Globus網(wǎng)格的安全架構(gòu)中的域間訪問(wèn)控制規(guī)則和安全可靠的組ppt課件

1、Globus網(wǎng)格的平安架構(gòu)中的域間訪問(wèn)控制規(guī)那么和平安可靠的組通訊技術(shù)研討王育峰Yfwang2001.12.29主要內(nèi)容1.網(wǎng)格計(jì)算系統(tǒng)簡(jiǎn)介2.Globus引見(jiàn)3.Globus網(wǎng)格的平安架構(gòu)引見(jiàn)4.研討內(nèi)容一、 網(wǎng)格計(jì)算系統(tǒng)簡(jiǎn)介1.產(chǎn)生背景2.定義3.特點(diǎn)4.系統(tǒng)構(gòu)造5.運(yùn)用6.研討現(xiàn)狀產(chǎn)生背景 隨著高性能計(jì)算運(yùn)用需求的迅猛開展，處理一些超大規(guī)模運(yùn)用問(wèn)題所需求的計(jì)算才干，已不能夠在單一的計(jì)算機(jī)上獲得。因此，這就需求將地理上分布、系統(tǒng)異構(gòu)的多種計(jì)算資源經(jīng)過(guò)高速網(wǎng)絡(luò)銜接起來(lái)，構(gòu)建成網(wǎng)絡(luò)虛擬超級(jí)計(jì)算機(jī)，以此來(lái)共同處理大型運(yùn)用問(wèn)題。定義 將地理上分布、系統(tǒng)異構(gòu)的各種高性能計(jì)算機(jī)、數(shù)據(jù)效力器、大型檢索存

2、儲(chǔ)系統(tǒng)和可視化、虛擬現(xiàn)實(shí)系統(tǒng)等，經(jīng)過(guò)高速互連網(wǎng)絡(luò)銜接并集成起來(lái)，構(gòu)成對(duì)用戶相對(duì)透明的虛擬的高性能計(jì)算環(huán)境，即網(wǎng)格計(jì)算系統(tǒng)，這個(gè)計(jì)算環(huán)境是一個(gè)廣域范圍內(nèi)的無(wú)縫集成和協(xié)同計(jì)算環(huán)境。特點(diǎn)1擴(kuò)展性：網(wǎng)格計(jì)算系統(tǒng)初期的規(guī)模較小，隨著超級(jí)計(jì)算機(jī)系統(tǒng)的不斷參與，系統(tǒng)的規(guī)模隨之?dāng)U展。2系統(tǒng)多層次的異構(gòu)性：構(gòu)成網(wǎng)格計(jì)算系統(tǒng)的超級(jí)計(jì)算機(jī)有多種類型，不同類型的超級(jí)計(jì)算機(jī)在體系構(gòu)造、操作系統(tǒng)及運(yùn)用軟件等多個(gè)層次上具有不同的構(gòu)造。3構(gòu)造的不可預(yù)測(cè)性：與普通的局域網(wǎng)系統(tǒng)和單機(jī)的構(gòu)造不同，網(wǎng)格計(jì)算系統(tǒng)由于其地域分布和系統(tǒng)的復(fù)雜使其整體構(gòu)造經(jīng)常發(fā)生變化。特點(diǎn)續(xù)4動(dòng)態(tài)和不可預(yù)測(cè)的系統(tǒng)行為：在傳統(tǒng)的高性能計(jì)算系統(tǒng)中，計(jì)算資源是獨(dú)

3、占的，因此系統(tǒng)的行為是可以預(yù)測(cè)的，而在網(wǎng)格計(jì)算系統(tǒng)中，由于資源的共享呵斥系統(tǒng)行為和系統(tǒng)性能經(jīng)常變化。5多級(jí)管理域：由于構(gòu)成網(wǎng)格計(jì)算系統(tǒng)的超級(jí)計(jì)算機(jī)資源通常屬于不同的機(jī)構(gòu)或組織并且運(yùn)用不同的平安機(jī)制，因此需求各個(gè)機(jī)構(gòu)或組織共同參與處理多級(jí)管理域的問(wèn)題。系統(tǒng)構(gòu)造協(xié)議GPIP：Grid Public Information ProtocolGCP：Grid Computing ProtocolGSIP：Grid System Information Protocol系統(tǒng)構(gòu)造軟件 Our service grid consists of three parts of software: the cli

