是不同的软件环境、不同的机器型号、 不同的操作系统甚至不同的设备。o g s a 还提供了一种网格安全机制来确保服务间的 所有通信都是安全的。 o g s a 定义了多种行为和相关接口，除了g r i d s e r v i c e 外，其它的所有接口都是 可选的，主要接口如表2 1 所示。 o g s i 瞪2 1 是构建开放网格服务体系结构o g s a ( o p e ng r i ds e r v i c ea r c h i t e c t u r e ) 的基础设旋，它的核心即为网格服务规范。o g s i 引入了一种网格服务的交互模型， 通过提供发现、生命周期、状态管理、创建与销毁、事件通知以及引用管理的接口， o g s i 为软件开发人员提供了一种统一的建模和与网格服务进行交互的方式。根据这 些接口的功能，可以把这些接口分为三组。第一组是支持网格服务行为、服务数据 元素和静态服务数据值的端口类型( p o r t t y p e ) ；第二组是关于通知框架的端口类 ： 挚；第三组端口类型提供了网格服务成组的概念。具体如表2 2 所示。 表2 1 ：o g s a 定义的一些接口 接口类型操作描述 f i n d g r i ds e r v i c e查询网格服务实例的多种信息可扩 g r i ds e r v i c e 展支持多种语言 s e t t e r m i n a t i o n t i i n n设置和获取网格服务实例的终止时 间 d c s t r o y终止弼格服务实例 n o t i f i c a t i o ns o t n c c s u b s c r i b e t o n o t i f i c a t i o n t o p i c 订阅相关服务事件的通知，允许利用 第三方消息服务进行传输 n o t i f i c a t i o ns i n kd e l i v e r n o t i f i c a t i o n 实现通知消息的异步传输 r e g i s t r yr e g i s t e r s e r v i c e 执行网格服务句柄的软状态注册 u n r c g i s t e r s e r v i c e 反注册阿格服务句柄 f a c t o r y c r e a t es e r v i c e创建新的网格服务实例 h a n d l em a p f i n d b y h a n d l e返回与当前提供的网格服务句柄有 关的网格服务引用 随着w e b 服务体系结构的不断演变和发展以及w s d l 2 o 与诸如w s - - a d d r e s s i n g 这样的新兴w e b 服务标准的公布出现，人们开始考虑0 6 s i 将如何利用这些扩展的w e b 服务特别是w s a d d r e s s i n g 。以及如何将o g s i 的功能和w e b 服务体系结构整合在一 起，并开始意识到将0 g s i 的功能进行重新划分是比较合适的，因此0 g s i 被重新划分 l o 华北电力大学硕士学位论文 为两大部分：w e b 服务资源框架( w s r f ) ”3 和w e b 服务通知规范( w s n o t i f i c a t i o n ) 。其中w s r f 为一套被提议的w e b 服务规范，它根据特定的消息交换和相关的 x m l 模式来定义给定的w e b 服务资源，并定义了有状态资源的w e b 服务访问模式和阐 明如何将“状态”和w e b 服务结合的一簇w e b 服务约定。而w e b 服务通知规范则为w e b 服务提供基于消息发布和预定能力。w s r f 的目的是要阐明怎样把“有状态”加入到 w e b 服务中。如表2 所示，w s r f 包括w e b 服务资源特性( w s - - r e s o u r c e p r o p e n i e s ) 、w e b 服务资源生命周期( w s r e s o u r c e l i f e t i m e ) 、w e b 服务可更新引用( w s r e n e w a b l e r e f e r e n c e s l 、w e b 服务基本错误( w s - - b a s e f a u h s ) 和w e b 服务服务组( w s s e r v i c e g r o u p ) 规范。虽然w e b , 眼务实现在它们交互的过程中并不维护状态信息，但 是它们的交互必须经常性地考虑状态操作，也就是说，数据值通过w e b 服务交互得 以持久化，并且作为w e b 服务交互的结果而保存。 表2 20 g s i 定义的网格服务接口 组 接口类型p o r t l 、p e操作o p e n a t i o n 服务数据$ _ v i c ed a t a lg r i ds e r 血ef l n d s e r v i c c d a t ai m e r l h c e b s f ：s o n 五c d ：珀协s e n ，i c d ) a l a 卜k 啦e f e q u e s t t 冒如i “山舶l | e a f 晤龟c t o 坷l 蛳 r 印u e g t t a 加画n 刮血m 订丑n e b e 脚拓d s e r v w e h a n d l e 矗l c t o f v 殛n l e r e s 咖e r 2n o t i 丑c 越n s o l l r c e n o 雠c 乱i o n g 自r l k n o t i 丘c a t i o n s l m c 抽e 3s 曩、r