Globus网格的安全架构中的域间访问控制规则和安全可靠的组.ppt

Globus网格的安全架构中的域间访问控制规则和安全可靠的组通信技术研究 王育峰Yfwang 2001 12 29 主要内容 1 网格计算系统简介2 Globus介绍3 Globus网格的安全架构介绍4 研究内容 一 网格计算系统简介 1 产生背景2 定义3 特点4 系统结构5 应用6 研究现状 产生背景 随着高性能计算应用需求的迅猛发展 解决一些超大规模应用问题所需要的计算能力 已不可能在单一的计算机上获得 因此 这就需要将地理上分布 系统异构的多种计算资源通过高速网络连接起来 构建成网络虚拟超级计算机 以此来共同解决大型应用问题 定义 将地理上分布 系统异构的各种高性能计算机 数据服务器 大型检索存储系统和可视化 虚拟现实系统等 通过高速互连网络连接并集成起来 形成对用户相对透明的虚拟的高性能计算环境 即网格计算系统 这个计算环境是一个广域范围内的无缝集成和协同计算环境 特点 1 扩展性 网格计算系统初期的规模较小 随着超级计算机系统的不断加入 系统的规模随之扩大 2 系统多层次的异构性 构成网格计算系统的超级计算机有多种类型 不同类型的超级计算机在体系结构 操作系统及应用软件等多个层次上具有不同的结构 3 结构的不可预测性 与一般的局域网系统和单机的结构不同 网格计算系统由于其地域分布和系统的复杂使其整体结构经常发生变化 特点 续 4 动态和不可预测的系统行为 在传统的高性能计算系统中 计算资源是独占的 因此系统的行为是可以预测的 而在网格计算系统中 由于资源的共享造成系统行为和系统性能经常变化 5 多级管理域 由于构成网格计算系统的超级计算机资源通常属于不同的机构或组织并且使用不同的安全机制 因此需要各个机构或组织共同参与解决多级管理域的问题 系统结构 协议 GPIP GridPublicInformationProtocolGCP GridComputingProtocolGSIP GridSystemInformationProtocol 系统结构 软件 Ourservicegridconsistsofthreepartsofsoftware theclientside thenetworkside andtheserverside 应用 1 桌面超级计算 这些与远程超级计算机和数据库相耦合的应用具有高端图形处理能力 这种耦合使用户在获得超级计算能力的同时 与计算资源 应用开发人员以及其他用户保持远程距离 2 精密仪器 这些应用将用户和远程超级计算机系统上的望远镜 显微镜以及卫星接收装置相连以获得准实时的数据处理 应用 续 3 协同环境 第三方应用将多个虚拟环境组织在一起 不同地点的用户可以和其他用户和超级计算机模拟系统进行交互 4 分布式超级计算 这些应用将多个超级计算机组织在一起 解决一些单机难以处理的问题 或者将问题分解到多台计算机上并行处理 研究现状 由于网格计算系统具有扩展性 系统多层次的异构性 结构的不可预测性 动态和不可预测的系统行为 多级管理域等特点 网格计算系统本身存在着很多问题 比如 动态自适应性问题 安全管理问题 缺乏高效的程序编译模型和执行引擎等 这些问题的存在限制了网格技术的进一步发展和网格应用的进一步推广 研究现状 续 目前国外许多政府部门 研究机构 跨国公司和著名大学的许多科研人员从事网格计算系统的研究 已经开展了许多论坛 http www gridforum org 实验环境和研究项目 较有代表性的网格计算项目包括 实验床 Globus项目 Legion项目 Globe项目 NetSolve项目 Javalin项目等 研究现状 续 网格的研究项目可简单地分成有代表性的两类 1 Globus项目提供基础的软件 集成分散的异构资源 形成一个单一的计算环境 其核心是Globus网格计算工具包 这是一个构筑网格计算环境的中间件 提供基本的资源定位 管理 通信和安全等服务 该计算工具包是模块化的 允许用户按自己的需要定制环境 研究现状 续 2 基于Java的网格计算Java语言和相关技术成功地解决了困扰网格计算的几个关键问题 如异构性和安全性 另一个重要的优势是Java程序的最小执行环境可以在Web浏览器中执行而不需要另外安装软件 理论上全球任意一台装有Web浏览器的机器都可以进行全球计算 尽管Java平台还存在效率低等问题 但它无疑将大大影响网格计算模式的发展 使实现全球分布式计算已不再是一个梦想 研究现状 续 中国科学院计算技术研究所做了大量网格技术方面的研究工作 他们设计并实现了国家高性能计算环境 NHPCE 目前从事织女星网格的设计和实现的研究工作 网格计算系统的研究已经成为国家863项目的研究内容 二 Globus介绍 1 Globus项目简介2 Globus研究方向3 GlobusToolkits介绍 项目简介 Globus项目由TheDefenseAdvancedResearchProjectsAgency DARPA U S DepartmentofEnergy TheNationalScienceFoundation NSF theNationalAeronauticsandSpaceAdministration