基于角色的網(wǎng)格細(xì)粒度授權(quán)的研究.pdf

1、網(wǎng)格計(jì)算作為一種新模式的分布式計(jì)算基礎(chǔ)架構(gòu),因其資源和服務(wù)的異構(gòu)、動(dòng)態(tài)、多域的特征,決定了安全機(jī)制的重要性.授權(quán)和訪問控制是安全的一個(gè)非常重要的部分,但是在目前,還沒有一個(gè)很好的方法解決這個(gè)問題.GT2通過用訪問控制列表文件映射全局用戶證書標(biāo)識(shí)到本地帳號(hào)的方式來進(jìn)行授權(quán),GT3工具包也采用了同樣的方法.但是這樣的方法不能很好滿足虛擬域里用戶的需求.例如:作業(yè)管理的授權(quán)是粗粒度和靜態(tài)的,本地程序的執(zhí)行主要依靠本地帳號(hào)賦予的權(quán)利,而不能隨著

2、用戶的特定請求而改變權(quán)限.除此之外,每一個(gè)網(wǎng)格用戶都必須擁有一個(gè)本地帳戶,這無疑加重了系統(tǒng)管理員和用戶的負(fù)擔(dān).針對這些不足,同時(shí)結(jié)合具體環(huán)境的需求,在分析RBAC96模型的基礎(chǔ)上,利用Globus工具包中已有的安全驗(yàn)證環(huán)境,提出了網(wǎng)格計(jì)算中一種面向域的通用授權(quán)和訪問控制結(jié)構(gòu)模型RB-GACA,以實(shí)現(xiàn)細(xì)粒度授權(quán).在RB-GACA模型中,引入了域、組織機(jī)構(gòu)、操作組和對象組等重要概念.利用域和組織機(jī)構(gòu),簡化了RBAC模型的實(shí)現(xiàn)難度,操作組概念

3、的引入,使得安全管理員可以從部門業(yè)務(wù)的角度上進(jìn)行授權(quán)管理,提高了授權(quán)管理的可操作性,降低了操作失誤的可能性.整個(gè)模型實(shí)現(xiàn)包括三個(gè)部分:角色授權(quán)管理子系統(tǒng)、訪問控制決策子系統(tǒng)和授權(quán)仲裁子系統(tǒng).角色授權(quán)管理子系統(tǒng)負(fù)責(zé)授權(quán)策略的管理,利用的規(guī)范標(biāo)準(zhǔn)是SAML和X.509證書及其擴(kuò)展;訪問控制決策子系統(tǒng)負(fù)責(zé)管理虛擬域內(nèi)用戶的驗(yàn)證和授權(quán),授權(quán)通過查詢策略數(shù)據(jù)庫里的用戶證書標(biāo)識(shí),返回一個(gè)嵌入有請求用戶權(quán)限宣言的代理證書,使其能訪問相關(guān)被授予權(quán)限的資