1、上海交通大学工程硕士研究生学位论文摘 要随着人们对高性能计算和资源分布共享需求的增加，传统的高性能计算模式和计算共享模式己经不能满足人们的需要，人们期望能够像访问电力资源一样随时随地的获取需要的计算和存储等资源，期望不仅仅在本地计算机上找到所需的服务，而是在整个网络范围内找到最佳的服务，希望将整个网络虚拟成为一个整体。传统的高性能计算模式和资源共享模式因其灵活性差、系统扩充和升级代价高而无法适应这些持续增长的计算要求。技术的发展和新的应用需要新的具有革命性进步的计算模式，网格计算就是在这一需求下应运而生的一种新的计算模式。相比于传统的计算模式，网格作为未来一种重要的基础设施有很多新的特点，网格
2、的动态性为网格系统的实施带来了复杂的安全问题，安全问题同时贯穿于网格体系结构的各个层次，对于网格基础设施的有效实施至关重要。本文从基本的背景知识入手，总结了网格环境的特点和安全需求，并详细分析了网格的安全现状。文章介绍了目前最成熟的网格项目 Globus 中的网格安全框架 GSI，就 GSI 中的几项基础和扩展安全技术进行了研究，对其中的团体授权服务技术作了较详细地分析，并介绍它在网格中的具体应用过程，讨论了其中仍存在的问题。之后文章介绍并分析了有代表性的几个网格安全授权模型，包括CAS，VOMS ，Akenti 和 PERMIS 系统。通过对这些模型统一的介绍和分析，可以看出各个网格安全模型
3、分别解决了哪些安全问题，是如何解决的，以及还遗留哪些问题。在研究了一般授权模型的设计及虚拟组织的环境基础上，文章确定了一种适用于 VO 的授权方案。最后，讨论了 CAS 访问控制策略，结合网格环境，设计了基于改进 GSI 访问控制的授权模型,并给出了模型的功能设计和下一步研究方向。本文通过对网格授权模型的研究和分析，基于虚拟组织、CAS 提出了一种适用于虚拟组织的授权模型。该模型改进了 CAS 服务器，设置了一个负责虚拟组织内部成员授权的组织管理服务器 OMS。组织内用户以其自身在虚拟组织中的本地角色向 OMS 服务器申请注册 ,OMS 基于用户的本地角色为用户颁发证书，同时基于本地的访问控制
4、机制对用户进行授权，用户权限直接标志在证书中。从而使用户在申请资源时无须再将身份映射到资源本地就能完成授权。在完成方案设计的基础上给出了每个模块的具体实现并进行了相应的测试，以验证设计是否合理。测试结果表明，模型的功能达到了设计的要求。本文的意义在于，成功的实现了一个性能优越的授权模型，模型增强了网格系统的灵活性和可扩展性，提高了系统的效率。关键词：网格安全，GSI，授权，团体授权服务V上海交通大学工程硕士研究生学位论文AbstractAs people require more and more high performance computing and sharing of resour
5、ces,traditional high performance computing pattern and computing share pattern can not fulfill theneeds. People expect to gain the required computing and storing resources like obtaining electricpower. Also they hope to find the required services not only from the local computers but alsofrom the wh
6、ole network. Traditional high computing pattern and resource sharing pattern can notsatisfy the requirements. The development of technology and the appearance of new applicationsneed new revolutionary computing pattern. Grid computing is such a new computing pattern tosatisfy the requirements. Compa
7、ring with the traditional computing mode, Grid computing hasmany novel properties. Security is a vital factor to the success of grid computing, which relates toalmost all the profiles of grid computing infrastructure and is complicated due to the property ofdynamics.The thesis starts from the basic
