[论文解读] Grid-based access control for Unix environments, Filesystems and Web Sites

A. McNab|ArXiv.org|Jun 6, 2003

Distributed and Parallel Computing Systems参考文献 1被引用 8

一句话总结

本文提出一种基于网格的访问控制机制，用于Unix环境、文件系统和Web服务器，利用X.509证书和GACL（网格访问控制列表）实现跨分布式站点的细粒度、基于身份的授权。该系统引入SlashGrid实现文件系统级别的访问控制，以及GridSite实现基于Web的访问控制，两者均利用虚拟组织（VO）成员身份和属性证书来安全地管理权限，而无需依赖静态Unix账户。

ABSTRACT

The EU DataGrid has deployed a grid testbed at approximately 20 sites across Europe, with several hundred registered users. This paper describes authorisation systems produced by GridPP and currently used on the EU DataGrid Testbed, including local Unix pool accounts and fine-grained access control with Access Control Lists and Grid-aware filesystems, fileservers and web developement environments.

研究动机与目标

• 解决在包含数百名用户、跨多个站点的大规模网格部署中，静态Unix账户映射带来的局限性。
• 基于网格身份和虚拟组织（VO）成员身份，实现对文件和Web资源的细粒度、策略驱动的访问控制。
• 通过将访问控制直接绑定到持久的网格凭证（如X.509证书）来消除对本地Unix用户名的依赖。
• 在异构系统（包括文件系统、文件服务器和Web应用）之间实现安全、可扩展且互操作的访问控制。
• 通过基于VO的访问控制和自动化账户池机制，实现授权管理的去中心化，从而降低管理开销。

提出的方法

• 使用通过锁文件进行书面对账的动态分配账户池，将网格身份映射到临时Unix用户账户，确保进程隔离和作业间文件共享。
• 采用GACL（网格访问控制列表），一种基于XML的访问控制格式，根据X.509证书、VO组或VOMS属性证书定义权限。
• 提出SlashGrid，一种文件系统框架，将文件访问与网格凭证绑定，而非本地Unix账户，从而实现在不同站点之间的透明访问。
• 部署GridSite，作为Apache的Web服务器扩展，将GACL与Apache集成，利用X.509客户端证书对Web内容实施访问控制。
• 重用现有的HTTPS基础设施，提供双向认证，并安全地访问Web和文件资源，而无需安装额外软件。
• 采用模块化架构，通过可加载的Apache模块和独立可执行程序，支持与CGI、PHP、JSP及其他动态内容技术的集成。

实验结果

研究问题

• RQ1 如何在拥有数百名用户和多个站点的大规模、分布式网格环境中有效扩展访问控制？
• RQ2 何种机制可替代静态Unix账户映射，实现基于凭证的动态访问控制，同时支持长期文件所有权和跨站点共享？
• RQ3 如何通过统一的授权模型，一致地应用于文件系统和Web资源，实现细粒度访问控制？
• RQ4 能否扩展现有的Web和文件服务器技术，使其原生支持基于X.509证书和VO成员身份的网格化访问控制？
• RQ5 何种架构模式可实现安全、可扩展且互操作的访问控制，而无需修改遗留应用程序？

主要发现

• 基于锁文件书面对账的账户池系统成功管理了动态Unix账户的分配，并确保在重叠作业请求中的一致身份映射。
• GACL支持多种凭证类型（包括X.509证书、VO组和VOMS属性证书），实现细粒度访问控制，权限按访问控制列表条目定义。
• SlashGrid使文件访问由网格身份而非本地Unix账户控制，从而在网格范围内实现透明、安全且一致的访问。
• GridSite成功将GACL与Apache集成，为Web内容提供基于证书的安全访问控制，支持VO组对文档权限的去中心化管理。
• 将GACL和GridSite集成到标准Web服务器中，使现有Web应用（如CGI、PHP、JSP）可透明继承基于网格的访问控制，无需修改。
• 该系统通过允许VO管理员通过Web界面直接管理组成员和访问权限，消除了集中式控制瓶颈，显著降低了管理开销。