Инфраструктура безопасности длядинамических Грид-приложений(Security Infrastructure for Dynamic Grid applications)Обзор технологий
Technology Overview
RELARN2006
16-21 июля, 2006
Yuri Demchenko <demch@science.uva.nl>
SNEG, University of AmsterdamСодержание• Технологии Грид! Развитие Грид и основные проекты! Определение Грид• Грид и виртуализация ресурсов! Использование Виртуальных Организаций для создания динамическихассоциаций безопасности в Грид• Особенности модели безопасности в Грид! Динамические Грид-сервисы и требования к инфраструктуребезопасности! Контроль доступа в Грид-системах и контекст безопасности• Перспективные направления научных исследований

July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_2

Существующие проекты и развитие стандартовдля Грид• Общая инфраструктура сервисов (middleware) - Globus (US) vs gLite (EU)• LCG (LHC Grid) и EGEE (Enabling Grid for E-sciencE) - EU! Large Hadron Collider – запуск в апреле 2007! Участие России в EGEE

• OSG (Open Science Grid) Consortium и TeraGrid - US• Стандартизация в Грид! GGF (Global Grid Forum) – стандарты в Грид! OASIS – стандарты XML и Веб-сервисов! Промышленность – IBM, Microsoft, Sun, HP, Verisign, BEA! Большие проекты – Globus, EGEE, OSG

July 16-21, 2006 RELARN2006

Grid and Dynamic SecuritySlide_3Развитие Грид и эволюция основныхопределений• Ранние маркетинговые идеи! “Computing power from the tap” – «вычислительная мощность из краника»• Схожие коммерческие идеи! Autonomous computing by IBM! Utility computing by HP! .NET by Microsoft– Движение Microsoft в сторону распределеных вычислений и Грид• Ключевая исходная технология для Грид – XML Web Services (WSA)• Дивиргенция в WSA против OGSA (Open Grid Services Architecture)• Конвергенция от OGSI (Open Grid Services infrastructure) к WSRF (WebServices Resource Framework)

July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_4

Определение ГридГрид-система
• Позволяет координировать использование ресурсов, которые не являютсяобъектом централизованного управления! Виртуализация ресурсов и пользовательских групп в форме ВиртуальныхОрганизаций (ВО)• Динамическое разворачивание сервисов по требованию! Предоставление нетривиального качества сервисов в сервис-ориентированной

среде (SOA – Service Oriented Architecture)! Среда/домен безопасности определяется пользователем• Использует стандартные, открытые и универсальные протоколы иинтерфейсы на основе XML Web Services (Веб-сервисы), Web Services
Resource Framework (WSRF) и Open Grid Services Architecture (OGSA)• Типы Грид:! Вычислительные Грид (Computer Grid), Грид данных (Data Grid),Семантические Грид (Semantic Grid)

July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_5Система Комплексного Разворачивания Ресурсов(СКРР) – Optical LightPath Provisioning (OLPP)
Aj

2
User

1Broker/clientSystem/port

Inter domain
connection
creator

A1

Inter domain
connection
creatorInter domain
connection
creator

Hj

H1Resource

1aBroker/clientLS

Local controller 1
Control
plane

Local controller 2

Local controller 3

OSSX

System/portXi/X
Xr/X3
Yr/Y3
YYi/Y

July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_6Системы коллективной работы (СКР) с динамическим
разворачиванием (provisioning)Experiment
Description* ExperimentID* Exper. Attributes* Exper. Owner

SignedOrder
Document(BA/TA1)

ExprJob
RuntimeObjectWorkFlow
Manager

Security Ctx
VO Mngnt* UserDB* User Attrs* TA3* User List
* User Attributes* RBAC Admin* Policy Ref/Attach* TrustAnchor (TA2)

Policy Authr* Policy* (TA2a)AccessControlService(TA4)Experiment Description as a semantic object defining attributes for the workflow/job, user
association in a form of VO, access control policy
Trust domain based on Business Agreement (BA) or Trust Anchor (TA)July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_7Грид и виртуализация ресурсов и сервисовВиртуализация поддерживает согласованный доступ к ресурсам на множествегетерогенных платформ, позволяет определять отображение множествалогических экземпляров ресурсов на один и тот же физический и помогаетуправлению ресурсами в распределенной многодоменной среде
• Виртуализация Грид-сервисов позволяет отображать общее семантическоеповедение сервисов на оригинальные механизмы платформы• Виртуальные организации (VO - Virtual Organization) представляtт собой формуобьединение ресурсов и пользователей, ориентированных на выполнениеопределенных задач и предоставление определенных сервисов! Позволяют формировать новые сервисы из компонентных ресурсов и сервисов! ВО создается на основе соглашения и обязательно включает правила в форме политикиВО! Могут содержать специфические сервисы для всей VO• Позволяют стандартным образом обойти ограничения системы безопасностипредприятия

