[论文解读] A Logical Approach to Cloud Federation

Qiang Cao, Yuanjun Yao+1 more|arXiv (Cornell University)|Aug 10, 2017

Cloud Data Security Solutions参考文献 31被引用 4

一句话总结

本文提出了一种去中心化的、以数据为中心的云联邦信任基础设施，采用基于 Datalog 的逻辑来统一多云及社区 IaaS 环境中的身份、访问控制与资源授权。通过 SAFE 框架展示了实际性能，实现了低延迟的信任操作，其效率比受保护操作高出一个数量级。

ABSTRACT

Federated clouds raise a variety of challenges for managing identity, resource access, naming, connectivity, and object access control. This paper shows how to address these challenges in a comprehensive and uniform way using a data-centric approach. The foundation of our approach is a trust logic in which participants issue authenticated statements about principals, objects, attributes, and relationships in a logic language, with reasoning based on declarative policy rules. We show how to use the logic to implement a trust infrastructure for cloud federation that extends the model of NSF GENI, a federated IaaS testbed. It captures shared identity management, GENI authority services, cross-site interconnection using L2 circuits, and a naming and access control system similar to AWS Identity and Access Management (IAM), but extended to a federated system without central control.

研究动机与目标

• 解决联邦云环境中信任、身份、访问控制与治理的挑战，包括云对等连接、多云应用以及社区测试平台。
• 提供一种统一的、去中心化的解决方案，用于管理共享身份、命名与访问控制，无需中心化权威机构，灵感源自 GENI IaaS 测试平台。
• 通过证书链接与可访问 REST 接口的信任引擎，克服以往逻辑信任系统在凭证发现、集成复杂性与表达能力方面的实际限制。
• 通过声明式策略规则（以标准化逻辑语言 Datalog 执行）在轻量级、面向服务的框架中，实现可扩展、可验证且可扩展的信任管理。

提出的方法

• 使用基于 Datalog 的逻辑语言建模信任与授权，通过 'says' 语句表达对主体、对象、属性与关系的经认证断言。
• 通过 SAFE 框架实现信任基础设施，将逻辑集物化为存储在共享键值存储中的链接证书，并通过本地查询执行。
• 通过定义由本地 SAFE 服务解释的信任脚本，将策略逻辑与应用代码解耦，通过 REST API 访问以集成到现有系统中。
• 通过证书链接传递凭证引用而非复制它们，减少开销，提升在联邦参与方之间的可扩展性。
• 扩展 GENI 信任模型，支持 ABAC 风格的访问控制策略，实现对虚拟机、存储、网络及跨租户 VPC 对等连接的细粒度授权。
• 通过递归信任查询与声明式策略组合，支持复杂的联邦拓扑结构，实现在无信任锚点或集中控制下的端到端授权。

实验结果

研究问题

• RQ1 如何设计一种统一的、去中心化的信任模型，以在不依赖中心化权威机构的前提下，支持联邦 IaaS 云中的身份、访问控制与命名？
• RQ2 标准逻辑语言（如 Datalog）是否能够表达云联邦的全部需求（包括项目管理、角色委派与跨站点连接），同时保持高效性与可验证性？
• RQ3 在真实世界的云联邦中，如何克服逻辑信任系统在实际部署中的挑战，如凭证发现、与多语言技术栈的集成以及性能问题？
• RQ4 基于逻辑的信任系统在多大程度上能够实现足够高的性能以支持生产环境使用，特别是与 VM 实例化或网络连接等受保护操作的成本相比？
• RQ5 基于声明式逻辑与证书链接的单一软件栈，是否能够支持多样化的信任结构与不断演进的策略，而无需修改应用层代码？

主要发现

• 所提出的基于 Datalog 的逻辑信任方法与 SAFE 框架，通过极少的自定义代码即可实现端到端授权，具备高度的表达能力与可验证性。
• 微基准测试与合成工作负载表明，核心信任操作（如策略评估与凭证验证）的性能至少比其所保护的操作（如 VM 实例化或 VPC 连接）快一个数量级。
• 通过共享存储库实现的证书链接，可高效传播信任断言而无需复制数据，显著降低了大规模联邦中的通信与存储开销。
• 通过信任脚本将信任逻辑与应用逻辑分离，实现了策略在不同云联邦拓扑结构与访问控制模型间的灵活演化与复用。
• 该系统成功扩展了 GENI 信任模型，支持类似 AWS IAM 的更丰富的访问控制功能，同时保持去中心化特性，并支持跨租户 VPC 对等连接。
• 该方法通过解决凭证发现、多语言集成与性能等关键实际问题，克服了以往逻辑信任系统的主要局限，使其具备真实部署的可行性。