NASA 等机构共同资助 项目的承担单位是ArgonneNationalLaboratory sMathematicsandComputerScienceDivision以及theUniversityofSouthernCalifornia sInformationSciencesInstitute 项目开始于1996年 项目简介 续 Globus是一个研究性的项目 其主要的研究目标有两个 1 网格技术的研究 2 相应软件的开发和标准的制定 同时 Globus项目还涉及到网格应用的开发以及Testbed的建立 Globus项目是一个较为长期的项目 对网格技术进行了深入的研究 并开发了比较成熟的软件GlobusToolkits 最近已经开始进行网格的标准化工作 Globus项目完成了多篇学术论文 其研究成果在国际上产生了重要的影响 网格技术已经成为高性能计算研究领域中的热点 研究方向 Globus项目主要针对以下几个方面进行了研究 1 资源管理 主要的工作集中在通信资源和计算资源的命名和定位 2 数据管理 主要集中在分布式环境下如何对数据进行管理 特别是涉及到数据密集型的高性能计算问题 同时提出了DataGrid 3 应用开发环境 主要研究如何为网格应用 包括精密仪器 显示 计算资源和信息资源提供易用的开发环境和编程语言 如CORBA JAVA Perl Python 研究方向 续 4 信息服务 主要研究如何提供准确 实时的信息来配置计算机 网络以及协议 算法等资源 实现高性能的分布式计算环境 5 安全 主要研究如何在多个管理域 多种安全策略 以及主体动态变化的条件下提供网格统一的安全方案 GlobusToolkits介绍 Globus工具包是一个构筑网格计算环境的中间件 提供基本的资源定位 管理 通信和安全等服务 该计算工具包是模块化的 允许用户按自己的需要定制环境 利用这套工具可以建立计算网格 并可以进行网格应用的开发 GlobusToolkits介绍 续 GlobusTookkit主要包括以下的内容 1 安全架构GSI GridSecuityInfrastructure GSI的主要目标为 1 计算网格的通信安全 安全认证和信息私有 2 包含多个管理域的分布式安全系统3 用户的单一登录 在使用公钥加密 X 509认证以及安全传输层 SSL 协议并结合GenericSecurityServiceAPI的基础上 GSI实现了双重认证和用户的单一登录 GlobusToolkits介绍 续 2 信息架构MDS MetacomputingDirectoryService 在LDAP协议的基础上提供了对网格资源信息的统一命名 GRIS GridResourceInformationService 提供了对网格中各种资源的状况 配置 性能的查询 GIIS GridIndexInformationService 为网格提供了对各种信息资源的检索 GlobusToolkits介绍 续 3 资源管理RSL ResourceSpecificationLanguage 用于资源管理各个组成部分之间进行资源需求信息的交换 GRAM GlobusResourceAllocationManager 为各种不同的资源管理工具提供了标准的接口 DUROC Dynamically UpdatedRequestOnlineCoallocator 提供协同资源分配服务 GlobusToolkits介绍 续 4 数据管理GASS GlobusAccesstoSecondaryStorage 向网格应用提供了访问远程文件系统的能力 在GSI的基础上 SIFTP实现了高性能 安全的FTP协议 GlobusToolkits介绍 续 5 通信提供了多线程通信库Nexus Nexus使用一套单一的API实现对多种通信协议的支持 在Nexus的基础上实现了基于网格系统的MPI标准的实现MPICH G 提供globus io库 在此基础上程序员可以使用TCP UDP IPmulticast 文件I O等服务实现安全 异步通信 以及QoS GlobusToolkits介绍 续 6 错误检测HeartbeatMonitor提供了对进程的监控 并定时的向其他监视器发送心跳 7 可移植性提供了可移植的libc库 线程库 数据转换库 Globus utpAPI以及GlobusToolkit要用到的基本数据类型库 三 Globus网格的安全架构 1 安全架构GSI GridSecurityInfrastructure 介绍2 一个实际应用的特征3 安全需求4 安全规则5 存在问题 安全架构GSI GridSecurityInfrastructure 介绍 GSI使用公钥加密 即非对称加密 作为整个安全系统的基础 GSI实现的主要目标是 1 客户端与计算网格之间进行安全通信 认证和私有 2 建立包括多个不同组织的安全系统 不采用集中管理的安全系统 3 对于网格用户需要提供对 单一登录 SingleSign On 的支持 安全架构GSI GridSecurityInfrastructure 介绍 续 GSI主要分为以下几个部分 1 授权 Certificates 2 双重认证 