Globus網(wǎng)格的安全架構(gòu)中的域間訪問控制規(guī)則和安全可靠的組

Globus網(wǎng)格的安全架構(gòu)中的域間訪問控制規(guī)則和安全可靠的組通信技術(shù)研究王育峰Yfwang@2001.12.29主要內(nèi)容1.網(wǎng)格計算系統(tǒng)簡介2.Globus介紹3.Globus網(wǎng)格的安全架構(gòu)介紹4.研究內(nèi)容一、網(wǎng)格計算系統(tǒng)簡介1.產(chǎn)生背景2.定義3.特點4.系統(tǒng)結(jié)構(gòu)5.應(yīng)用6.研究現(xiàn)狀產(chǎn)生背景隨著高性能計算應(yīng)用需求的迅猛發(fā)展，解決一些超大規(guī)模應(yīng)用問題所需要的計算能力，已不可能在單一的計算機上獲得。因此，這就需要將地理上分布、系統(tǒng)異構(gòu)的多種計算資源通過高速網(wǎng)絡(luò)連接起來，構(gòu)建成網(wǎng)絡(luò)虛擬超級計算機，以此來共同解決大型應(yīng)用問題。定義將地理上分布、系統(tǒng)異構(gòu)的各種高性能計算機、數(shù)據(jù)服務(wù)器、大型檢索存儲系統(tǒng)和可視化、虛擬現(xiàn)實系統(tǒng)等，通過高速互連網(wǎng)絡(luò)連接并集成起來，形成對用戶相對透明的虛擬的高性能計算環(huán)境，即網(wǎng)格計算系統(tǒng)，這個計算環(huán)境是一個廣域范圍內(nèi)的無縫集成和協(xié)同計算環(huán)境。特點（1）擴展性：網(wǎng)格計算系統(tǒng)初期的規(guī)模較小，隨著超級計算機系統(tǒng)的不斷加入，系統(tǒng)的規(guī)模隨之擴大。（2）系統(tǒng)多層次的異構(gòu)性：構(gòu)成網(wǎng)格計算系統(tǒng)的超級計算機有多種類型，不同類型的超級計算機在體系結(jié)構(gòu)、操作系統(tǒng)及應(yīng)用軟件等多個層次上具有不同的結(jié)構(gòu)。（3）結(jié)構(gòu)的不可預(yù)測性：與一般的局域網(wǎng)系統(tǒng)和單機的結(jié)構(gòu)不同，網(wǎng)格計算系統(tǒng)由于其地域分布和系統(tǒng)的復(fù)雜使其整體結(jié)構(gòu)經(jīng)常發(fā)生變化。特點（續(xù)）（4）動態(tài)和不可預(yù)測的系統(tǒng)行為：在傳統(tǒng)的高性能計算系統(tǒng)中，計算資源是獨占的，因此系統(tǒng)的行為是可以預(yù)測的，而在網(wǎng)格計算系統(tǒng)中，由于資源的共享造成系統(tǒng)行為和系統(tǒng)性能經(jīng)常變化。（5）多級管理域：由于構(gòu)成網(wǎng)格計算系統(tǒng)的超級計算機資源通常屬于不同的機構(gòu)或組織并且使用不同的安全機制，因此需要各個機構(gòu)或組織共同參與解決多級管理域的問題。系統(tǒng)結(jié)構(gòu)（協(xié)議）GPIP：GridPublicInformationProtocolGCP：GridComputingProtocolGSIP：GridSystemInformationProtocol系統(tǒng)結(jié)構(gòu)（軟件）Ourservicegridconsistsofthreepartsofsoftware:theclientside,thenetworkside,andtheserverside.應(yīng)用（1）桌面超級計算：這些與遠程超級計算機和數(shù)據(jù)庫相耦合的應(yīng)用具有高端圖形處理能力，這種耦合使用戶在獲得超級計算能力的同時，與計算資源、應(yīng)用開發(fā)人員以及其他用戶保持遠程距離。（2）精密儀器：這些應(yīng)用將用戶和遠程超級計算機系統(tǒng)上的望遠鏡、顯微鏡以及衛(wèi)星接收裝置相連以獲得準實時的數(shù)據(jù)處理。應(yīng)用（續(xù)續(xù)）（3）協(xié)協(xié)同環(huán)境境：第三三方應(yīng)用用將多個個虛擬環(huán)環(huán)境組織織在一起起，不同同地點的的用戶可可以和其其他用戶戶和超級級計算機機模擬系系統(tǒng)進行行交互。。