8、background knowledge and makes a conclusion of thecharacteristics and security requirements of Grid environment. Then we propose an availablemodel of Grid security policy, and analyse the present security condition of Grid. The thesisintroduces GSI, the grid security architecture of the Globus proje
9、ct which is the most famousproject in Grid area. The thesis studies several fundamental and extended security technologies inGSI, analyzes Community Authority Service in detail, and introduces its concrete applicationprocess in Grid. A discussion is made upon the problems those techniques remain. Th
10、en the thesisintroduces and analyzes several typical grid security authorization models such as CAS, VOMS,Akenti and PERMIS. According to these work, we can find out what problems are addressed inthose model, how problems are settled and what problems are remained. According to study thedesign of ge
11、neral authorization model and the environment in VO, an authorization scheme whichapplies to VO is defined. At last, the paper discusses the authorization policy of CAS, andcombined with current research situation, a model of authorization is put forward based on GSI.Lastly, the design of the model
12、and direction of the research in future are given.This paper brings forward a kind of authorization model which suits for virtual organizationthrough the research and analysis of grid authentication and authorization and based on virtualorganization, CAS. This model has improved CAS server, and set
13、up an OMS server which isresponsible for member authorization within the virtual organization. The member within thevirtual organization send the registration application by his own local part, then OMS will awardthe certification to user based on his local part and authorize the user based on the l
14、ocal accesscontrol policy, the limit of authority is embodied directly in the authorization. Thus, user can applyfor resource and be authorized successfully without mapping the identity to the resource location.After every module being validated independently, the entire system is tested synthetical