MutualAuthentication 3 私有通信 PrivateCommunication 4 安全私钥 5 代理和单一登录 ProxiesandSingleSign On 安全架构GSI GridSecurityInfrastructure 介绍 续 认证过程使用的四个协议 UserProxyCreationProtocolResourceAllocationProtocolResourceAllocationfromaProcessProtocolMappingRegistrationProtocol 一个实际应用的特征 1 资源数量巨大并且是动态的 2 一个进程在它执行的过程中会请求 使用 释放资源 3 进程之间需要通过某种机制进行通信 4 资源可能需要不同的认证和授权机制 5 一个用户在不同的结点可能使用不同的本地名字空间 证书 帐号 安全需求 网格计算系统的安全需要做到 1 单一登录 Singlesign on 2 授权保护 Protectionofcredentials 3 与本地的安全方案协同工作 Interoperabilitywithlocalsecuritysolutions 安全需求 续 4 统一的授权 证书发放机制 Uniformcredentials certificationinfrastructure 5 提供安全的组通信 Supportforsecuregroupcommunication 6 支持多种实现方案 Supportformultipleimplementations 这些要求无法用分布式系统中已经存在的技术加以解决 安全规则 1 网格环境由多个信任域组成 2 单一信任域内的操作只使用本地的安全规则 3 全局和本地对象 Subject 同时存在 对每一个信任域 存在一张从全局到本地的映射表 4 位于不同信任域的实体 Entity 上的操作需要多种认证 安全规则 续 5 一个经过认证的全局对象映射到本地对象 被假设为通过了本地的认证 6 所有访问控制决定都在本地做出 7 允许一个程序或进程以 用户 的身份出现 并被授予用户的部分权限 8 在同一个对象上运行的同一个信任域内的所有进程使用单一的证书 存在问题 1 缺乏基于规则的具有良好扩展性的访问控制机制 2 缺乏域间访问控制规则 3 缺乏安全的组通信 4 缺乏支持扩展到大量资源和大量用户的授权机制 四 研究计划 1 研究内容和方法2 研究计划3 预期成果4 参考文献 研究内容和方法 1 搭建Globus实验床在网络中心利用PC机和GlobusToolkits搭建4 8个结点的Globus实验床 在国家高性能中心利用同样的设备搭建2 4个结点的Globus实验床 这两个实验床将通过校园网连接起来 并进一步与中国科学院计算技术研究所的网格实验床连接起来 2 研究Globus的安全架构中可能存在的问题利用搭建好的Globus实验床 进行各种实验 研究Globus的安全架构中可能存在的安全问题 深入分析产生这些问题的具体原因 研究内容和方法 续 3 研究Globus的域间访问控制规则Globus的域内访问控制规则已经有明确的表达 利用域内访问控制规则并结合Globus的安全架构中可能存在的安全问题研究Globus的域间访问控制规则 并给出明确的表达形式 4 研究Globus的安全可靠的组通信技术组通信技术目前已经有比较普遍的研究 有现成的技术规范可以借鉴 但是适应于大规模的 跨地域的 动态的组通信技术的研究还刚刚起步 利用搭建好的Globus实验床 研究Globus的安全可靠的组通信技术 提出一种可行的解决方案 并在实验床上实现和验证该方案 研究计划 2001 7 2001 12文献调研和理论分析 2002 1 2002 2实验床的搭建和调试 2002 3 2002 5利用该实验床研究Globus的安全架构中可能存在的安全问题 深入分析产生这些问题的具体原因 2002 6 2002 8研究Globus的域间访问控制规则 并给出明确的表达形式 2002 9 2003 2研究Globus的安全可靠的组通信技术 提出一种可行的解决方案 并在实验床上实现和验证该方案 2003 3 2003 5撰写论文 预期成果 1 一个Globus实验床 2 Globus域间访问控制规则的表达形式 3 Globus的安全可靠的组通信技术的解决方案 4 1 2篇学术论文 5 毕业论文 目前在预研阶段撰写的论文 网格计算系统研究及发展方向 已经被 计算机科学 录用 参考文献 1 R Butler D Engert I Foster C Kesselman S Tuecke J Volmer V Welch ANational ScaleAuthenticationInfrastructure IEEEComputer 33 12 60 66 2000 2 I Foster C Kesselman G Tsudik S Tuecke ASecurityArchitectureforComputationalGrids Proc 5thACMConferenceonComputerandCommunicationsSecurityConference pg 83 92 1998 3 Fo