網(wǎng)格環(huán)境下的安全探討(1)-文庫(kù)吧在線文庫(kù)
【正文】 單的說， GSI的認(rèn)證過程就是安全的共享公鑰的過程，授權(quán)就是將證書的 DN（唯一名）映射到遠(yuǎn)程主機(jī)的本地用戶 /組。meile/O=Grid/O=IHEP/OU=pywes/O=Grid/O=IHEP/OU=虛擬組織中的成員和資源有他們共同遵守的規(guī)則和策略。社區(qū)授權(quán)服務(wù) CASo 它是由 ESG(地球系統(tǒng)網(wǎng)格 )組織提出的，得到了 Globus項(xiàng)目的支持，現(xiàn)已發(fā)布了第二個(gè)版本， CAS提出了在一個(gè) VO內(nèi)實(shí)行策略管理和對(duì)服務(wù)實(shí)行強(qiáng)制性策略的方案，在每一個(gè) VO內(nèi)部建立一個(gè) CAS服務(wù)器來維護(hù)社區(qū)的策略，在用戶的代理證書中加入 CAS的授權(quán)聲明（既策略聲明）來實(shí)現(xiàn)授權(quán)的訪問控制 。他們的不同主要是在于他們操作的授權(quán)級(jí)別不同， CAS的策略聲明直接包含了權(quán)限，并不需要由資源提供者來解釋權(quán)限；而 VOMS的策略聲明包含一個(gè)角色或組成員的列表，用戶將這個(gè)組關(guān)系策略聲明發(fā)送給資源提供者，由資源提供者基于本地的組策略來授予用戶權(quán)限。內(nèi)容o 網(wǎng)格安全概述o 網(wǎng)格的認(rèn)證o 網(wǎng)格的授權(quán)o 網(wǎng)格體系的其他安全部件o 網(wǎng)格安全的展望網(wǎng)格體系的其他安全部件o 物理環(huán)境的安全o 操作系統(tǒng)的安全o 防火墻o 入侵監(jiān)測(cè)系統(tǒng) —hostor服務(wù)不能工作在 NAT（網(wǎng)絡(luò)地址轉(zhuǎn)換）之后，因?yàn)?globus需要使用真實(shí)的 IP地址。IDS不能分析加密數(shù)據(jù)報(bào)的數(shù)據(jù)部分，它只能分析基于包頭的一些事件，因?yàn)榘^是不加密的。著重解決如何在動(dòng)態(tài)網(wǎng)格環(huán)境下定義、管理、執(zhí)行信任策略。著重解決如何充分利用現(xiàn)有的服務(wù)以及接口并對(duì)其進(jìn)行抽象為可擴(kuò)展的體系。都是監(jiān)視用戶和系統(tǒng)的活動(dòng)、分析系統(tǒng)的配置和漏洞、評(píng)估系統(tǒng)和文件的完整性、分析典型的攻擊模式等等。o Antivirus病毒保護(hù)o 強(qiáng)密碼、更新系統(tǒng)補(bǔ)丁、 logging、審計(jì)等等。操作系統(tǒng)的安全o 停止不必要的進(jìn)程，如 sendmail一些弊病o 雖然它們的設(shè)計(jì)解決了在虛擬組織中，對(duì)資源和數(shù)據(jù)訪問控制的靈活性、可擴(kuò)展性、可表達(dá)性等問題，但是，它也不是十全十美的，同樣也存在著一些弊病，例如：對(duì)一個(gè) VO單一的策略服務(wù)器，會(huì)給用戶帶來訪問瓶頸和可靠性等問題。CAS用戶首先得到一個(gè)標(biāo)準(zhǔn)的網(wǎng)格代理證書，然后向CAS服務(wù)器請(qǐng)求信任， CAS服務(wù)器根據(jù) CAS數(shù)據(jù)庫(kù)中所授予這個(gè)用戶的權(quán)限策略，用 CAS的私鑰簽署一個(gè)授權(quán)策略聲明返回給 CAS用戶，最后用戶將這個(gè)聲明和代理證書提交給要使用的 gridftp資源。 VO安全技術(shù)必須能和不同域的本地安全技術(shù)兼容。craGSI授權(quán) 的不足o GSI要求每一個(gè)訪問資源的全局用戶都需要在本地資源服務(wù)器上擁有一個(gè)自己的賬號(hào)，每一個(gè)資源服務(wù)器都需要維護(hù)一個(gè)龐大笨拙的全局 /本地映射表，這種授權(quán)機(jī)制難以擴(kuò)展到擁有大量資源和大量用戶的大規(guī)模環(huán)境中。jamesp/O=Grid/O=IHEP/OU=bj/O=Grid/O=IHEP/OU=o 下面介紹一下關(guān)鍵概念 — 代理證書代理證書o 代理證書是一種會(huì)話證書，它的生命周期很短（一般幾個(gè)小時(shí)）或是有限的
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1