（4）分分布式超超級計算算：這些些應(yīng)用將將多個超超級計算算機組織織在一起起，解決決一些單單機難以以處理的的問題，，或者將將問題分分解到多多臺計算算機上并并行處理理。研究現(xiàn)狀狀由于網(wǎng)格格計算系系統(tǒng)具有有擴展性性、系統(tǒng)統(tǒng)多層次次的異構(gòu)構(gòu)性、結(jié)結(jié)構(gòu)的不不可預(yù)測測性、動動態(tài)和不不可預(yù)測測的系統(tǒng)統(tǒng)行為、、多級管管理域等等特點，，網(wǎng)格計計算系統(tǒng)統(tǒng)本身存存在著很很多問題題，比如如：動態(tài)態(tài)自適應(yīng)應(yīng)性問題題、安全全管理問問題、缺缺乏高效效的程序序編譯模模型和執(zhí)執(zhí)行引擎擎等。這這些問題題的存在在限制了了網(wǎng)格技技術(shù)的進進一步發(fā)發(fā)展和網(wǎng)網(wǎng)格應(yīng)用用的進一一步推廣廣。研究現(xiàn)狀狀（續(xù)））研究現(xiàn)狀狀（續(xù)））網(wǎng)格的研研究項目目可簡單單地分成成有代表表性的兩兩類：(1)Globus項項目提供基礎(chǔ)礎(chǔ)的軟件件,集成成分散的的異構(gòu)資資源，形形成一個個單一的的計算環(huán)境。其其核心是是Globus網(wǎng)格計算工具包，，這是一一個構(gòu)筑筑網(wǎng)格計算算環(huán)境的中中間件，，提供基基本的資資源定位位、管理理、通信信和安全全等服務(wù)務(wù)。該計計算工具具包是模模塊化的的，允許許用戶按按自己的的需要定定制環(huán)境境。研究現(xiàn)狀狀（續(xù)））(2)基基于Java的的網(wǎng)格計算算Java語言和和相關(guān)技技術(shù)成功功地解決決了困擾擾網(wǎng)格計算算的幾個關(guān)關(guān)鍵問題題，如異異構(gòu)性和和安全性性，另一一個重要要的優(yōu)勢勢是Java程程序的最最小執(zhí)行行環(huán)境可可以在Web瀏瀏覽器器中執(zhí)行行而不需需要另外外安裝軟軟件，理理論上全全球任意意一臺裝裝有Web瀏覽覽器的機機器都可可以進行行全球計算。盡管Java平臺還還存在效效率低等等問題，，但它無無疑將大大大影響響網(wǎng)格計算算模式的發(fā)發(fā)展，使使實現(xiàn)全全球分布布式計算已不再是是一個夢夢想。研究現(xiàn)狀狀（續(xù)））中國科學(xué)學(xué)院計算算技術(shù)研研究所做做了大量量網(wǎng)格技技術(shù)方面面的研究究工作，，他們設(shè)設(shè)計并實實現(xiàn)了國國家高性性能計算算環(huán)境（（NHPCE）），目前前從事織織女星網(wǎng)網(wǎng)格的設(shè)設(shè)計和實實現(xiàn)的研研究工作作。網(wǎng)格格計算系系統(tǒng)的研研究已經(jīng)經(jīng)成為國國家863項目目的研究究內(nèi)容。。二、Globus介介紹1.Globus項目目簡介2.Globus研究究方向3.GlobusToolkits介介紹項目簡介介Globus項項目由由TheDefenseAdvancedResearchProjectsAgency(DARPA)，，U.S.DepartmentofEnergy，，TheNationalScienceFoundation（（NSF），，theNationalAeronauticsandSpaceAdministration（（NASA））等機構(gòu)構(gòu)共同資資助。項項目的承承擔單位位是ArgonneNationalLaboratory’sMathematicsandComputerScienceDivision以及及theUniversityofSouthernCalifornia’sInformationSciencesInstitute。。項目開開始于1996年。。項目簡介介（續(xù)））Globus是一個研研究性的的項目，，其主要要的研究究目標有有兩個：：1）網(wǎng)格技技術(shù)的研研究,2）相應(yīng)軟軟件的開開發(fā)和標標準的制制定。同同時，Globus項目還涉涉及到網(wǎng)網(wǎng)格應(yīng)用用的開發(fā)發(fā)以及Testbed的建立。。