4、ent side, the network side, and the server side. 運(yùn)用1桌面超級(jí)計(jì)算：這些與遠(yuǎn)程超級(jí)計(jì)算機(jī)和數(shù)據(jù)庫(kù)相耦合的應(yīng)器具有高端圖形處置才干，這種耦合運(yùn)用戶在獲得超級(jí)計(jì)算才干的同時(shí)，與計(jì)算資源、運(yùn)用開發(fā)人員以及其他用戶堅(jiān)持遠(yuǎn)程間隔。2精細(xì)儀器：這些運(yùn)用將用戶和遠(yuǎn)程超級(jí)計(jì)算機(jī)系統(tǒng)上的望遠(yuǎn)鏡、顯微鏡以及衛(wèi)星接納安裝相連以獲得準(zhǔn)實(shí)時(shí)的數(shù)據(jù)處置。運(yùn)用續(xù)3協(xié)同環(huán)境：第三方運(yùn)用將多個(gè)虛擬環(huán)境組織在一同，不同地點(diǎn)的用戶可以和其他用戶和超級(jí)計(jì)算機(jī)模擬系統(tǒng)進(jìn)展交互。4分布式超級(jí)計(jì)算：這些運(yùn)用將多個(gè)超級(jí)計(jì)算機(jī)組織在一同，處理一些單機(jī)難以處置的問(wèn)題，或者將問(wèn)題分解到多臺(tái)計(jì)算機(jī)上

5、并行處置。研討現(xiàn)狀 由于網(wǎng)格計(jì)算系統(tǒng)具有擴(kuò)展性、系統(tǒng)多層次的異構(gòu)性、構(gòu)造的不可預(yù)測(cè)性、動(dòng)態(tài)和不可預(yù)測(cè)的系統(tǒng)行為、多級(jí)管理域等特點(diǎn)，網(wǎng)格計(jì)算系統(tǒng)本身存在著很多問(wèn)題，比如：動(dòng)態(tài)自順應(yīng)性問(wèn)題、平安管理問(wèn)題、缺乏高效的程序編譯模型和執(zhí)行引擎等。這些問(wèn)題的存在限制了網(wǎng)格技術(shù)的進(jìn)一步開展和網(wǎng)格運(yùn)用的進(jìn)一步推行。 研討現(xiàn)狀續(xù) 目前國(guó)外許多政府部門、研討機(jī)構(gòu)、跨國(guó)公司和著名大學(xué)的許多科研人員從事網(wǎng)格計(jì)算系統(tǒng)的研討，曾經(jīng)開展了許多論壇：/、實(shí)驗(yàn)環(huán)境和研討工程。較有代表性的網(wǎng)格計(jì)算工程包括：實(shí)驗(yàn)床、Globus工程、Legion工程、Globe工程、NetSolve工程、Javalin工程等。研討現(xiàn)狀續(xù) 網(wǎng)格的研

6、討工程可簡(jiǎn)單地分成有代表性的兩類：(1)Globus工程 提供根底的軟件,集成分散的異構(gòu)資源，構(gòu)成一個(gè)單一的計(jì)算環(huán)境。其中心是Globus網(wǎng)格計(jì)算工具包，這是一個(gè)構(gòu)筑網(wǎng)格計(jì)算環(huán)境的中間件，提供根本的資源定位、管理、通訊和平安等效力。該計(jì)算工具包是模塊化的，允許用戶按本人的需求定制環(huán)境。研討現(xiàn)狀續(xù)(2)基于Java的網(wǎng)格計(jì)算 Java言語(yǔ)和相關(guān)技術(shù)勝利地處理了困擾網(wǎng)格計(jì)算的幾個(gè)關(guān)鍵問(wèn)題，如異構(gòu)性和平安性，另一個(gè)重要的優(yōu)勢(shì)是Java程序的最小執(zhí)行環(huán)境可以在Web 閱讀器中執(zhí)行而不需求另外安裝軟件，實(shí)際上全球恣意一臺(tái)裝有Web閱讀器的機(jī)器都可以進(jìn)展全球計(jì)算。雖然Java平臺(tái)還存在效率低等問(wèn)題，但它無(wú)

