[論文レビュー] A Model for Grid User Management

Richard S. Baker, Dantong Yu+1 more|ArXiv.org|Jun 13, 2003

Distributed and Parallel Computing Systems参考文献 6被引用数 7

ひとこと要約

本論文は、大規模なグリッドコンピューティング環境における集中型のユーザー登録および自動化されたローカルアカウント管理のためのスケーラブルで安全かつポリシー対応のフレームワーク、GUMS（Grid User Management System）を提案する。1つのバーチャルオーガニゼーション（VO）に対して1回の登録を可能にし、ロールベースのグループ割り当てと監査可能なワークフローを介した信頼ベースのグリッドアイデンティティからローカルUNIXアカウントへのマッピングを自動化することにより、従来のサイト別登録方式が抱えるスケーラビリティと信頼性の課題を解決し、主なヒーパー施設での本番環境での実用性とセキュリティを示している。

ABSTRACT

Registration and management of users in a large scale Grid computing environment presents new challenges that are not well addressed by existing protocols. Within a single Virtual Organization (VO), thousands of users will potentially need access to hundreds of computing sites, and the traditional model where users register for local accounts at each site will present significant scaling problems. However, computing sites must maintain control over access to the site and site policies generally require individual local accounts for every user. We present here a model that allows users to register once with a VO and yet still provides all of the computing sites the information they require with the required level of trust. We have developed tools to allow sites to automate the management of local accounts and the mappings between Grid identities and local accounts.

研究の動機と目的

• 従来のサイト別登録方式を用いた場合、数百のコンピューティングサイトにまたがる数千人のグリッドユーザーを管理する際のスケーラビリティ問題に対処すること。
• バーチャルオーガニゼーション（VO）がユーザーを中央で登録できるようにし、リソース提供者に対して信頼できる、監査可能なユーザー情報が届くようにすること。
• 現地管理者がアカウント作成、グループメンバーシップ、承認権限をカスタマイズ可能なツールを介して制御できるように、サイト固有のポリシーをサポートすること。
• LDAP、MySQL、およびグリッドマップファイルの生成を用いて、VO登録ユーザーをローカルグリッドサイトに安全に同期する自動化されたパイプラインを提供すること。
• ユーザーのアクセス権限およびロール割り当ての履歴記録を維持することで、長期的なアクセス制御を確保すること。

提案手法

• 指定された登録担当者が必要な属性（DN、名前、メールアドレス、ロール）をもって中央VOデータベースにユーザーを検証・登録するVO中心のユーザー登録モデルを設計する。
• VOユーザー情報を取得するためのLDAPと、ローカルユーザー記録およびマッピングを格納・管理するためのMySQLバックエンドを用いたクライアント・サーバー・アーキテクチャを実装する。
• コマンドラインツールを開発する：initdb（データベースセットアップ）、getVOusers/secgetVOusers（VOユーザー情報を同期）、updategroup（VOロールに応じてユーザーをUNIXグループに割り当て）、generate_gridmap（承認用の標準グリッドマップファイルを生成）。
• VOロール（例：シミュレーション、リコンストラクション）ごとにUNIXグループを作成し、ユーザーのVOメンバーシップおよびロールに応じてグループに割り当てることで、ロールベースのアクセス制御を実装する。
• VOメンバーシップの変更を検出するためのcronベースのポーリングを用い、UNIXグループ作成またはユーザー更新のための自動通知をサイト管理者に送信する。
• ユーザー情報をローカルで保護されたMySQLデータベースに格納し、VOのLDAPサーバーからの安全なデータ転送メカニズムを用いることで、セキュリティおよび監査可能性を確保する。

実験結果

リサーチクエスチョン

• RQ1 集中型ユーザー登録システムは、サイトレベルのポリシー制御を損なわずに、数百のグリッドサイトにまたがる数千人のユーザーをスケーラブルにサポートできるか？
• RQ2 VOからリソース提供サイトにユーザー情報を移管する際、どのようなメカニズムがユーザー情報の信頼性と監査可能性を保証するか？
• RQ3 標準的なUnix承認メカニズムを用いて、複数のグリッドサイトにまたがるロールベースのアクセス制御を自動的に強制できるか？
• RQ4 監査可能性と責任追跡を維持しながら、VOアイデンティティからローカルシステムアカウントへのマッピングを自動化するためのツールとワークフローにはどのようなものが必要か？
• RQ5 ユーザーのロールやVOメンバーシップに動的な変更が加わった場合でも、一貫性とセキュリティを維持するにはどうすればよいか？

主な発見

• GUMSは、中央集権的なVO登録に基づいて、ローカルグリッドユーザーのアカウント作成と管理を自動化し、サイト別での手動登録の必要性を排除した。
• システムは、ユーザーが所属するVOロールに対応するUNIXグループに動的にユーザーを割り当てることで、ロールごとの細かい粒度のアクセス制御を実現した。
• getVOusersやupdategroupといったツールにより、VOのLDAPサーバーからローカルMySQLデータベースへのユーザー情報の同期が安全かつ定期的に行われ、管理負荷が最小限に抑えられた。
• generate_gridmapスクリプトは、グリッドゲートウェイがユーザーのアイデンティティをローカルアカウントにマッピングするために使用する標準的なグリッドマップファイルを信頼性高く生成し、既存のグリッドインfra構造と互換性を保った。
• ユーザーの登録、ロール変更、グループメンバーシップの更新履歴を追跡することで監査可能性を維持し、重要な操作に対して管理者に通知を送信する。
• GUMSは拡張可能で安全であり、今後の計画としてMySQLバックエンドへのSSLおよびX.509認証の統合により、データ保護を強化する。