July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_8Структура Виртуальной Организации
VO users and services

Service xa

Service xd

User x1

Service xe
User x2
Service xb
User x5
User x4

Virtual Organisation X
User a1
User A2

Service Ab

User A1

User a1Service Bb

Barrier
User a1Service Bc

User A3
Service Ac
Organisation A

July 16-21, 2006 RELARN2006

Organisation B

Service Ba

Service Aa

Grid and Dynamic Security

Slide_9Пример работы услуг безопасности ВО
VOMS (VO Membership service)

VO Context(VO ID/name)
Requestor
Service xa

Resource
Service xd

(1a)

(3)

(2)

Current
VOMS
functionality(4)
Identity
Provider (2a)(1b)

Attribute
Authority

Authentication
Service(4b)Authorisation
ServicePolicy
Authority

(4a)
Trust
Mngnt

Trust

Virtual Organisation X
AuthN

AuthN

IP/STS

AttrA

IP/STS

AuthZ

Directory
Trust
Policy

AttrA

AuthZ

Factory

Factory
Directory

Logging
Accounting

Trust

VOMS*

Trust
PolicyGroup/subgroup! roles! capabilities! VOMS X.509 AttributeCertificate (AC) включает
Fully Qualified Attribute Name(FQAN)!

VO Mngnt
UserDB• Standard-de-facto для службычленства в ВО• ВО как иерархическая структура• ВО как иерархическая структура• Атрибуты пользователявключают триаду:LogAcc• VOMS поддерживаетрегистрацию пользователей иадминистративные функцииLogAcc

Organisation B
Organisation A

July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_10Особенности модели безопасности Грид (1)• Использование концепции Виртуальных Организаций• Модель безопасности, ориентированная на услуги и позволяющаяассоциировать услуги и политику безопасности с Грид-сервисами илиданными
• Представление в виде идентификатора единого формата End Point Reference (EPR)• Использует механизмы безопасности на уровне сообщений
• информация, относящаяся к безопасности, включается в заголовок SOAP

• Контроль доступа основан на мандатах идентификации (Identity Credentials)
с использованием для целей аутентификации (AuthN) специального типавременных мандатов прокси-сертификатов (X.509 Proxy Certificates)• использование для единого доступа к Грид-ресурсам (Single-Sign-on)• делегирование пользовательских полномочий при запуске распределенных задач• Использование глобальной системы управления доверием для СистемыОткрытых Ключей (СОК, PKI – Public Key Infrastructure) в Грид• Основана на международной федерации IGTF (International Grid Trust Federation,
http://www.gridpma.org/)
July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_11Особенности модели безопасности Грид (2)• Авторизация и контроль доступа используют сертификаты атрибутов, выдаваемыхслужбой членства в ВО (так называемый VOMS X.509 Attribute Certificate)• Использование стандартного формата WSDL (Web Services Description Language) длядинамического добавления сервисов и политики безопасности к основнымсервисам во время разворачивания и конфигурации этих сервисов• В частном случае доступа к распределенным компьютерным ресурсам, модель контролядоступа строится на основе принятого в распределенных компьютерных системахдинамического запуска пользовательских задач от имени одного из системныхпользователей (так называемых pool accounts), назначаемых динамически на времявыполнения текушей задачи• С точки зрения сетевой безопасности и сетевых экранов, некоторые Грид-сервисы могут
использовать нестандартные сетевые порты из диапазона, который многие системыобнаружения атак могут расценивать как внешние атаки.
• Например, один из наиболее важных протоколов для обмена огромными массивами данныхв Грид GridFTP может использовать одновременно несколько параллельных потоков данных
через порты в диапазоне выше 1024, который выделен для свободного использования
сетевыми приложениями
July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_12Требования к динамическим сервисамбезопасности1) Гибкая конфигурация доверительных доменов и средства меж-доменного
установления доверительных отношений2) Динамическое управление контекстом безопасности:••••••параметры среды и административных/структурных доменов сервисов или ресурса;параметры среды и пользовательские полномочия текущей сессии авторизации;политика доступа;пространство имен атрибутов (Attributes namespaces);формат пользовательских сертификатов и мандатов (credentials);доверительные домены и центры удостоверения (trust domains and authorities)4) Возможность обработки и управления пространствами имен всеми компонентамиинфраструктуры безопасности5) Гибкое управление политикой доступа, включая возможность использованиямножества форматов описания политики, средства комбинирования множестваполитик, средства разрешения возможных конфликтов в иерархической имногодоменной среде контроля доступа на основе политики.
6) Поддержка сессии доступа (или авторизации)July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_13Расширение модели RBAC для поддержкидинамических сервисовGAAA-RBAC