7、疑將大大影響網(wǎng)格計(jì)算方式的開展，使實(shí)現(xiàn)全球分布式計(jì)算已不再是一個(gè)夢(mèng)想。 研討現(xiàn)狀續(xù) 中國(guó)科學(xué)院計(jì)算技術(shù)研討所做了大量網(wǎng)格技術(shù)方面的研討任務(wù)，他們?cè)O(shè)計(jì)并實(shí)現(xiàn)了國(guó)家高性能計(jì)算環(huán)境NHPCE，目前從事織女星網(wǎng)格的設(shè)計(jì)和實(shí)現(xiàn)的研討任務(wù)。網(wǎng)格計(jì)算系統(tǒng)的研討曾經(jīng)成為國(guó)家863工程的研討內(nèi)容。二、 Globus引見(jiàn)1.Globus工程簡(jiǎn)介2.Globus研討方向3.Globus Toolkits 引見(jiàn)工程簡(jiǎn)介 Globus 工程由The Defense Advanced Research Projects Agency (DARPA)，U.S. Department of Energy ，The Natio

8、nal Science Foundation NSF ，the National Aeronautics and Space Administration NASA 等機(jī)構(gòu)共同資助。工程的承當(dāng)單位是Argonne National Laboratorys Mathematics and Computer Science Division 以及the University of Southern Californias Information Sciences Institute 。工程開場(chǎng)于1996 年。工程簡(jiǎn)介續(xù) Globus 是一個(gè)研討性的工程，其主要的研討目的有兩個(gè)：1 網(wǎng)格技術(shù)的研討,

9、2 相應(yīng)軟件的開發(fā)和規(guī)范的制定。同時(shí)，Globus 工程還涉及到網(wǎng)格運(yùn)用的開發(fā)以及Testbed 的建立。Globus 工程是一個(gè)較為長(zhǎng)期的工程，對(duì)網(wǎng)格技術(shù)進(jìn)展了深化的研討，并開發(fā)了比較成熟的軟件Globus Toolkits 。最近曾經(jīng)開場(chǎng)進(jìn)展網(wǎng)格的規(guī)范化任務(wù)。Globus 工程完成了多篇學(xué)術(shù)論文，其研討成果在國(guó)際上產(chǎn)生了重要的影響，網(wǎng)格技術(shù)曾經(jīng)成為高性能計(jì)算研討領(lǐng)域中的熱點(diǎn)。研討方向 Globus 工程主要針對(duì)以下幾個(gè)方面進(jìn)展了研討： 1資源管理：主要的任務(wù)集中在通訊資源和計(jì)算資源的命名和定位。 2數(shù)據(jù)管理:主要集中在分布式環(huán)境下如何對(duì)數(shù)據(jù)進(jìn)展管理，特別是涉及到數(shù)據(jù)密集型的高性能計(jì)算問(wèn)題。

10、同時(shí)提出了Data Grid 。 3運(yùn)用開發(fā)環(huán)境:主要研討如何為網(wǎng)格運(yùn)用，包括精細(xì)儀器、顯示、計(jì)算資源和信息資源提供易用的開發(fā)環(huán)境和編程言語(yǔ)如CORBA ，JAVA ，Perl ，Python 。研討方向續(xù) 4信息效力：主要研討如何提供準(zhǔn)確、實(shí)時(shí)的信息來(lái)配置計(jì)算機(jī)、網(wǎng)絡(luò)以及協(xié)議、算法等資源，實(shí)現(xiàn)高性能的分布式計(jì)算環(huán)境。 5平安：主要研討如何在多個(gè)管理域、多種平安戰(zhàn)略，以及主體動(dòng)態(tài)變化的條件下提供網(wǎng)格一致的平安方案。Globus Toolkits 引見(jiàn) Globus工具包是一個(gè)構(gòu)筑網(wǎng)格計(jì)算環(huán)境的中間件，提供根本的資源定位、管理、通訊和平安等效力。該計(jì)算工具包是模塊化的，允許用戶按本人的需求定制環(huán)