15、ly.The result indicated that the model function is satified the designed requirements.This article is successful to come up with one functional dvantage authorization model. Thismodel has increased flexibility and expansibility of system and enhanced the efficiency of system.KEY WORDS： Grid security
16、, GSI, Authorization, Community Authorization ServiceVI上海交通大学工程硕士研究生学位论文上海交通大学学位论文原创性声明本人郑重声明：所呈交的学位论文，是本人在导师的指导下，独立进行研究工作所取得的成果。除文中已经注明引用的内容外，本论文不包含任何其他个人或集体已经发表或撰写过的作品成果。对本文的研究做出重要贡献的个人和集体，均已在文中以明确方式标明。本人完全意识到本声明的法律结果由本人承担。学位论文作者签名：冯立元日期： 年 月 日II上海交通大学工程硕士研究生学位论文上海交通大学学位论文版权使用授权书本学位论文作者完全了解学校有关保留、
17、使用学位论文的规定，同意学校保留并向国家有关部门或机构送交论文的复印件和电子版，允许论文被查阅和借阅。本人授权上海交通大学可以将本学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存和汇编本学位论文。保密，在本学位论文属于不保密。（请在以上方框内打“”）年解密后适用本授权书。学位论文作者签名：冯立元 指导教师签名： 曹健日期： 年 月 日 日期： 年 月 日III上海交通大学工程硕士研究生学位论文第一章 绪论1.1 研究背景网格作为继 Internet 技术和 Web 技术之后的第三次技术浪潮，在世界上引起了前所未有的关注和重视,很多国家和企业都设立重大项目对
18、网格计算环境进行研究和开发。网格将为高能物理等重大研究和应用领域提供科学活动的虚拟计算环境，必将对社会和经济发展以及人们的生活产生巨大影响。作为新一代网络计算与应用技术，网格的本质不是它的规模，而是充分利用互连网络中现有的各种软硬件资源，支持广域环境上的资源共享、互通与互用，消除资源孤岛，以较低成本获得高性能。网格需要为用户提供统一的编程与应用接口，屏蔽硬件边界、进程通信和同步的复杂性，为用户提供单一的虚拟机器。最早，人们经常把计算机网络计算环境中的网格比喻成电力网格，它将高速互联网、计算机、大型数据库、传感器、远程设备等融为一体，为科技人员和老百姓提供即插即用服务。近几年的实践表明，由于信息
19、资源的存储与服务系统、资源的描述与表达、提供服务的方式上的千差万别，信息服务和计算网格与电力网格技术在复杂度上有很大的差别，像电力网格一样的计算网格离现实还很远。但这并没有阻碍网格技术的发展，从特征与用途上看，人们把网格定义为一种大规模的地理上分布的硬件和软件基础设施，它是由异构网络资源所组成，这些资源由多个管理域所控制和共享，协同提供透明、可靠、普适、一致的计算能力，以支持广泛的应用1。这些应用可以完成分布式计算、高吞吐量计算、按需计算、密集数据计算、协同计算、多媒体计算等。本质上说，网格计算需要解决的问题是如何在动态的、异构的虚拟组织间实现资源共享以及协同的解决某一问题。1.2 网格技术的
20、发展网络的发展起始于 20 世纪 70 年代，当时美国国防部高级研究计划署（Advanced Research ProjectAgency，ARPA）建立了分组交换网 ARPANet。之后，ARPANet 扩展成为 Internet 的主干网。以 E-mail 为主要应用的第一代Internet 把遍布于世界各地的计算机用 TCP/IP 协议连接在一起；第二代Internet 则通过 Web 信息浏览及电子商务应用等信息服务，实现了全球网页的连通；随着高性能应用需求的迅猛发展，在科学、工程和商业计算领域，对计算资源和计算能力的需求不断增长，加之分布在不同地理区域的海量数据的处理和异地资源的使用
21、需求，单台高性能计算机已经不能胜任一些超大规模应用问题的解决，需要将地理上分布、系统异构的多种计算资源通过高速网络连接起来，共同解决大型应用问题，第三代 Internet 将试图实现互联网上所有资源的全面连通，包括计算资源、存储资源、通信资源、软件资源、信息资源、知识资源等，这就是网格计算（Gird Computing）23。20 世纪 90 年代初，根据 Internet 上主机数量大量增加但利用率不高的情况，美国国家科学基金会（National Science Foundation， NSF）将几个超级计算中心构成一个元计算机，用它来研究和解决一些具有重大挑战性的并行问题。元计算的目的是通
