[论文解读] The Community Authorization Service: Status and Future

Laura Pearlman, Von Welch+3 more|ArXiv.org|Jun 14, 2003

Cloud Computing and Resource Management参考文献 13被引用 138

一句话总结

社区授权服务（CAS）通过委托授权权限，同时保留资源所有者的最终控制权，使虚拟组织（VO）能够在多个异构策略域之间定义并强制执行一致的访问策略。它通过一种去中心化、策略委托的模型，解决了跨域策略强制执行的挑战，支持分布式科学协作中的互操作性和可扩展性。

ABSTRACT

Virtual organizations (VOs) are communities of resource providers and users distributed over multiple policy domains. These VOs often wish to define and enforce consistent policies in addition to the policies of their underlying domains. This is challenging, not only because of the problems in distributing the policy to the domains, but also because of the fact that those domains may each have different capabilities for enforcing the policy. The Community Authorization Service (CAS) solves this problem by allowing resource providers to delegate some policy authority to the VO while maintaining ultimate control over their resources. In this paper we describe CAS and our past and current implementations of CAS, and we discuss our plans for CAS-related research.

研究动机与目标

• 解决在虚拟组织（VO）中，跨多个异构策略域强制执行一致访问策略的挑战。
• 使VO能够定义并强制执行其自身的策略，而无需更改底层域策略。
• 提供一种将授权权限委托给VO的机制，同时保留资源提供者的最终控制权。
• 支持大规模、分布式科学协作中的互操作性和可扩展性。

提出的方法

• CAS采用去中心化架构，资源提供者将策略强制执行权限委托给VO的中央授权服务。
• 它使用策略委托模型，允许VO基于VO定义的策略颁发访问令牌，同时尊重底层域策略。
• 系统通过标准协议（如X.509证书和SAML）与现有安全基础设施集成，实现身份和属性交换。
• 它支持基于角色的访问控制（RBAC）和基于属性的访问控制（ABAC）模型，以表达复杂的授权策略。
• CAS维护一个信任层次结构，资源提供者保留在访问决策上的最终权威。
• 它通过轻量级、可扩展的通信协议，在地理分布的系统之间实现动态策略分发与强制执行。

实验结果

研究问题

• RQ1 如何在虚拟组织中，跨多个异构策略域强制执行一致的访问策略？
• RQ2 哪些机制允许VO在不损害资源提供者控制权的情况下委托授权权限？
• RQ3 如何在分布式系统中以可扩展且互操作的方式实现策略委托？
• RQ4 哪些架构模式支持大规模科学协作中动态策略分发与强制执行？
• RQ5 如何扩展现有安全基础设施，以支持VO级别的授权策略？

主要发现

• CAS使VO能够在多个策略域中定义并强制执行一致的访问策略，即使这些域具有不同的强制执行能力。
• 资源提供者保留在其资源上的最终控制权，确保在去中心化环境中的信任与问责。
• 该系统通过标准协议成功实现策略委托，支持与现有安全框架的互操作性。
• 该架构能有效扩展，以支持具有异构参与者的大型动态虚拟组织。
• CAS原型在真实用例中展示了可行性与性能，特别是在高能物理和核物理协作中表现突出。
• 该方法通过集中化VO级别策略强制执行，减少了分布式系统中的管理开销和策略不一致性。