11、境。利用這套工具可以建立計(jì)算網(wǎng)格，并可以進(jìn)展網(wǎng)格運(yùn)用的開發(fā)。Globus Toolkits 引見(jiàn)續(xù) Globus Tookkit 主要包括以下的內(nèi)容： 1平安架構(gòu)GSI Grid Secuity Infrastructure GSI 的主要目的為：1 計(jì)算網(wǎng)格的通訊平安平安認(rèn)證和信息私有，2 包含多個(gè)管理域的分布式平安系統(tǒng)3 用戶的單一登錄。在運(yùn)用公鑰加密、X.509 認(rèn)證以及平安傳輸層SSL 協(xié)議并結(jié)合Generic Security Service API 的根底上，GSI 實(shí)現(xiàn)了雙重認(rèn)證和用戶的單一登錄。Globus Toolkits 引見(jiàn)續(xù) 2信息架構(gòu) MDS Metacomputin

12、g Directory Service 在LDAP 協(xié)議的根底上提供了對(duì)網(wǎng)格資源信息的一致命名。GRIS Grid Resource Information Service 提供了對(duì)網(wǎng)格中各種資源的情況、配置、性能的查詢。GIIS Grid Index Information Service 為網(wǎng)格提供了對(duì)各種信息資源的檢索。Globus Toolkits 引見(jiàn)續(xù) 3資源管理 RSL Resource Specification Language 用于資源管理各個(gè)組成部分之間進(jìn)展資源需求信息的交換。GRAM Globus Resource Allocation Manager 為各種不同的資源

13、管理工具提供了規(guī)范的接口。DUROC Dynamically-Updated Request Online Coallocator 提供協(xié)同資源分配效力。Globus Toolkits 引見(jiàn)續(xù) 4數(shù)據(jù)管理 GASS Globus Access to Secondary Storage 向網(wǎng)格運(yùn)用提供了訪問(wèn)遠(yuǎn)程文件系統(tǒng)的才干。在GSI 的根底上，SIFTP 實(shí)現(xiàn)了高性能、平安的FTP 協(xié)議。Globus Toolkits 引見(jiàn)續(xù)5通訊 提供了多線程通訊庫(kù)Nexus ，Nexus 運(yùn)用一套單一的API 實(shí)現(xiàn)對(duì)多種通訊協(xié)議的支持。在Nexus 的根底上實(shí)現(xiàn)了基于網(wǎng)格系統(tǒng)的MPI 規(guī)范的實(shí)現(xiàn)MPICH

14、-G 。提供globus_io 庫(kù)，在此根底上程序員可以運(yùn)用TCP 、UDP 、IP multicast 、文件I/O 等效力實(shí)現(xiàn)平安、異步通訊，以及QoS 。Globus Toolkits 引見(jiàn)續(xù)6錯(cuò)誤檢測(cè) Heartbeat Monitor 提供了對(duì)進(jìn)程的監(jiān)控，并定時(shí)的向其他監(jiān)視器發(fā)送心跳。7可移植性 提供了可移植的libc 庫(kù)，線程庫(kù)，數(shù)據(jù)轉(zhuǎn)換庫(kù)，Globus_utp API 以及Globus Toolkit要用到的根本數(shù)據(jù)類型庫(kù)。三、 Globus網(wǎng)格的平安架構(gòu)1.平安架構(gòu)GSI Grid Security Infrastructure 引見(jiàn)2.一個(gè)實(shí)踐運(yùn)用的特征3.平安需求4.平安規(guī)

