[论文解读] Site Authorization Service (SAZ)

Vijay Sehkri, I. V. Mandrichenko+1 more|ArXiv.org|Jun 16, 2003

Distributed and Parallel Computing Systems被引用 7

一句话总结

本文介绍了站点授权服务（SAZ），这是一种针对网格计算环境的集中式访问控制机制，用于强制实施站点级授权策略。通过提供一个统一的、基于策略的框架来管理对网格资源的访问，SAZ增强了管理员对分布式网格站点的控制能力，并简化了维护工作，尤其适用于高能物理和核物理计算基础设施。

ABSTRACT

In this paper we present a methodology to provide an additional level of centralized control for the grid resources. This centralized control is applied to site-wide distribution of various grids and thus providing an upper hand in the maintenance.

研究动机与目标

• 解决网格计算站点间分散且不一致的访问控制问题。
• 为大规模网格部署提供一种集中式机制，以强制实施站点级授权策略。
• 改善分布式网格环境中访问策略的管理控制并简化维护工作。
• 在高性能计算基础设施中实现安全、可扩展且基于策略的访问管理。
• 通过标准化的服务层，实现对多个网格资源的访问规则一致执行。

提出的方法

• 设计一种集中式授权服务（SAZ），作为网格站点的策略执行点。
• 将SAZ与现有网格中间件集成，基于预定义策略中介访问请求。
• 采用基于角色的访问控制（RBAC）模型来定义和强制执行站点级授权规则。
• 实现一种轻量级、可扩展的架构，以支持高吞吐量的访问控制决策。
• 将SAZ作为独立服务部署，通过标准化接口与网格资源管理器通信。
• 利用现有的网格身份认证机制（例如GSI、X.509）将身份绑定到授权决策。

实验结果

研究问题

• RQ1 如何有效将集中式访问控制应用于大规模、分布式的网格计算环境？
• RQ2 哪些架构模式能够实现在多个网格站点间的一致且可管理的授权策略？
• RQ3 集中式授权服务如何提升网格基础设施的可维护性和安全性？
• RQ4 在网格系统中引入集中式授权层会带来怎样的性能与可扩展性权衡？
• RQ5 如何将现有的网格身份认证机制与新的集中式授权服务集成？

主要发现

• SAZ提供了一种集中式、基于策略的访问控制管理方法，显著降低了管理开销。
• 该服务实现了授权策略的一致执行，最大限度减少了分布式资源间的配置漂移。
• 通过将策略定义与执行解耦，SAZ提升了访问控制的可维护性和可审计性。
• 该架构支持与现有网格安全框架的集成，确保向后兼容性和互操作性。
• 该解决方案在高能物理计算设施的类生产环境中得到验证，证明了其可行性和可扩展性。
• 本文报告了SAZ在真实网格环境中成功部署并投入运行，支持其实际可行性。