[논문 리뷰] A Model for Grid User Management

Richard S. Baker, Dantong Yu외 1명|ArXiv.org|2003. 06. 13.

Distributed and Parallel Computing Systems참고 문헌 6인용 수 7

한 줄 요약

이 논문은 대규모 그리드 컴퓨팅 환경에서의 중앙집중식 사용자 등록 및 자동 로컬 계정 관리를 위한 확장성 있고 보안성 있으며 정책 인지 기반의 프레임워크인 GUMS(Grid User Management System)를 제안한다. 각 가상조직(Virtual Organization, VO)당 단일 등록을 가능하게 하고, 역할 기반 그룹 할당 및 감사 가능한 워크플로우를 통한 신뢰 기반의 그룹 아이디와 로컬 유닉스 계정 간의 매핑을 자동화함으로써, 기존의 사이트별 등록 방식이 겪는 확장성 및 신뢰 문제를 해결한다. 이는 주요 헤피(HEP) 시설에서의 실제 운영 환경에서의 타당성과 보안성을 입증한다.

ABSTRACT

Registration and management of users in a large scale Grid computing environment presents new challenges that are not well addressed by existing protocols. Within a single Virtual Organization (VO), thousands of users will potentially need access to hundreds of computing sites, and the traditional model where users register for local accounts at each site will present significant scaling problems. However, computing sites must maintain control over access to the site and site policies generally require individual local accounts for every user. We present here a model that allows users to register once with a VO and yet still provides all of the computing sites the information they require with the required level of trust. We have developed tools to allow sites to automate the management of local accounts and the mappings between Grid identities and local accounts.

연구 동기 및 목표

• 기존의 사이트별 등록 방식을 사용할 경우 수천 명의 그룹 사용자를 수백 개의 컴퓨팅 사이트에서 관리하는 데 발생하는 확장성 문제를 해결한다.
• 가상조직(Virtual Organizations, VOs)이 사용자를 중앙에서 등록할 수 있도록 하되, 자원 제공자가 신뢰할 수 있고 감사 가능한 사용자 정보를 확보할 수 있도록 보장한다.
• 현지 관리자가 사용자 생성, 그룹 멤버십, 권한 부여를 커스터마이징 가능한 도구를 통해 제어할 수 있도록 하여 사이트별 정책을 지원한다.
• LDAP, MySQL, 그리고 gridmap 파일 생성을 통해 신뢰할 수 있는 보안성 있는 자동화된 파이프라인을 제공함으로써 VO에 등록된 사용자를 로컬 그룹 사이트와 동기화한다.
• 이력 기록을 유지함으로써 장기적인 액세스 제어를 확보하고, 사용자 액세스 권한 및 역할 할당 이력을 기록한다.

제안 방법

• 지정된 레지스트러(Registrars)가 필요한 속성(DN, 이름, 이메일, 역할 등)을 포함하여 중앙 VO 데이터베이스에 사용자를 검증하고 등록하는 VO 중심의 사용자 등록 모델을 설계한다.
• VO 사용자 데이터를 검색하기 위해 LDAP를 사용하고, 로컬 사용자 기록 및 매핑을 저장하고 관리하기 위해 MySQL 백엔드를 사용하는 클라이언트-서버 아키텍처를 구현한다.
• 명령행 도구를 개발한다: initdb(데이터베이스 설정), getVOusers/secgetVOusers(VO 사용자 데이터 동기화), updategroup(VO 역할에 따라 사용자를 유닉스 그룹에 할당), generate_gridmap(권한 부여를 위한 표준 gridmap 파일 생성).
• 각 VO 역할(예: 시뮬레이션, 재구성 등)에 대해 유닉스 그룹을 생성하고, 사용자의 VO 멤버십 및 역할에 따라 그룹에 사용자를 할당함으로써 역할 기반 액세스 제어를 구현한다.
• VO 멤버십의 변경 사항을 감지하기 위해 크론 기반 풀링을 사용하고, 그룹 생성 또는 사용자 업데이트를 위한 자동 알림을 사이트 관리자에게 전송한다.
• 사용자 데이터를 로컬 보호된 MySQL 데이터베이스에 저장하고 VO LDAP 서버로부터의 안전한 데이터 전송 메커니즘을 사용함으로써 보안성과 감사 가능성을 확보한다.

실험 결과

연구 질문

• RQ1 중앙집중식 사용자 등록 시스템은 수천 명의 사용자를 수백 개의 그룹 사이트에서 관리하면서도 사이트 수준의 정책 제어를 손상시키지 않고 어떻게 확장할 수 있는가?
• RQ2 VO에서 자원 제공자 사이트로 사용자 정보를 이전할 때, 어떤 메커니즘이 정보의 신뢰성과 감사 가능성을 보장하는가?
• RQ3 표준 Unix 인증 메커니즘을 사용하여 여러 그룹 사이트에서 역할 기반 액세스 제어를 자동으로 시행할 수 있는 방법은 무엇인가?
• RQ4 정당성과 감사 가능성을 유지하면서 VO 신원을 로컬 시스템 계정으로 매핑하기 위해 필요한 도구와 워크플로우는 무엇인가?
• RQ5 사용자 역할 및 VO 멤버십의 동적 변경 사항을 유지하면서도 일관성과 보안성을 확보할 수 있는 방법은 무엇인가?

주요 결과

• GUMS는 중앙집중식 VO 등록 기반으로 로컬 그룹 사용자 계정의 생성 및 관리를 자동화하여, 사이트별 수동 등록이 필요 없어졌다.
• 시스템은 사용자를 VO 역할에 해당하는 유닉스 그룹에 동적으로 할당함으로써 역할 기반 액세스 제어를 제공하여, 각 역할에 따라 세밀한 권한 부여를 가능하게 한다.
• getVOusers 및 updategroup와 같은 도구는 VO LDAP 서버에서 로컬 MySQL 데이터베이스로의 사용자 데이터 동기화를 안전하고 주기적으로 수행하며, 최소한의 관리 부담을 유도한다.
• generate_gridmap 스크립트는 그룹 게이트웨이에서 사용자 신원을 로컬 계정으로 매핑하는 데 사용되는 표준 gridmap 파일을 신뢰성 있게 생성하여 기존 그룹 인fra구조와의 호환성을 보장한다.
• 사용자 등록, 역할 변경, 그룹 멤버십 업데이트 이력을 추적함으로써 감사 가능성을 유지하고, 중요한 조치에 대해 관리자에게 알림을 전송한다.
• GUMS는 확장성과 보안성이 뛰어나며, 향후 MySQL 백엔드에 SSL 및 X.509 인증을 통합하여 데이터 보호를 강화할 계획이다.