[論文レビュー] GridCertLib: a Single Sign-on Solution for Grid Web Portals

Riccardo Murri, Peter Kunszt+2 more|arXiv (Cornell University)|Jan 21, 2011

Distributed and Parallel Computing Systems参考文献 11被引用数 2

ひとこと要約

GridCertLibは、Shibboleth SAML認証とSLCS証明書サービスを活用して、プライベートキーを露出せずに短期間有効なX.509証明書およびVOMSプロキシを発行することにより、Gridウェブポータルにおけるシングルサインオンを可能にするJavaライブラリです。ユーザーがプライベートキーを直接管理する必要がなくなるため、Webベースのインターフェースを通じてシームレスで安全なGridリソースへのアクセスが実現します。

ABSTRACT

Abstract This paper describes the design and implementation of GridCertLib, a Java libraryleveraging a Shibboleth-based authentication infrastructure and the SLCS online cer-tificate signing service, to provide short-lived X.509 certificates and Grid proxies.The main use case envisioned for GridCertLib, is to provide seamless and secureaccess to Grid X.509 certificates and proxies in web applicat ions and portals: when auser logs in to the portal using SAML-based Shibboleth authentication, GridCertLibuses the SAML assertion to obtain a Grid X.509 certificate fro m the SLCS service andgenerate a VOMS proxy from it.We give an overviewof the architecture of GridCertLib and briefly describe its pro-gramming model. Its application to some deployment scenarios is outlined, as well asa report on practical experience integrating GridCertLib into portals for Bioinformat-ics and Computational Chemistry applications, based on the popular P-GRADE andDjango softwares. 1 Introduction Most Grid computing middleware in production use today relies on X.509 certificateproxies [44] for user authentication. This has been an issue when implementing web-based interfaces to Grid computingfacilities: in orderto generate a proxy, a copy of theX.509 private key is needed together with the passphrase used to encrypt it. However,uploadingthe public/privatekeypair to a web portal is undesirableon security grounds.Several solutions and workarounds have been implemented (see Section 2 below), butnone of them can be considered entirely satisfactory: either because they do not fullyaddress the security concerns, or because they require end users to take multiple steps,possibly through different and unrelated user interfaces (e.g. a web portal and UNIXshell commands).1

研究の動機と目的

• WebポータルにおけるGrid X.509プロキシの発行に関するセキュリティおよび使いやすさの課題に対処すること。
• ユーザーがプライベートキーをアップロードする必要や、認証に複数のインターフェースを切り替える必要をなくすこと。
• 標準的なSAMLベースのシングルサインオンを活用して、WebアプリケーションにGrid認証をシームレスに統合すること。
• SAMLアサーションから短期間有効なGridプロキシを生成する安全で自動化された方法を提供すること。
• バイオインフォマティクスおよび計算化学応用を含む科学的ポータルへの展開を支援すること。

提案手法

• ユーザーのアイデンティティアサーションを取得するためにShibbolethによるSAMLベースの認証に統合する。
• SAMLアサーションに基づいて短期間有効なX.509証明書をSLCSサービスを用いて発行する。
• 発行されたX.509証明書からVOMSプロキシ証明書を生成してGridアクセスを可能にする。
• プライベートキーを露出せずに証明書生成を処理する、セキュアなサーバーサイドJavaライブラリを採用する。
• P-GRADEおよびDjangoなどの既存のWebフレームワークとの統合をサポートする。
• ポータルログインに成功した際に自動的にプロキシを生成する仕組みを実装し、手動手順を排除する。

実験結果

リサーチクエスチョン

• RQ1 プライベートキーを露出せずに、Webベースのポータルで安全で自動化されたGridプロキシ生成をどのように達成できるか？
• RQ2 SAMLベースのシングルサインオンフローを効果的に拡張して、Gridコンピューティング用の短期間有効なX.509証明書を発行できるか？
• RQ3 このようなソリューションを実世界の科学的ポータルに統合する際の実用的課題と利点は何か？
• RQ4 従来のプロキシ生成手法と比較して、提案されたソリューションが使いやすさとセキュリティをどの程度向上させられるか？
• RQ5 このソリューションは、異なる科学的応用分野にどの程度再利用可能か？

主な発見

• GridCertLibは、プライベートキーを露出せずに短期間有効なX.509証明書およびVOMSプロキシを発行することで、Gridポータルにおける安全なシングルサインオンを成功裏に実現した。
• ユーザーがプライベートキーを管理する必要がなかったり、シェルコマンドを実行する必要がなくなることで、使いやすさとセキュリティが向上した。
• P-GRADEおよびDjangoベースのポータルへの実用的展開では、既存の認証ワークフローとの安定的かつ信頼性の高い統合が確認された。
• ログイン時にシームレスにプロキシを生成するアーキテクチャにより、科学的コンピューティングワークフローにおけるユーザーの負担が軽減された。
• SLCSによる証明書署名の使用により、生産環境における信頼性と失効対応が確保された。
• X.509プロキシ証明書に依存する既存のGridミドルウェアとの互換性が維持された。