Globus項目是一一個較為為長期的的項目，，對網(wǎng)格格技術(shù)進進行了深深入的研研究，并并開發(fā)了了比較成成熟的軟軟件GlobusToolkits。最近已已經(jīng)開始始進行網(wǎng)網(wǎng)格的標標準化工工作。Globus項目完成成了多篇篇學(xué)術(shù)論論文，其其研究成成果在國國際上產(chǎn)產(chǎn)生了重重要的影影響，網(wǎng)網(wǎng)格技術(shù)術(shù)已經(jīng)成成為高性性能計算算研究領(lǐng)領(lǐng)域中的的熱點。。研究方向向Globus項目主要要針對以以下幾個個方面進進行了研研究：（1）資資源管理理：主要要的工作作集中在在通信資資源和計計算資源源的命名名和定位位。（2）數(shù)據(jù)管管理:主要集集中在分布式式環(huán)境下如何何對數(shù)據(jù)進行行管理，特別別是涉及到數(shù)數(shù)據(jù)密集型的的高性能計算算問題。同時時提出了DataGrid。（3）應(yīng)用開開發(fā)環(huán)境:主主要研究如何何為網(wǎng)格應(yīng)用用，包括精密密儀器、顯示示、計算資源源和信息資源源提供易用的的開發(fā)環(huán)境和和編程語言（（如CORBA，JAVA，Perl，Python）。研究方向（續(xù)續(xù)）（4）信息服服務(wù)：主要研研究如何提供供準確、實時時的信息來配配置計算機、、網(wǎng)絡(luò)以及協(xié)協(xié)議、算法等等資源，實現(xiàn)現(xiàn)高性能的分分布式計算環(huán)環(huán)境。（5）安全：：主要研究如如何在多個管管理域、多種種安全策略，，以及主體動動態(tài)變化的條條件下提供網(wǎng)網(wǎng)格統(tǒng)一的安安全方案。GlobusToolkits介介紹Globus工具包是一一個構(gòu)筑網(wǎng)格計算環(huán)境的中間件件，提供基本本的資源定位位、管理、通通信和安全等等服務(wù)。該計計算工具包是是模塊化的，，允許用戶按按自己的需要要定制環(huán)境。。利用這套工工具可以建立立計算網(wǎng)格，，并可以進行行網(wǎng)格應(yīng)用的的開發(fā)。GlobusToolkits介介紹（續(xù)））GlobusTookkit主主要包括以下下的內(nèi)容：（1）安全架架構(gòu)GSI（（GridSecuityInfrastructure））GSI的主主要目標為：：1）計算算網(wǎng)格的通信信安全（安全全認證和信息息私有），2）包含多多個管理域的的分布式安全全系統(tǒng)3））用戶的單一一登錄。在使使用公鑰加密密、X.509認證以以及安全傳輸輸層（SSL）協(xié)議并并結(jié)合GenericSecurityServiceAPI的基礎(chǔ)上上，GSI實實現(xiàn)了雙重重認證和用戶戶的單一登錄錄。GlobusToolkits介介紹（續(xù)））（2）信息息架構(gòu)MDS（（MetacomputingDirectoryService））在LDAP協(xié)協(xié)議的基礎(chǔ)礎(chǔ)上提供了了對網(wǎng)格資資源信息的的統(tǒng)一命名名。GRIS（GridResourceInformationService）提供供了對網(wǎng)格格中各種資資源的狀況況、配置、、性能的查查詢。GIIS（（GridIndexInformationService））為網(wǎng)格提提供了對各各種信息資資源的檢索索。GlobusToolkits介介紹（續(xù)））（3）資源源管理RSL（（ResourceSpecificationLanguage））用于資資源管理各各個組成部部分之間進進行資源需需求信息的的交換。GRAM（（GlobusResourceAllocationManager））為各種種不同的資資源管理工工具提供了了標準的接接口。DUROC（（Dynamically-UpdatedRequestOnlineCoallocator））提供協(xié)協(xié)同資源分分配服務(wù)。。GlobusToolkits介介紹紹（（續(xù)續(xù)））（4））數(shù)數(shù)據(jù)據(jù)管管理理GASS（（GlobusAccesstoSecondaryStorage））向向網(wǎng)網(wǎng)格格應(yīng)應(yīng)用用提提供供了了訪訪問問遠遠程程文文件件系系統(tǒng)統(tǒng)的的能能力力。。