網(wǎng)格認(rèn)證授權(quán)機(jī)制研究及其在校園計(jì)算網(wǎng)絡(luò)中的實(shí)現(xiàn).pdf

1、隨著網(wǎng)格技術(shù)的迅猛發(fā)展,網(wǎng)格安全成為影響網(wǎng)格技術(shù)發(fā)展和應(yīng)用的關(guān)鍵問(wèn)題。特別當(dāng)網(wǎng)格門(mén)戶(hù)引入后,如何提供網(wǎng)格門(mén)戶(hù)層資源的安全管理、如何通過(guò)門(mén)戶(hù)管理用戶(hù)證書(shū),如何對(duì)網(wǎng)格底層資源進(jìn)行授權(quán)等問(wèn)題,成為當(dāng)前網(wǎng)格安全領(lǐng)域中的研究熱點(diǎn)。
　　 本文的研究工作以網(wǎng)格門(mén)戶(hù)安全需求為背景,在“校園計(jì)算網(wǎng)格平臺(tái)UCGrid3.0”的基礎(chǔ)上展開(kāi)。該平臺(tái)在安全需求中忽視了下列問(wèn)題:網(wǎng)格門(mén)戶(hù)層資源和證書(shū)的安全、有效管理,網(wǎng)格底層資源的細(xì)粒度授權(quán),為用戶(hù)提供單

2、點(diǎn)登錄功能等。并且目前業(yè)界對(duì)門(mén)戶(hù)層上資源的安全訪問(wèn)控制還沒(méi)有一套很好的解決方案,在網(wǎng)格授權(quán)方面也存在粒度較粗的問(wèn)題。
　　 針對(duì)上述問(wèn)題,本文研究了經(jīng)典的認(rèn)證與授權(quán)系統(tǒng),包括:Kerberos認(rèn)證系統(tǒng)以及CAS、VOMS、Akenti和Permis四種授權(quán)系統(tǒng),并分析了上述系統(tǒng)的認(rèn)證授權(quán)原理,指出了Kerberos認(rèn)證系統(tǒng)對(duì)單點(diǎn)登錄的支持較差以及四種授權(quán)系統(tǒng)在授權(quán)時(shí)存在粒度不夠等缺陷。在此基礎(chǔ)上,深入研究了Globus Tool

3、kit4中的安全組件一網(wǎng)格安全基礎(chǔ)設(shè)施(GSI)以及其中的認(rèn)證與授權(quán)方式,探討了如何通過(guò)安全描述符將自定義的認(rèn)證授權(quán)接口引入到GSI中；同時(shí)對(duì)本文設(shè)計(jì)認(rèn)證授權(quán)組件采用的關(guān)鍵技術(shù)進(jìn)行了研究和應(yīng)用探索,其中包括基于角色訪問(wèn)控制框架(RBAC),以及安全斷言標(biāo)記語(yǔ)言(SAML標(biāo)準(zhǔn))和可擴(kuò)展訪問(wèn)控制標(biāo)記語(yǔ)言(XACML標(biāo)準(zhǔn))。RBAC框架在用戶(hù)與權(quán)限之間引入了“角色”的概念,通過(guò)將具體的用戶(hù)映射到抽象的角色上,再將角色與權(quán)限相關(guān)聯(lián)達(dá)到了基于角色

4、的訪問(wèn)控制。在網(wǎng)格中不同的虛擬組織(VO)可能擁有自己的一套認(rèn)證授權(quán)策略,在跨VO訪問(wèn)時(shí)給認(rèn)證授權(quán)帶來(lái)了很大的挑戰(zhàn)。由于SAML和XACML都是基于XML的標(biāo)準(zhǔn),因此在認(rèn)證授權(quán)的時(shí)候可以以一種統(tǒng)一的方式進(jìn)行,屏蔽了不同的認(rèn)證授權(quán)策略之間的相互轉(zhuǎn)換,從而給執(zhí)行認(rèn)證授權(quán)操作帶來(lái)了便利。其中,SAML通過(guò)將認(rèn)證方式、認(rèn)證時(shí)間、IP地址以及認(rèn)證憑證等內(nèi)容通過(guò)SAML斷言的方式進(jìn)行傳輸,以達(dá)到用戶(hù)憑此斷言可以訪問(wèn)不同的VO,而無(wú)需重新驗(yàn)證用戶(hù)的身

5、份,可支持實(shí)現(xiàn)單點(diǎn)登錄。XACML則將驗(yàn)證通過(guò)的用戶(hù)所具有的權(quán)限以XML的方式保存在策略文件中,用戶(hù)每次訪問(wèn)的請(qǐng)求都會(huì)與該策略文件做比較,并返回授權(quán)是否成功的響應(yīng)。由于權(quán)限保存在策略文件中,因此可以很靈活的設(shè)置每個(gè)用戶(hù)的權(quán)限,達(dá)到動(dòng)態(tài)授權(quán)的效果。
　　 在上述研究基礎(chǔ)上,本文結(jié)合GSI與SAML,提出了基于GSI的SAML認(rèn)證方法,利用該方法在跨域訪問(wèn)時(shí),實(shí)現(xiàn)了“一處認(rèn)證,多處訪問(wèn)”的功能；在GSI的基礎(chǔ)上,結(jié)合RBAC和XAC