15、那么5.存在問(wèn)題平安架構(gòu)GSI Grid Security Infrastructure 引見(jiàn) GSI 運(yùn)用公鑰加密即非對(duì)稱加密作為整個(gè)平安系統(tǒng)的根底。GSI 實(shí)現(xiàn)的主要目的是：(1)客戶端與計(jì)算網(wǎng)格之間進(jìn)展平安通訊認(rèn)證和私有。(2)建立包括多個(gè)不同組織的平安系統(tǒng)，不采用集中管理的平安系統(tǒng)。(3)對(duì)于網(wǎng)格用戶需求提供對(duì)“單一登錄Single Sign-On 的支持。平安架構(gòu)GSI Grid Security Infrastructure 引見(jiàn)續(xù)GSI 主要分為以下幾個(gè)部分：(1)授權(quán)Certificates (2)雙重認(rèn)證Mutual Authentication (3)私有通訊Private

16、 Communication (4)平安私鑰(5)代理和單一登錄Proxies and Single Sign-On 平安架構(gòu)GSI Grid Security Infrastructure 引見(jiàn)續(xù) 認(rèn)證過(guò)程運(yùn)用的四個(gè)協(xié)議：User Proxy Creation ProtocolResource Allocation ProtocolResource Allocation from a Process ProtocolMapping Registration Protocol 一個(gè)實(shí)踐運(yùn)用的特征 1資源數(shù)量宏大并且是動(dòng)態(tài)的。 2一個(gè)進(jìn)程在它執(zhí)行的過(guò)程中會(huì)懇求，運(yùn)用，釋放資源。 3進(jìn)程之間需求經(jīng)

17、過(guò)某種機(jī)制進(jìn)展通訊。 4資源能夠需求不同的認(rèn)證和授權(quán)機(jī)制。 5一個(gè)用戶在不同的結(jié)點(diǎn)能夠運(yùn)用不同的本地名字空間，證書，帳號(hào)。平安需求 網(wǎng)格計(jì)算系統(tǒng)的平安需求做到： 1單一登錄Single sign-on 2授權(quán)維護(hù)Protection of credentials 3與本地的平安方案協(xié)同任務(wù)Interoperability with local security solutions平安需求(續(xù) 4一致的授權(quán)/證書發(fā)放機(jī)制Uniform credentials/certification infrastructure 5提供平安的組通訊Support for secure group commun

18、ication 6支持多種實(shí)現(xiàn)方案Support for multiple implementations 這些要求無(wú)法用分布式系統(tǒng)中曾經(jīng)存在的技術(shù)加以處理。 平安規(guī)那么1網(wǎng)格環(huán)境由多個(gè)信任域組成。2單一信任域內(nèi)的操作只運(yùn)用本地的平安規(guī)那么。3全局和本地對(duì)象Subject)同時(shí)存在；對(duì)每一個(gè)信任域，存在一張從全局到本地的映射表。4位于不同信任域的實(shí)體(Entity)上的操作需求多種認(rèn)證。 平安規(guī)那么續(xù)5一個(gè)經(jīng)過(guò)認(rèn)證的全局對(duì)象映射到本地對(duì)象，被假設(shè)為經(jīng)過(guò)了本地的認(rèn)證。6一切訪問(wèn)控制決議都在本地做出。7允許一個(gè)程序或進(jìn)程以“用戶的身份出現(xiàn)，并被授予用戶的部分權(quán)限。8在同一個(gè)對(duì)象上運(yùn)轉(zhuǎn)的同一個(gè)信任域