22、过网络连接一些大型计算机，形成一个超级计算环境；获得前所未有的巨大的处理能力，用于解决一些复杂的科学和工程问题，元计算是随后在美国 NCSA 的 I-WAY 项目中得到了正式的应用，经过开始数年的摸索和早验室研发的 Globus 系统 、美国能源部的科学计算网格 DOE Science Grid 、“China Grid”项目 ，以及由教育部主持、清华大学带领的“先进计算基础设上海交通大学工程硕士研究生学位论文网格计算的雏形。“网格”这一名词最早是在上世纪 90 年代中期由 Ian Foster 等人提出，3期的实验，如今网格技术已经进入了迅速发展的阶段。随着网格技术的进步，一些原有的困难问题
23、将迎刃而解，包括资源的大量闲置问题、计算机资源的存储和共享问题、跨平台的管理和无缝的服务质量问题等等。近年来，人们目睹了网格研究以及应用的高速发展。各个国家，从美国、欧洲、日本等发达国家到印度这样的发展中国家，都启动了大型网格研究计划，并得到了产业界的大力支持。美国政府单在网格技术的基础研究上，每年投入的经费高达 5 亿美元。据美国福布斯杂志预测，网格技术将在 20042005 年出现一个高峰，推动信息产业市场的持续高速发展，在 2020 年产生一个年产值为 20 万亿美元的大产业。如今比较有代表性的网格包括：美国 Argonne 国家实5 6欧洲数据网格项目 DataGrid7等。不单国家和
24、地区政府对网格做了巨大投资，世界知名大公司也闻风而动。SUN发布了网格引擎（Grid Engine ）开放源项目，还推出了 Grid Engine/Sun ONE 解决方案，提供了在网格环境下密集计算、在 Sun ONE 环境下进行数据存储，以及通过易用的基于 Web 的图形用户界面来访问这些数据的能力。与此同时， IBM宣布在网格计算领域投资 40 亿美元，在全球建设 40 家数据中心，并建立由 50台服务器组成的实验网络。HP、Microsoft、NTT、 Intel、Platform 等公司也分别参与了网格技术的研究工作。在我国，网格计算也发展迅速，主要有“国家高性能计算环境” （Nat
25、ionalHigh Performance Computing Environment，NHPCE）项目，该项目的目标是建立一个计算资源广域分布、支持异构特性的计算网格示范系统，它把我国的 8 个高性能计算中心通过 Internet 连接起来，进行统一的资源管理、信息管理和用户管理，并在此基础上开发多个需要高性能计算能力的网格应用系统。还有中国科学院牵头并有多家单位参与的“织女星网格” 项目 8，由 863 计划支持的9施”项目10等。网格技术有着非常广阔的发展前景，目前已经渗透到各个领域中。由于网格非凡的资源协作和共享能力，目前网格主要应用于分布式超级计算、分布式仪器、数据密集型计算、远程沉
26、浸等领域，而在生物基因工程、天文气象探索等海量数据存储和高吞吐率计算方面，网格计算更是显示了卓越超群的性能。除此以外，网格在商业、医学、电子政务、建筑工程等行业也有较广泛的应用。1.3 本文的研究内容网格安全主要研究如何在多个管理域、多种安全策略，以及主体动态变化的条件下提供网格统一的安全方案。我们将在充分理解已有安全技术（密码技术、安全传输技术、安全认证技术、访问控制技术、Web Service 安全技术等）和现有的网格安全技术（GSI、VOMS、CAS 等）的基础上，研究网格环境下基于 GSI 的授权解决方案，本文将做如下研究：对网格安全架构 GSI 系统进行研究，结合目前成熟的分布式安全
27、技术，分析其适合网格计算系统的特点。分析授权技术在网格中的应用，提出 GSI 主要解决了认证和消息保护问2上海交通大学工程硕士研究生学位论文题，并没有解决扩展性、灵活性、描述性以及策略层次性的问题。通过对当前主要的网格安全授权机制进行比较分析，提出了一种基于CAS 的改进授权方案的设想。这个方案能够缓解大规模网格环境中的策略需求和 GSI 安全体系在授权策略方面缺乏的带有良好扩展性的访问控制机制。在理论研究的基础上，确定具体的方案目标，进一步明确认证过程的变化和 CAS 代理凭证的变化。在 Globus 的环境下的进行模型搭建并验证，达到预期目标。1.4 本文的组织结构本文剩余部分的组织结构如
28、下：第二章 网格安全现状：介绍网格安全应符合的现有标准，以及网格安全管理的相关项目，分析各项目的特点与不足。第三章 网格安全基础设施 GSI：分析比较 GSI 中的几项基础和扩展安全技术，并说明授权在网格中的具体流程，指出 GSI 在授权上的不足。第四章 网格授权模型研究：讨论具有代表性的网格授权机制，并且分析包括 CAS 在内的以上四种授权机制的特点，指出了各自不足。第五章 网格授权模型的设计基础：阐述网格授权模型设计的设计基础，提出一种基于 GSI 的授权初步设计方案。第六章 基于 GSI 改进的授权模型的设计与实现：讨论 GSI 的网格授权策略，基于 GSI 提出一个改进授权模型。第七章
