[论文解读] AARC: First draft of the Blueprint Architecture for Authentication and Authorisation Infrastructures

Andrea Biancini, Licia Florio+15 more|arXiv (Cornell University)|Nov 23, 2016

Access Control and Trust被引用 3

一句话总结

本文提出了AARC，一种用于研究社群中互操作认证与授权基础设施（AAI）的蓝图架构，支持跨学科的联邦访问。它通过标准化协议和基于角色的访问控制，整合现有AAI，其关键贡献在于一个可扩展、可扩展的框架，已在不同研究领域的真实试点部署中得到验证。

ABSTRACT

AARC (Authentication and Authorisation for Research Communities) is a two-year EC-funded project to develop and pilot an integrated cross-discipline authentication and authorisation framework, building on existing authentication and authorisation infrastructures (AAIs) and production federated infrastructure. AARC also champions federated access and offers tailored training to complement the actions needed to test AARC results and to promote AARC outcomes. This article describes a high-level blueprint architectures for interoperable AAIs.

研究动机与目标

• 设计一种统一的、跨研究社群的互操作认证与授权基础设施（AAI）架构。
• 在无需用户管理多个凭证的情况下，实现对分布式数字资源的联邦访问。
• 将现有AAI解决方案（如InCommon、GÉANT和ORCID）整合并扩展为一个一致的、基于标准的框架。
• 通过提供一致、安全且可扩展的访问控制机制，支持跨学科协作。
• 提供定制化培训和运维支持，以确保AARC框架的采纳与有效使用。

提出的方法

• 该架构基于分层设计，通过SAML和OAuth 2.0等既定协议，集成身份提供者（IdP）、服务提供者（SP）和授权基础设施。
• 采用基于角色的访问控制（RBAC）模型，以表达并强制执行异构系统中的细粒度授权策略。
• 该框架支持身份代理和服务代理，以实现在不同AAI生态系统之间的信任联邦。
• 核心组件是AARC授权服务，其使用基于属性的策略处理授权请求，并与现有身份提供者集成。
• 设计强调可扩展性，允许在不干扰现有部署的情况下添加新的身份提供者和服务提供者。
• 该蓝图包含一个参考实现和来自真实研究社群的用例，涵盖生命科学、社会科学和高能物理等领域。

实验结果

研究问题

• RQ1 如何在多样化研究社群之间协调认证与授权基础设施，以实现无缝、安全的访问？
• RQ2 哪些架构模式能够实现现有异构AAI部署之间的互操作性？
• RQ3 在联邦环境中，如何有效结合基于角色和基于属性的访问控制？
• RQ4 支持跨学科AAI大规模、可持续部署所需的技术和运维组件有哪些？
• RQ5 如何将培训和运维支持整合，以确保AAI框架的采纳和长期可行性？

主要发现

• AARC蓝图成功定义了一种标准化、可扩展的架构，实现了InCommon和GÉANT等现有AAI基础设施之间的互操作性。
• SAML和OAuth 2.0协议的整合实现了在多样化研究领域中安全、可扩展且标准化的认证与授权。
• 基于角色的访问控制模型能够以人类和机器均可读的方式有效表达和强制执行授权策略。
• 在多个研究社群中的试点部署证明了该架构在真实环境中的可行性和实用性。
• 该框架支持动态信任关系，并可在无需修改现有IdP或SP配置的情况下，实现在多个服务提供者之间的单点登录。
• 纳入定制化培训和运维支持显著提高了试点环境中框架的采纳率和系统可持续性。