AzReq

PDP
PDP

AzTicket

PAP

NS
ResolverAAS(IdP)

CtxHandler

TriagePEP

Srv Req

Srv Deliv

CacheTicket
Authority

AttrReslv

GAAAPI
AzTicket

PEP/PDP
ConfigMasterPDP

PIP

Resource

TrustDomains

AzTicket

RBAC – Role Based Access Control
July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_14Перспективные направления научных исследований• Виртуализация ресурсов и пользователей! Управление иерархическими группами пользователей и ресурсов! Координация политики доступа! Базовые операционные модели ВО• Динамические Грид-сервисы! Динамические виртуальные ассоциации – динамические ВО! Виртуализация исполнительной среды и безопасность! Динамические сервисы безопасности и управление контекстом безопасности• Информационные услуги в Грид – поиск и категоризация ресурсов! Стандартное описание Грид-задач – JSDL (Job Submission Description Language)• Специальные области применения Грид! ЯФ/ФВЄ + биотехнологии, медицина, САПР, промышленость, и др.

• Разворачивание учебных програм по Грид-технологиям

Цель – возможность участия в м/н проектах и сотрудничества с западныминаучными коллективами• Грид-консорциумы, проект EGEE и Университет Амстердама заинтерсованы
July 16-21, 2006 RELARN2006

Grid and Dynamic SecuritySlide_15Дополнительная информация

July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_16Работа системы контроля доступа вГрид/Веб-сервисах
Services/Resources Access Control
AzTicket

Srv Req
Res/Srv
IF/PT

Requestor
Srv Deliv

AnReq/Resp

AzTicketResource/
ServicePEP

WSDL interface

AuthZ
ServiceAuthN Req/ValidAuthN

Workflow
Control
SystemAttr Req/Valid

AttrAuth
(IdP)
AzReq

AuthZ
IF/PT

PDP
PDP
PDP(Master)

AzTicket
PolicyReq

Security Context

Message-level Security services
are linked to SOAP header
Linking dynamically allcomponents of the access
control system
Policy is attached to anycomponent of the service
description in WSDL format
Interacting services can fetch
policy document and apply
restrictions/rules to elements,
which declared policy
compliance requirements

PAP (ext.)

PolicyResp

PolicyReq

PAIF/PT

PAP (local)

PolicyResp

July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_17Динамический контекст безопасности: Механизмыуправления
Context dependent information/attributes:• Service/Resource environment/domain• Policy• Trust domains and authorities• Attribute namespace• Credential format

Mechanisms to communicate/manage context related information• Service and requestor/user ID/DN format that should allow for both using namespaces
and context aware names semantics.
• Attribute format (either X.509/X.521 or URN/SAML2.0 presentation).
• Context aware XACML policy definition using the Environment element of the policy
Target element• Security tickets and tokens used for AuthZ session management and forprovisioned/booked resource/service identification• Security federations for users and resources, e.g. VO membership credentials
July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_18

Dynamic Security Associations• Session – establishes security context in the form of session key that can be a security
token or simple UID bound to secure credential/context! Session may associate/federate users, resources and actions/processes• Job/workflow – more long-lived association and may include few sessions! May need to associate more distributed collection of users and resources for longer timerequired to deliver a final product or service! Job and workflow may contain decision points that switch alternative flows/processes! Security context may change during workflow execution or Job lifetime! Job description may contain both user and resource lists and also provide security policy andtrust anchor(s) (TA)• Project or mission oriented cooperation – established for longer time cooperation(involving people and resources) to conduct some activity! This is actually the area of currently existing VO associations• Inter-organisational association or federation – established for long-term cooperation,
may have a wide scope of cooperative areas! This is the area of inter-university associations– Shibboleth Attribute Authority Services (SAAS) is designed for this kind of federations

July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_19

VO Operational Models• User-centric VO (VO-U) - manages user federation and provide attributeassertions on user (client) request• Resource/Provider centric VO (VO-R) - supports provider federation andallows SSO/access control decision sharing between resource providers• Agent centric VO (VO-A) - provides a context for inter-domain agents
operation, that process a request on behalf of the user and provide required trustcontext to interaction with the resource or service• Project centric VO (VO-G) - combines User centric and Provider centricfeatures what actually corresponds to current VO use in Grid projects

July 16-21, 2006 RELARN2006

Grid and Dynamic Security

Slide_20