[論文レビュー] Site Authorization Service (SAZ)

Vijay Sehkri, I. V. Mandrichenko+1 more|ArXiv.org|Jun 16, 2003

Distributed and Parallel Computing Systems被引用数 7

ひとこと要約

本論文では、高エネルギー物理学や核物理学のコンピューティングインfraストラクチャを含むグリッドコンピューティング環境における、サイト全体の承認ポリシーを強制する集中型アクセス制御メカニズムであるサイト承認サービス（SAZ）を紹介する。SAZは、グリッドリソースへのアクセスを統一的かつポリシー駆動で管理するフレームワークを提供することで、特に分散型グリッドサイトにおいて、管理の容易さと保守の簡素化を実現する。

ABSTRACT

In this paper we present a methodology to provide an additional level of centralized control for the grid resources. This centralized control is applied to site-wide distribution of various grids and thus providing an upper hand in the maintenance.

研究の動機と目的

• グリッドコンピューティングサイト間での分散型かつ一貫性のないアクセス制御の課題に対処すること。
• 大規模なグリッド展開におけるサイト全体の承認ポリシーを強制するための集中型メカニズムを提供すること。
• 分散型グリッド環境におけるアクセスポリシーの管理の容易さと保守の簡素化を改善すること。
• ハイパフォーマンスコンピューティングインフラストラクチャにおける、安全でスケーラブルかつポリシー駆動のアクセス管理を支援すること。
• 標準化されたサービス層を通じて、複数のグリッドリソースにわたるアクセスルールの一貫性のある実行を可能にすること。

提案手法

• グリッドサイトのポリシー実行ポイントとして機能する集中型承認サービス（SAZ）の設計。
• 事前に定義されたポリシーに基づいてアクセス要求を調整するため、既存のグリッドミドルウェアとSAZを統合すること。
• ロールベースアクセス制御（RBAC）モデルを用いて、サイト全体の承認ルールを定義および強制すること。
• 高スルーレットなアクセス制御意思決定をサポートするための軽量でスケーラブルなアーキテクチャを実装すること。
• 標準化されたインターフェースを介してグリッドリソースマネージャーと通信するスタンドアロンサービスとしてSAZをデプロイすること。
• アイデンティティと承認意思決定を結びつけるために、既存のグリッド認証メカニズム（例：GSI、X.509）を活用すること。

実験結果

リサーチクエスチョン

• RQ1 集中型アクセス制御は、大規模かつ分散型のグリッドコンピューティング環境にどのように効果的に適用できるか。
• RQ2 複数のグリッドサイトにわたる一貫性があり管理可能な承認ポリシーを実現するためのアーキテクチャパターンは何か。
• RQ3 集中型承認サービスは、グリッドインフラストラクチャにおける保守性とセキュリティをどのように向上させるか。
• RQ4 グリッドシステムに集中型承認レイヤーを導入する際のパフォーマンスとスケーラビリティのトレードオフは何か。
• RQ5 既存のグリッド認証メカニズムは、新しい集中型承認サービスとどのように統合できるか。

主な発見

• SAZは、グリッドサイト全体にわたるアクセス制御を集中型かつポリシー駆動で管理するアプローチを提供し、管理負荷の低減を実現する。
• サービスにより、承認ポリシーの一貫性ある実行が可能になり、分散リソース間での設定のずれ（configurational drift）が最小限に抑えられる。
• ポリシー定義と実行を分離することで、アクセス制御の保守性と監査性が向上する。
• 既存のグリッドセキュリティフレームワークとの統合をサポートするアーキテクチャであり、後方互換性と相互運用性を確保している。
• 高エネルギー物理学コンピューティング施設における生産環境に類似した環境で検証が行われ、実現可能性とスケーラビリティが示された。
• 論文は、実世界のグリッド環境におけるSAZの成功したデプロイと運用使用を報告しており、実用的妥当性を裏付けている。