[論文レビュー] A Logical Approach to Cloud Federation

Qiang Cao, Yuanjun Yao+1 more|arXiv (Cornell University)|Aug 10, 2017

Cloud Data Security Solutions参考文献 31被引用数 4

ひとこと要約

本論文は、Datalogベースの論理を用いて、複数のクラウドおよびコミュニティ型IaaS環境におけるアイデンティティ、アクセス制御、リソース承認を統一する、分散型でデータ中心の信頼基盤を提案する。SAFEフレームワークを用いた実用的性能の実証により、低遅延の信頼操作を実現し、保護対象操作（例：VM起動）よりも1桁以上高速であることを示している。

ABSTRACT

Federated clouds raise a variety of challenges for managing identity, resource access, naming, connectivity, and object access control. This paper shows how to address these challenges in a comprehensive and uniform way using a data-centric approach. The foundation of our approach is a trust logic in which participants issue authenticated statements about principals, objects, attributes, and relationships in a logic language, with reasoning based on declarative policy rules. We show how to use the logic to implement a trust infrastructure for cloud federation that extends the model of NSF GENI, a federated IaaS testbed. It captures shared identity management, GENI authority services, cross-site interconnection using L2 circuits, and a naming and access control system similar to AWS Identity and Access Management (IAM), but extended to a federated system without central control.

研究の動機と目的

• クラウドピアリング、マルチクラウドアプリケーション、コミュニティ型テストベッドを含む、フェデレーション型クラウド環境における信頼、アイデンティティ、アクセス制御、ガバナンスの課題に対処すること。
• 中央機関に依存せずに、共有アイデンティティ、ネーミング、アクセス制御を統一的かつ分散型に管理するソリューションを提供すること。GENI IaaSテストベッドをインspirationとしている。
• 以前の論理的信頼システムにおける実用的制限（証明書発見の難しさ、統合の複雑さ、表現力の不足）を、証明書リンクとRESTアクセス可能な信頼エンジンにより克服すること。
• 標準化された論理言語（Datalog）を用いた宣言的ポリシー規則の実行により、軽量でサービス指向のフレームワークにおいて、スケーラブルで検証可能かつ拡張可能な信頼管理を実現すること。

提案手法

• 主な実体、オブジェクト、属性、関係について、認証された主張を表現するための「says」文を用いたDatalogベースの論理言語で信頼と承認をモデル化する。
• SAFEフレームワークを用いて信頼基盤を実装し、論理集合を共有キーバリュー・ストアに保存されたリンクされた証明書として物性化し、ローカルのクエリ評価によって実行する。
• 信頼スクリプトを定義することでポリシー論理をアプリケーションコードから分離し、REST APIを介してアクセス可能なローカルのSAFEサービスによって解釈させ、既存システムとの統合を可能にする。
• 証明書をコピーするのではなく参照を渡すことで証明書リンクを活用し、フェデレーション参加者間でのスケーラビリティを向上させ、オーバーヘッドを低減する。
• ABACスタイルのアクセス制御ポリシーをGENIの信頼モデルに拡張し、仮想マシン、ストレージ、ネットワーク、およびクロスタイエントVPCピアリングに対する細粒度の承認を可能にする。
• 再帰的信頼クエリと宣言的ポリシー合成を通じて、信頼アンカーも中央集権的制御も不要なエンドツーエンドの承認を可能にする、複雑なフェデレーショントポロジーをサポートする。

実験結果

リサーチクエスチョン

• RQ1 中央機関に依存せずに、フェデレーテッドIaaSクラウドにおけるアイデンティティ、アクセス制御、ネーミングを統合的かつ分散型に実現する信頼モデルをどのように設計できるか？
• RQ2 Datalogのような標準論理言語が、プロジェクト管理、ロールの委任、クロスサイト接続性を含む、クラウド連合体の要件を十分に表現可能であり、かつ効率的かつ検証可能であるか？
• RQ3 実世界のクラウド連合体において、証明書発見、マルチ言語スタックとの統合、パフォーマンスといった論理的信頼システムの実用的課題をどのように克服できるか？
• RQ4 論理ベースの信頼システムが、特にVM起動やネットワーク接続といった保護対象操作のコストと比較して、生産環境での使用に十分なパフォーマンスを達成できるか、その程度はどの程度か？
• RQ5 宣言的論理と証明書リンクに基づく単一のソフトウェアスタックが、アプリケーションレベルの変更なしに、多様な信頼構造と進化するポリシーをサポートできるか？

主な発見

• DatalogベースのステートメントとSAFEフレームワークを用いた提案された論理的信頼アプローチにより、最小限のカスタムコードでエンドツーエンドの承認が可能となり、高い表現力と検証可能性を達成した。
• マイクロベンチマークと合成ワークロードの結果、ポリシー評価や証明書検証といったコアな信頼操作は、VM起動やVPCリンクといった保護対象操作よりも、少なくとも1桁以上高速であることが示された。
• 共有リポジトリを介した証明書リンクにより、データの複製を回避して信頼主張を効率的に伝達でき、大規模なフェデレーション環境における通信およびストレージのオーバーヘッドを低減した。
• 信頼論理をアプリケーション論理から分離する信頼スクリプトの導入により、さまざまなクラウド連合体トポロジーやアクセス制御モデルにおいて、柔軟なポリシーの進化と再利用が可能になった。
• 本システムはGENIの信頼モデルを拡張し、AWS IAMに類似した洗練されたアクセス制御機能をサポートしながらも、分散性を維持し、クロスタイエントVPCピアリングを可能にした。
• 証明書発見、マルチ言語統合、パフォーマンスといった、従来の論理的信頼システムの主な実用的課題を解決することで、本アプローチは実際の展開に実用的であることが示された。