i c e u r o u d 阳t r o y曲d s e r m c d 旭土a 上= 】吐叫m i l n ， # 吐s 曾眦d ) a 曲e 翻曩h j b n i i y t e n z u n n l i n - m e c r e i 稿c r 咖cc r e a t e s c n 五c e 阻e n i j b i 姗 五n d b y h 锄m i k1 4 a n d l e l r 上s o l v e s t h e m e i u b s c r i b en o 缸丘a b l e s e r v i c e i a t a l q m 丑e 羽】b o c n b d g d e 叫i b l l l t y d d k v a 心吼i d c 锄i s 冒矾c e g r 0 1 单r q 归t f 越i o n a d d f e a l o s n c e g r o u p e n t 珂 0 u b 口c d b d ! x d f e b o i o n 她c a t o r m e b 口。时卸c 埘吐r l l l 6 e n t r y “棚刍吐s | b n 吐， r 锄舛e e x u m 瓢o “n y m e n i b e f s e r v i c e l o c a t o r c m c m 2 1 3 虚拟组织 在网格架构下，一个实际的问题是各资源之间的协调共享，以及在动态、异构 的虚拟组织上协同地解决问题。这种共享需要高度的可控性，在资源的提供者和使 用者之间必须按照某种策略，来明确的定义清楚共享什么资源，允许谁使用，什么 情况下才共享资源，等等。使用这些安全的、协同的共享策略的个人或者团体组成 的动态集合，称为虚拟组织吩1 。换句话说，虚拟组织是由遵守资源共享规则的一组 个体、机构组成。虚拟组织的概念是从管理网格服务的角度提出的。在网格应用中， 网格中每个虚拟组织的建立都有其特定的需求和目的，在很多情况下，虚拟组织管 理的服务可以理解为地理位置分布、逻辑位置相邻、属性相似的服务集合。而虚拟 组织的属性就体现了这种相似性，因此有必要描述虚拟组织的属性。当网格中有新 华北电力大学硕士学位论文 的参与者加入时，要根据它所提供的服务属性，将其加入到有相似属性的虚拟组织 中。这样就可以将相似的网格服务加入到相似的若干虚拟组织内，为相似的网格服 务提供相似的逻辑管理策略，实现服务类型的划分。 虚拟组织的典型例子有：应用服务提供商、存储服务提供商、企业及企业所采 用的应用所构成的系统等。虚拟组织有动态性和异构性两个特点。虚拟组织的动态 性是指组织结构、对外交互、管理模式及业务模式等是随时间而变化的，比如组织 成员的加入和离开( 伴随着资源和用户的增删) 、成员可享用资源的改变等等。虚拟 组织的异构性是指各组织在目标、结构、规模、管理运行模式等方面是不同的。 网格应用中，在虚拟组织内资源共享目标和服务需求相近的情况下，可以对虚 拟组织的属性给出类似于w s d l 的服务接口定义和相关规范的描述，该描述称为 v o d l ( v i r t u a lo r g a n i z a t i o nd e s c r i p t i o nl a n g u a g e ) ，它能够反映虚拟组织内部 服务的整体特性，提供虚拟组织的信息服务接口。 2 2 网格授权管理与p m i 网格突破了过去强加在计算资源上的种种限制，使人们能够以一种全新的、更 自由、更方便的方式使用计算资源。网格环境的这种特殊性决定了网格安全问题研 究的重要性。因此，安全对于网格来说至关重要，缺乏有效的安全机制将会限制网 格技术的进一步发展和网格应用的进一步推广。网格环境中的安全问题集中于解决 如何将网格资源安全地分配给网格用户，以及如何保证网格用户安全地使用分配的 网格资源( 即授权管理) 。 现在网格环境中还没有一个授权管理系统能尽如人意，因此网格环境中的授权 管理系统的研究仍是网格问题研究中的热点和难点。p m i ( p r i v i l e g em a n a g e m e n t i n f r a s t r u c t u r e ，p w i ) “”1 以其灵活性、开放性、广域性的优点，尤其适合管理大 规模、分布式环境的授权；因此基于p m i 的授权管理系统是网格授权管理的一个良 好方案。 首先介绍p m i 。 2 3p m i 自2 0 世纪8 0 年代美国学者提出公共密钥基础设施( p u b l i ck e yi n f r a s t r u c t u r e ， p k i ) 。”的概念以来，p k i 已成为电子商务、电子政务和企业办公等网络应用中不可 或缺的安全支撑系统。但随着资源共享的进一步加强，信息安全问题也日益突出。 为了解决这个问题，在2 0 0 0 年的x 5 0 9v 4 中，首先提出了权限管理基础设施p m i “州 的概念，它为网络安全系统中授权的实现提供了一个好的思路。 1 2 华北电力大学硕士学位论文 2 3 1 公钥基础设施p u b ii ck e yi n f r a s t r u c t u r e p 髓技术就是利用公钥理论和技术建立的提供信息安全服务的基础设施。该体 系在统一的安全认证标准和规范基础上提供在线身份认证，是c a 认证、数字证书、 数字签名以及相关安全应用组件模块的集合。它是以公开密钥技术为基础，以数据 的机密性、完整性和不可抵赖性为安全目的而构建的认证、授权、加密等硬件、软 件的综合设施。它提供的服务主要包括以下三个方面： ( 1 ) 认证 p k i 通过公钥证书( p u b l i ck e yc e r t i