在在GSI的的基基礎(chǔ)礎(chǔ)上上，，SIFTP實實現(xiàn)現(xiàn)了了高高性性能能、、安安全全的的FTP協(xié)協(xié)議議。。GlobusToolkits介介紹紹（（續(xù)續(xù)））（5））通通信信提供供了了多多線線程程通通信信庫庫Nexus，，Nexus使使用用一一套套單單一一的的API實實現(xiàn)現(xiàn)對對多多種種通通信信協(xié)協(xié)議議的的支支持持。。在在Nexus的的基基礎(chǔ)礎(chǔ)上上實實現(xiàn)現(xiàn)了了基基于于網(wǎng)網(wǎng)格格系系統(tǒng)統(tǒng)的的MPI標標準準的的實實現(xiàn)現(xiàn)MPICH-G。。提提供供globus_io庫庫，，在在此此基基礎(chǔ)礎(chǔ)上上程程序序員員可可以以使使用用TCP、、UDP、、IPmulticast、、文文件件I/O等等服服務(wù)務(wù)實實現(xiàn)現(xiàn)安安全全、、異異步步通通信信，，以以及及QoS。。GlobusToolkits介介紹（續(xù)））（6）錯誤檢檢測HeartbeatMonitor提供了了對進程的監(jiān)監(jiān)控，并定時時的向其他監(jiān)監(jiān)視器發(fā)送心心跳。（7）可移植植性提供了可移植植的libc庫，線程程庫，數(shù)據(jù)轉(zhuǎn)轉(zhuǎn)換庫，Globus_utpAPI以及及GlobusToolkit要要用到的基本本數(shù)據(jù)類型庫庫。三、Globus網(wǎng)格的安全全架構(gòu)1.安全架構(gòu)構(gòu)GSI（（GridSecurityInfrastructure））介紹2.一個實際際應(yīng)用的特征征3.安全需求求4.安全規(guī)則則5.存在問題題安全架構(gòu)GSI（GridSecurityInfrastructure）介紹GSI使用用公鑰加密（（即非對稱加加密）作為整整個安全系統(tǒng)統(tǒng)的基礎(chǔ)。GSI實現(xiàn)現(xiàn)的主要目標標是：(1)客戶端端與計算網(wǎng)格格之間進行安安全通信（認認證和私有））。(2)建立包包括多個不同同組織的安全全系統(tǒng)，不采采用集中管理理的安全系統(tǒng)統(tǒng)。(3)對于網(wǎng)網(wǎng)格用戶需要要提供對“單單一登錄（SingleSign-On））”的支持。。安全架構(gòu)GSI（GridSecurityInfrastructure）介紹（續(xù)））GSI主要要分為以下幾幾個部分：(1)授權(quán)（（Certificates）(2)雙重認認證（MutualAuthentication））(3)私有通通信（PrivateCommunication））(4)安全私私鑰（）(5)代理和和單一登錄（（ProxiesandSingleSign-On）安全架構(gòu)GSI（GridSecurityInfrastructure）介紹（續(xù)））認證過程使用用的四個協(xié)議議：UserProxyCreationProtocolResourceAllocationProtocolResourceAllocationfromaProcessProtocolMappingRegistrationProtocol一個實際應(yīng)用用的特征（1）資源數(shù)數(shù)量巨大并且且是動態(tài)的。。（2）一個進進程在它執(zhí)行行的過程中會會請求，使用用，釋放資源源。（3）進程之之間需要通過過某種機制進進行通信。（4）資源可可能需要不同同的認證和授授權(quán)機制。（5）一個用用戶在不同的的結(jié)點可能使使用不同的本本地名字空間間，證書，帳帳號。安全需求網(wǎng)格計算系統(tǒng)統(tǒng)的安全需要要做到：（1）單一登登錄（Singlesign-on）（2）授權(quán)保保護（Protectionofcredentials））（3）與本地地的安全方案案協(xié)同工作（（Interoperabilitywithlocalsecuritysolutions）安全需求(續(xù)續(xù)）（4）統(tǒng)一的的授權(quán)/證書書發(fā)放機制（（Uniformcredentials/certificationinfrastructure）（5）提供安安全的組通信信（Supportforsecuregroupcommunication）（6）支持多多種實現(xiàn)方案案（Supportformultipleimplementations）這些要求無法法用分布式系系統(tǒng)中已經(jīng)存存在的技術(shù)加加以解決。