29、 全文的总结和下一步研究方向展望。3上海交通大学工程硕士研究生学位论文第二章 网格安全现状网格最大的难题是如何保障网格计算的安全性。由于要在全球网络上实现资源共享，系统将会更复杂，面临攻击的可能性也更大。因而，网格安全在网格系统中占有举足轻重的地位，没有一个好的安全框架，网格很难成为一个实用的系统。网格计算系统必须能够满足用户安全、高效地使用其提供的资源的要求，同时为了用户使用的方便，网格计算系统必须连接在 Internet 上，这就要求网格计算系统必须具有抗拒各种非法攻击和入侵的能力，并且在受到攻击和入侵的时候采取某些措施以维持系统的正常高效运行和保证系统的各种信息安全。网格计算系统中的安全
30、问题比一般意义上的网络安全问题的覆盖面更广，解决方案也将更加复杂。从网格计算所面临的安全问题可以看到，网格计算不仅需要解决普遍存在于Internet 上的安全问题，还需要解决网格计算所特有的安全问题，这为网格计算提出了一系列新的网格安全相关的标准以及目前正在进行的，影响比较大的几个相关项目。2.1 网格安全相关标准由于网格服务与 Web Service 的融合，网格服务的安全标准基本上也是采用了 Web Service 的安全标准，下面分别介绍了网格服务与 Web Service 的渊源以及网格服务所遵循的 Web Service 安全标准和规范。2.1.1 网格服务与 Web Service
31、全球网格论坛（Global Grid Forum，GGF）的 OGSI 工作小组于 2002 年 6月在全球网格论坛上发布了开放性网格服务架构 OGSA (Open Grid ServicesArchitecture)及其详细规范 OGSI ( Open Grid Services Infrastructure )，把 Globus标准与支持商用的 Web Services 的标准结合起来。 2004 年 1 月 20 日，Globus 联盟、IBM 和 HP 等又联合发布了新的网格标准草案 WSRF ( Web Services ResourceFramework)，干脆把 OGSI 转换成
32、了 4 个用于扩展 Web Services 的规范。这时，网格服务已经与 Web 服务彻底融为一体了。OGSA 从抽象的层次定义了网格服务，而 OGSI/WSRF 则具体地规定网格服务要遵从的规范。OGSI/WSRF 确定并定义了网格服务的基本接口和行为。简单点说，一个网格服务就是一个基于 WSDL 定义的服务，这种服务遵循一定的接口和行为规范，这些规范包括:Web 服务资源特性(WS-Resource Properties)定义了如何使用 Web 服务技术来查询和改变与一个有状态资源相关联的数据。Web 服务资源生命周期(WS-Resource Lifetime )定义了两种毁坏 Web
33、服务资源的方法:直接的和预先计划的。Web 服务基本故障(WS-Base Faults) 为基本故障定义了一个 XML 模式类型以及 Web 服务如何使用这种故障类型的规则。Web 服务服务组(WS-Service Group)定义了一种方法，通过这种方法，Web 服务和 Web 服务资源可以为了某个领域的特定目的而聚集或组合在一起11。由此可见，在网格标准草案 WSRF 中，网格服务是一类特殊的 Web Service，它需要遵循 Web Service 的安全规范，数据库网格安全要与其他环境融合，也必4上海交通大学工程硕士研究生学位论文须要遵循这些规范。下一节将简单介绍这些规范。2.1.2
34、 Web Service 安全规范以 WS-Security 为基础的安全规范分为两类：第一类包括 WS-Policy，WS-Trust 和 WS-Privacy，第二类包括 WS-Secure Conversation , WS-Federation和 WS-Authorization。Web Service 安全规范体系可以用图 2-1 来表示(此图参考IBM 和 Microsoft 共同提出的 Web Service Security 发展协议栈图12 )。图 2-1 以 WS-Security 为基础的安全规范Figure 2-1 The security specification
35、based on WS-Security规范说明如下：WS-Policy：定义功能和安全策略的描述方法。WS-Trust：描述建立信任关系的模式。WS-Privacy：定义万维网服务中如何描述个人隐私。WS-Secure Conversation：记述相互交换信息的管理及认证方法。WS-Federation：记述在不同环境下管理和协调信任关系的方法。WS-Authorization：定义万维网服务管理认证数据及策略的方法。WS-Policy 规范定义了一组基本构造，其它万维网服务可以使用和扩展这些构造以描述广泛的服务需求。它定义了抽象策略和 XML 策略表达式的语法以进行任意种类的策略断言。这
36、些断言可以构建在万维网服务内。WS-Trust 使用 WS-Security 安全消息传递机制，为安全性令牌的签发、交换和验证定义额外的原语和扩展。WS-Trust 还使凭证能够在不同的信任域中签发和传播。它定义了签发和交换安全性令牌的 WS-Security 扩展，还定义了建立和访问存在的信任关系的方法。WS-Secure Conversation 基于 WS-Security 和 WS-Policy 模型，在服务间提供安全通信。WS-Security 的提供的机制包括建立和共享安全上下文，并且从安全上下文中导出会话密钥。通过使用 SOAP 可扩展模型，提供一个丰富的消息传递环境。WS-Se
