Анализ продукты Globus Toolkit для организации системы доступа пользователей к распределенной вычислительной среде

Чтобы обеспечит удобный и безопасный доступ пользователей, в работе исследованы надежные методики аутентификации и авторизации на базе интерфейсов и протоколов Грида в качестве основы системы безопасности в облачных вычислениях. Для этих целей был использован программный продукт Globus Toolkit. Globus Toolkit – один из основных инструментов, применяемых для построения Грид-систем и их приложений. Он был разработан в 1996 году для поддержки развития сервисно ориентированных распределенных вычислений. Globus разрастался благодаря open-source стратегии. Она провоцирует более широкое и быстрое распространение и приводит к большим техническим нововведениям, поскольку пользовательское сообщество непрерывно повышает качество продукта [69].

Цель его создания - предоставление возможности приложениям работать с распределенными разнородными вычислительными ресурсами как с единой виртуальной машиной. Основная направленность данного проекта - вычислительные Грид-системы. Под вычислительной Грид-системой подразумевается инфраструктура аппаратных и программных ресурсов, реализующая надежный и полномасштабный доступ к высокопроизводительным вычислительным системам, независимо от географического расположения пользователей или ресурсов [22],[28].

Рисунок.2.14. Общая схема взаимодействия компонентовGlobus Toolkit

Базовым элементом системы Globus выступает Globus Toolkit (инструментарий Globus), описывающий базовые сервисы и возможности, необходимые для создания вычислительных Грид-систем[20]. Система Globus предоставляет высокоуровневым приложениям доступ к сервисам, каждый из которых приложение или разработчик может использовать для достижения собственных целей. Такой метод работы может быть реализован только при высокой степени изолированности отдельных сервисов и четко определенном программном интерфейсе каждого предоставляемого сервиса [28],[66],[67].

Рассмотрим базовые сервисы, предоставляемые системой Globus на сегодняшний день.

1. Протокол GRAM (“Globus Toolkit Resource Allocation Manager”– Менеджер Распределения Ресурсов Globus Toolkit) используется для распределения вычислительных ресурсов и для контроля вычислений, с использованием данных ресурсов.

2. Расширенная версия протокола передачи файлов GridFTP используется для организации доступа к данным, включая вопросы безопасности и параллелизма высокоскоростной передачи данных.

3. Контейнеры для пользовательских сервисов, поддерживающие аутентификацию, управление состоянием, поиск и т.п. обеспечивающие поддержку стандартов WSRF, WS-Security, WS-Notification.

4. Сервисы аутентификации и безопасности соединений GSI (“Grid Security Infrastructure” – Инфраструктура Безопасности Грид).

5. Распределенный доступ к информации о структуре и состоянии системы распределенных вычислений.

6. Удаленный доступ к данным посредством последовательных и параллельных интерфейсов.

7. Создание, кэширование и поиск исполняемых ресурсов.

8. Библиотеки, для обеспечения взаимодействия сторонних приложений с Globus Toolkit и/или пользовательскими сервисами [22],[44].

GSI - для обеспечение единого входа в Грид-систему

В основе безопасности в Globus Toolkit лежит принцип авторизации и сертификатов, реализуемые с помощью компонентов защиты. Они позволяет контролировать действия всех пользователей в Гриде, защищая передаваемые данные. Также эти компоненты поддерживают редактирование полномочий пользователей, сохранение информации о членстве в группах доступа.

Grid Security Infrastructure (GSI) – компонент, предоставляющий API для аутентификации, авторизации и сертификации. GSI основана на надежной и широко используемой инфраструктуре криптографии с открытым ключом (Public Key Infrastructure – PKI). В качестве идентификаторов пользователей и ресурсов в GSI используются цифровые сертификаты X.509. В работе с сертификатами X.509 и в процедуре выдачи/получения сертификатов задействованы три стороны:

1. Центр Сертификации (Certificate Authority – CA) – специальная организация, обладающая полномочиями выдавать (подписывать) цифровые сертификаты. В GT5 эта задача выполняется компонентом SimpleCA.

2. Подписчик – это человек или ресурс, который пользуется сертификационными услугами CA. SimpleCA включает в сертификат данные, предоставляемые подписчиком (имя, организация и пр.) и ставит на нем свою цифровую подпись.

3. Пользователь – это человек или ресурс, полагающийся на информацию из сертификата при получении его от подписчика. Пользователи могут принимать или отвергать сертификаты, подписанные CA.

В Globus Toolkit используются два типа сертификатов X.509:

1. Сертификат пользователя (User Certificate) – этот сертификат должен иметь каждый пользователь, работающий с Грид-системой. Сертификат пользователя содержит информацию об имени пользователя, организации, к которой он принадлежит, и центре сертификации, выдавшем данный сертификат.

2. Сертификат узла (Host Certificate) – это сертификат должен иметь каждый узел (ресурс) Грид-системы. Сертификат узла аналогичен сертификату пользователя, но в нем вместо имени пользователя указывается доменное имя конкретного вычислительного узла.

Для управления сертификатами X.509 и полномочиями в Globus используется компонент MyProxy. MyProxy сочетает в себе онлайн репозиторий учетных записей и онлайн Центр Сертификации, позволяющие пользователям безопасно получить доступ к своим учетным записям где и когда потребуется. Пользователь с помощью команды myproxy-logon аутентифицируется и получает права доступа, включающие в себя CA-сертификат и Списки Аннулированных Сертификатов (CRLs).

Последним компонентом безопасности является GSI-OpenSSH – модифицированный OpenSSH, в котором добавлена работа с прокси-сертификатами X.509 для обеспечения доступа к удаленным системам и передачи данных без ввода паролей, полагаясь на достоверный proxy credential для аутентификации (это комбинация прокси-сертификата и отвечающего ему ключа) [86].

Grid Security Infrastructure (GSI) предоставляет API для аутентификации, авторизации и сертификации. GSI основана на надежной и широко используемой инфраструктуре криптографии с открытым ключом (Public Key Infrastructure – PKI). В качестве идентификаторов пользователей и ресурсов в GSI используются цифровые сертификаты X.509. Прокси-сертификат X.509 для обеспечения доступа к удаленным системам и передачи данных без ввода паролей, полагаясь на достоверный proxy credential для аутентификации (это комбинация прокси-сертификата и отвечающего ему ключа). Для управления сертификатами X.509 и полномочиями в GT используется компонент MyProxy. Пользователь с помощью команды myproxy-logon аутентифицируется и получает права доступа, включающие в себя CA-сертификат [6],[15],[41],[69],[70].