安全規(guī)則（1）網(wǎng)格環(huán)環(huán)境由多個信信任域組成。。（2）單一信信任域內(nèi)的操操作只使用本本地的安全規(guī)規(guī)則。（3）全局和和本地對象（（Subject)同時時存在；對每每一個信任域域，存在一張張從全局到本本地的映射表表。（4）位于不不同信任域的的實體(Entity)上的操作需需要多種認證證。安全規(guī)則（續(xù)續(xù)）（5）一個經(jīng)經(jīng)過認證的全全局對象映射射到本地對象象，被假設(shè)為為通過了本地地的認證。（6）所有訪訪問控制決定定都在本地做做出。（7）允許一一個程序或進進程以“用戶戶”的身份出出現(xiàn)，并被授授予用戶的部部分權(quán)限。（8）在同一一個對象上運運行的同一個個信任域內(nèi)的的所有進程使使用單一的證證書。存在問題（1）缺乏基基于規(guī)則的具具有良好擴展展性的訪問控控制機制。（2）缺乏域域間訪問控制制規(guī)則。（3）缺乏安安全的組通信信。（4）缺乏支支持擴展到大大量資源和大大量用戶的授授權(quán)機制。四、研究計劃1.研究內(nèi)容容和方法2.研究計劃劃3.預(yù)期成果果4.參考文獻獻研究內(nèi)容和方方法（1）搭建Globus實驗床在網(wǎng)絡(luò)中心利利用PC機和和GlobusToolkits搭建4－8個結(jié)點的Globus實驗床，在在國家高性能能中心利用同同樣的設(shè)備搭搭建2－4個個結(jié)點的Globus實實驗床，這兩兩個實驗床將將通過校園網(wǎng)網(wǎng)連接起來，，并進一步與與中國科學(xué)院院計算技術(shù)研研究所的網(wǎng)格格實驗床連接接起來。（2）研究Globus的安全架構(gòu)構(gòu)中可能存在在的問題利用搭建好的的Globus實驗床，，進行各種實實驗，研究Globus的安全架構(gòu)構(gòu)中可能存在在的安全問題題，深入分析析產(chǎn)生這些問問題的具體原原因。研究內(nèi)容和方方法（續(xù)）（3）研究Globus的域間訪問問控制規(guī)則Globus的域內(nèi)訪問問控制規(guī)則已已經(jīng)有明確的的表達，利用用域內(nèi)訪問控控制規(guī)則并結(jié)結(jié)合Globus的安全全架構(gòu)中可能能存在的安全全問題研究Globus的域間訪問問控制規(guī)則，，并給出明確確的表達形式式。（4）研究Globus的安全可靠靠的組通信技技術(shù)組通信技術(shù)目目前已經(jīng)有比比較普遍的研研究，有現(xiàn)成成的技術(shù)規(guī)范范可以借鑒，，但是適應(yīng)于于大規(guī)模的、、跨地域的、、動態(tài)的組通通信技術(shù)的研研究還剛剛起起步。利用搭搭建好的Globus實實驗床，研究究Globus的安全可可靠的組通信信技術(shù)，提出出一種可行的的解決方案，，并在實驗床床上實現(xiàn)和驗驗證該方案。。研究計劃2001.7---2001.12文文獻調(diào)研和和理論分析。。2002.1---2002.2實實驗床床的搭建和調(diào)調(diào)試。2002.3---2002.5利利用用該實驗床研研究Globus的安全全架構(gòu)中可能能存在的安全全問題,深入入分析產(chǎn)生這這些問題的具具體原因。2002.6---2002.8研研究Globus的的域間訪問控控制規(guī)則,并并給出明確的的表達形式。。2002.9---2003.2研研究Globus的的安全可靠的的組通信技術(shù)術(shù)，提出一種種可行的解決決方案，并在在實驗床上實實現(xiàn)和驗證該該方案。2003.3---2003.5撰撰寫論論文。預(yù)期成果(1)一個Globus實驗床。(2)Globus域間間訪問控制規(guī)規(guī)則的表達形形式。(3)Globus的安安全可靠的組組通信技術(shù)的的解決方案。。