19、內(nèi)的一切進(jìn)程運(yùn)用單一的證書。存在問(wèn)題 1缺乏基于規(guī)那么的具有良好擴(kuò)展性的訪問(wèn)控制機(jī)制。 2缺乏域間訪問(wèn)控制規(guī)那么。 3缺乏平安的組通訊。 4缺乏支持?jǐn)U展到大量資源和大量用戶的授權(quán)機(jī)制。四、研討方案1.研討內(nèi)容和方法2.研討方案3.預(yù)期成果4.參考文獻(xiàn)研討內(nèi)容和方法1搭建Globus實(shí)驗(yàn)床 在網(wǎng)絡(luò)中心利用PC機(jī)和Globus Toolkits搭建48個(gè)結(jié)點(diǎn)的Globus實(shí)驗(yàn)床，在國(guó)家高性能中心利用同樣的設(shè)備搭建24個(gè)結(jié)點(diǎn)的Globus實(shí)驗(yàn)床，這兩個(gè)實(shí)驗(yàn)床將經(jīng)過(guò)校園網(wǎng)銜接起來(lái)，并進(jìn)一步與中國(guó)科學(xué)院計(jì)算技術(shù)研討所的網(wǎng)格實(shí)驗(yàn)床銜接起來(lái)。2研討Globus的平安架構(gòu)中能夠存在的問(wèn)題 利用搭建好的Glob

20、us實(shí)驗(yàn)床，進(jìn)展各種實(shí)驗(yàn)，研討Globus的平安架構(gòu)中能夠存在的平安問(wèn)題，深化分析產(chǎn)生這些問(wèn)題的詳細(xì)緣由。 研討內(nèi)容和方法續(xù)3研討Globus的域間訪問(wèn)控制規(guī)那么 Globus的域內(nèi)訪問(wèn)控制規(guī)那么曾經(jīng)有明確的表達(dá)，利用域內(nèi)訪問(wèn)控制規(guī)那么并結(jié)合Globus的平安架構(gòu)中能夠存在的平安問(wèn)題研討Globus的域間訪問(wèn)控制規(guī)那么，并給出明確的表達(dá)方式。4研討Globus的平安可靠的組通訊技術(shù) 組通訊技術(shù)目前曾經(jīng)有比較普遍的研討，有現(xiàn)成的技術(shù)規(guī)范可以自創(chuàng)，但是順應(yīng)于大規(guī)模的、跨地域的、動(dòng)態(tài)的組通訊技術(shù)的研討還剛剛起步。利用搭建好的Globus實(shí)驗(yàn)床，研討Globus的平安可靠的組通訊技術(shù)，提出一種可行的處

21、理方案，并在實(shí)驗(yàn)床上實(shí)現(xiàn)和驗(yàn)證該方案。研討方案 2001.7-2001.12 文獻(xiàn)調(diào)研和實(shí)際分析。2002.1-2002.2 實(shí)驗(yàn)床的搭建和調(diào)試。 2002.3-2002.5 利用該實(shí)驗(yàn)床研討Globus的平安架構(gòu)中能夠存在的平安問(wèn)題,深化分析產(chǎn)生這些問(wèn)題的詳細(xì)緣由。 2002.6-2002.8 研討Globus的域間訪問(wèn)控制規(guī)那么,并給出明確的表達(dá)方式。 2002.9-2003.2 研討Globus的平安可靠的組通訊技術(shù)，提出一種可行的處理方案，并在實(shí)驗(yàn)床上實(shí)現(xiàn)和驗(yàn)證該方案。 2003.3-2003.5 撰寫論文。預(yù)期成果(1)一個(gè)Globus實(shí)驗(yàn)床。(2)Globus域間訪問(wèn)控制規(guī)那么的表

22、達(dá)方式。(3)Globus的平安可靠的組通訊技術(shù)的處理方案。(4)1-2篇學(xué)術(shù)論文。(5)畢業(yè)論文。 目前在預(yù)研階段撰寫的論文，曾經(jīng)被錄用。參考文獻(xiàn)(1)R. Butler, D. Engert, I. Foster, C. Kesselman, S. Tuecke, J. Volmer, V. Welch, A National-Scale Authentication Infrastructure, IEEE Computer, 33(12):60-66, 2000.(2)I. Foster, C. Kesselman, G. Tsudik, S. Tuecke, A Security Architecture for Computational Grids, Proc. 5th ACM Conference on Computer and Communications Security Conference, pg. 83-92, 1998.(3)Foster, C. Kesselman, Glob