37、cure Conversation 本身并不提供完整的安全性解决方案，它与其它方面万维网服务和特定应用程序的协议联合使用，以适应多种安全性模型和技术。万维网服务策略框架与万维网服务策略附件、万维网服务策略断言的通用策略规范和万维网服务安全性策略语言协同工作。这些规范中，WS-Security 已经于 2004 年被 OASIS 批准成为标准，而WS-Trust, WS-Security Policy ( WS-Policy 的子规范) 和 W S-Secure Conversation于 2005 年 9 月被提交给 OASIS，由技术委员会来实现标准化，而图中剩下的规范WS-Federati
38、on, WS-Privacy 和 W S-Authorization 还未正式发布。我们在设计数据库网格安全架构时遵循了这些标准和规范，并且随时关注规范的变化，使我们的架构与未来的标准接轨。5上海交通大学工程硕士研究生学位论文2.1.3 WS-Security 安全技术WS-Security13是一个受到广泛支持的保证分布式应用和 Web 服务安全的规范。结构化信息标准促进组织（OASIS）2004 年 4 月批准 WS-Security 1.0 版为正式标准，2006 年 2 月 15 日批准 WS-Security 1.1 安全规范成为官方标准，这是 OASIS 最高规格的标准。1.1 规
39、范包括 WS-Security 核心规范及用户名权标规范 1.1、X.509 权标规范 1.1、Kerberos 权标规范 1.1、SAML 权标规范 1.1、权限表达（REL）权标规范 1.1、带附件的 SOAP（SWA）规范 1.1 和模式 1.1。WS-Security 规范提出了一套在创建安全 Web 服务时用于实现消息内容完整性和机密性的简单对象访问协议扩展，适合多种安全模型和加密技术。WS-Security 使用信任状传输、消息集成和消息机密性等三种能力来描述 SOAP消息。这些功能自身并不提供完全的安全解决方案，WS-Security 要与其它万维网服务协议一起来满足多种类型的应
40、用安全需要，它涉及身份认证、签名和加密三个方面，它将有关身份验证和授权的大量概念引入到 SOAP 消息中。SOAP 消息中除了消息内容本身以外，还包含用于安全认证和授权的附加信息。WS-Security 将安全性信息封装到 SOAP 消息头中，通过在 SOAP 中增加构建信息安全的万维网服务，保证完整性和机密性。WS-Security 为万维网框架的信息交换提供了认证、加密、签名等安全功能，但是无论是单位还是个人，在创建、管理和使用万维网服务时，常常需要其它方面的功能，例如保护隐私、信任关系描述等，同时也需要其它功能来强化万维网服务环境的安全。人们在 WS-Security 的基础上寻求建立其
41、它一些规范，来满足 WS-Security 所不能提供的需求，为万维网服务提供更安全的运行保障。2.2 网格安全相关项目随着人们对安全问题的关注，网格安全的研究与开发也不断深入。围绕着验证，授权，信任等普遍安全问题的项目层出不穷，本节简要介绍了其中比较有代表性，影响比较大的，综合分析它们的特点和不足。2.2.1 Globus 项目的安全体系1）Globus 项目Globus 项目是目前国际上最著名的网格计算项目，它开始于 1996 年，由美国 DARPA(Defense Advanced Research Projects Agency)、美国能源部（U.S.Department of Ene
42、rgy）、美国国家科学基金（The National Science Foundation，NSF）、美国航空航天局（The National Aeronautics and Space Administration，NASA）等机构共同资助，项目的承担单位是美国 Argonne 国家实验室和南加州大学，全美国有 12 所大学和研究机构参与了该项目14。Globus 是一个研究性的项目，其主要的研究目标有两个：网格技术的研究、相应软件的开发和标准的制定。同时，Globus 项目还涉及到网格应用的开发以及实验床（Test bed ）的建立。Globus 项目是一个较为长期的项目，对网格技术进行了
43、深入的研究，并开发了比较成熟的软件 Globus Toolkit15。Globus 项目完成了多篇学术论文，其研究成果在国际上产生了重要的影响，网格技术已经成为高性能计算研究领域中的热点。Globus 项目主要针对以下几个方面进行了研究：6上海交通大学工程硕士研究生学位论文资源管理：主要的工作集中在通信资源和计算资源的命名和定位。数据管理：主要集中在分布式环境下如何对数据进行管理，特别是涉及到数据密集型的高性能计算问题。信息服务：主要研究如何提供准确、实时的信息来配置计算机、网络以及协议、算法等资源，实现高性能的分布式计算环境。应用开发环境：主要研究如何为网格应用，包括精密仪器、显示、计算资源