(4)1-2篇學(xué)術(shù)論文文。(5)畢業(yè)論論文。目前在預(yù)研階階段撰寫的論論文《網(wǎng)格計計算系統(tǒng)研究究及發(fā)展方向向》，已經(jīng)被被《計算機科科學(xué)》錄用。。參考文獻(1)R.Butler,D.Engert,I.Foster,C.Kesselman,S.Tuecke,J.Volmer,V.Welch,ANational-ScaleAuthenticationInfrastructure,IEEEComputer,33(12):60-66,2000.(2)I.Foster,C.Kesselman,G.Tsudik,S.Tuecke,ASecurityArchitectureforComputationalGrids,Proc.5thACMConferenceonComputerandCommunicationsSecurityConference,pg.83-92,1998.(3)Foster,C.Kesselman,Globus:AMetacomputinInfrastructureToolkit,IntlJ.SupercomputerApplications,11(2):115-128,1997.參考文獻（續(xù)續(xù)）(4)Foster,C.Kesselman,TheGlobusProject:AStatusReport,Proc.IPPS/SPDP'98HeterogeneousComputingWorkshop,pg.4-18,1998.(5)Foster,C.Kesselman,S.Tuecke,TheAnatomyoftheGrid,Intl.J.SupercomputerApplications,15(3),2001.(6)ArgonneNationalLaboratory,USCInformationSciencesInstitute,GridArchitecture參考文文獻（（續(xù)））謝謝各各位??！9、靜靜夜夜四四無無鄰鄰，，荒荒居居舊舊業(yè)業(yè)貧貧。。。。12月月-2212月月-22Wednesday,December7,202210、雨雨中中黃黃葉葉樹樹，，燈燈下下白白頭頭人人。。。。22:04:1522:04:1522:0412/7/202210:04:15PM11、以我獨獨沈久，，愧君相相見頻。。。12月-2222:04:1522:04Dec-2207-Dec-2212、故人江海海別，幾度度隔山川。。。22:04:1522:04:1522:04Wednesday,December7,202213、乍見見翻疑疑夢，，相悲悲各問問年。。。12月月-2212月月-2222:04:1522:04:15December7,202214、他鄉(xiāng)生生白發(fā)，，舊國見見青山。。。07十十二月202210:04:15下下午22:04:1512月-2215、比不了了得就不不比，得得不到的的就不要要。。。十二月2210:04下下午12月-2222:04December7,202216、行動動出成成果，，工作作出財財富。。。2022/12/722:04:1522:04:1507December202217、做前前，能能夠環(huán)環(huán)視四四周；；做時時，你你只能能或者者最好好沿著著以腳腳為起起點的的射線線向前前。。。10:04:15下下午午10:04下下午22:04:1512月月-229、沒有失敗敗，只有暫暫時停止成成功！。12月-2212月-22Wednesday,December7,202210、很很多多事事情情努努力力了了未未必必有有結(jié)結(jié)果果，，但但是是不不努努力力卻卻什什么么改改變變也也沒沒有有。。。。22:04:1522:04:1522:0412/7/202210:04:15PM11、成功功就是是日復(fù)復(fù)一日日那一一點點點小小小努力力的積積累。。。12月月-2222:04:1522:04Dec-2207-Dec-2212、世間成事事，不求其其絕對圓滿滿，留一份份不足，可可得無限完完美。。22:04:1522:04:1522:04Wednesday,December7,202213、不知香香積寺，，數(shù)里入入云峰。。。12月-2212月-2222:04:1522:04:15December7,202214、意志堅堅強的人人能把世