44、和信息资源提供易用的开发环境和编程语言（如：CORBA ，JAVA ，Perl ，Python ）。安全：主要研究如何在多个管理域、多种安全策略，以及主体动态变化的条件下提供网格统一的安全方案。Globus Toolkit 是一个构筑网格计算环境的中间件，提供基本的资源定位、管理、通信和安全等服务。该计算工具包是模块化的，允许用户按自己的需要定制环境。利用这套工具可以建立计算网格，并可以进行网格应用的开发。目前几乎所有重大的网格项目都是基于 Globus Toolkit 提供的协议与服务建立的16。2）Globus 项目的安全体系目前的 Globus 可以认为是网格技术的典型代表和事实上的规范
45、，它的安全组件具有很强的参考价值。Globus 的安全组件主要有 GSI 和 CAS：（1）GSI (Grid Security Infrastructure)17GSI 是 Globus 的安全基础构件工具包，为用户和应用程序提供用来安全地访问网格资源的一组工具、类库和协议。它是网格安全体系结构的一个实现。GSI 的主要目标是:为多个网格系统和应用程序提供单点登录 ;以及在同一网格中的多个不同主体之间提供安全的通信机制。为获得网格安全，GSI 既提供了资源端工具，又提供了客户端工具。在资源端，GSI 工具包括用来识别资源的 X.509 证书。客户端工具包括用来创建临时证书(称为代理证书) 的
46、工具，以及用来执行单点登录和权限委托的工具。客户机与目标资源使用上面介绍的证书相互进行身份验证，并在第一次握手之后，建立一个安全的加密通信通道，该通道类似于支持安全传输 HTTPS 和 Secure Shell (SSH)的传输层安全协议(TLS) 中涉及的通道。另外，客户机可以选择将自己的证书委托给资源，让后续的资源访问得以继续，而不用再进行任何干涉。资源利用网格映像文件将目前的证书与一个本地用户帐号关联在一起。然后，它可以使用这个本地帐号的权限派生一些进程。另外，它可以利用诸如 CAS ( CommunityAuthorization Service)之类的工具进行更细粒度的身份验证操作。
47、（2）CAS (Community Authorization Service) 18CAS 也是属于 The Globus Project TM。它是一个基于 GSI 的授权系统。资源提供者将自身粗粒度权限交给 CAS，由 CAS 控制细粒度权限分配。权限以Permission entry 为单位。CAS 是一种中心控制的授权服务，资源提供者虽然可以更改用户权限，但必须登录 CAS 服务。2.2.2 DataGrid 的安全体系DataGrid 19是一个为 e-Science 提供数据解决方案的系统框架。它由 USC 的Ann Chervenak 和 Uchicago 的 Ian Fors
48、ter 等人提出，并且建立在 GLOBUS 基础之上。DataGrid 由 Grid Ftp 和 Replica Management 两个基本部分组成，以文件为最小的数据存储单元，所以 DataGrid 关注的实际上是网格上的分布式文件管理。DataGrid 的安全体系包括 VOMS(Virtual Organization Membership Service), Trust7上海交通大学工程硕士研究生学位论文Manager, Authorization Manager，LCAS/LCMAPS。VOMS (Virtual Organization Membership Service) 2
49、0VOMS 是由 EU DataGridTM 研发的颁发用户虚拟组织身份的服务，它可以看做是分布式的授权机制，VOMS 为虚拟组织用户颁发带属性的证书(X.509 证书的扩展，尚未成为标准)，将用户在虚拟组织的身份，角色写入属性证书，也可以说它是基于角色的授权方式。当用户访问虚拟组织中的本地资源时，需要携带属性证书。本地资源提供者端需要验证属性证书，并按照本地资源的授权策略为该用户分配权限。VOMS 做为欧洲数据网格的虚拟组织授权方式，具备了分布，灵活的特点。但是它颁发的属性证书还不具备标准性，也没有考虑遵循 Web Service 安全标准。Trust Manager21当用户请求到达本地资源时，由 Trust Manager 验证用户证书(X.509 格式)，判断它是不是来自所申明的组织。Trust Manager 并非管理虚拟组织之间信任关系而类似一个验证系统。它是 Tomcat 里 SSL Sever Socket Facotry 的替换实现，扩展了原有 JAVA 类，并且提供了以卜新特性:验证 Globus Proxy Certificate 的证书链，验证证书撤销列表。Authorization Manager 22本地授权策略
