Pobieranie prezentacji. Proszę czekać

Pobieranie prezentacji. Proszę czekać

System Użytkowników Wirtualnych Michał Jankowski Paweł Wolniewicz

Коpie: 1
Uwierzytelnianie i autoryzacja System Użytkowników Wirtualnych Michał Jankowski Paweł Wolniewicz

Podobne prezentacje


Prezentacja na temat: "System Użytkowników Wirtualnych Michał Jankowski Paweł Wolniewicz"— Zapis prezentacji:

1 System Użytkowników Wirtualnych Michał Jankowski Paweł Wolniewicz

2 Spis treści Podstawowe pojęcia Uwierzytelnianie w Globusie Autoryzacja w Globusie System Użytkowników Wirtualnych Jak uzyskać certyfikat?

3 Uwierzytelnianie (Authentication) Udowodnienie tożsamości –Skąd komputer ma wiedzieć, że łączy się z nim Kowalski –Skąd Kowalski ma wiedzieć, że łączy się z tym komputerem z którym chciał (np. z serwisem bankowym)

4 Autoryzacja (authorisation) Sprawdzenie prawa do przeprowadzenia określonej operacji Przykłady operacji: –Logowanie na maszynę –Zlecenie zadania –Dostęp do plików

5 Certyfikat Plik zawierający dane identyfikujące użytkownika (lub komputer, lub usługę) podpisany cyfrowo przez kogoś komu ufamy. Analogia – certyfikat jest pewnego rodzaju dowodem osobistym pozwalającym ustalić tożsamość właściciela.

6 Centrum certyfikacji (Certificate authority) Organizacja (lub osoba) wystawiająca certyfikaty. Obowiązuje zasada zaufania – uznajemy, że dane centrum certyfikacji jest wiarygodne w ramach danej grupy, organizacji lub projektu Analogia – urząd miasta wystawiający dowody osobiste

7 Uwierzytelnianie w Globusie Każde połączenie sieciowe w Globusie wykorzystuje certyfikat użytkownika i serwera (lub usługi) Administrator serwera definiuje listę akceptowanych CA w zależności od potrzeb ( umieszcza klucze publiczne CA w katalogu /etc/grid-security/certificates )

8 UWAGA!!!!! Akceptowanie certyfikatów CA nie oznacza zezwolenia na dostęp do zasobów. Sprawdzenie i akceptacja certyfikatu gwarantuje jedynie tożsamość osoby łączącej się przez sieć. Administrator zasobów nadaje prawa dostępu do zasobów.

9 Autoryzacja w Globusie Aby uruchamiać zadania w gridzie TRZEBA być wpisanym do pliku grid- mapfile na każdym klastrze w gridzie. Jest to mało praktyczne, dlatego powstał System Użytkowników Wirtualnych (VUS)

10 VUS -jak to działa? 7. Jeśli konto nie jest używane, można na nie zalogować innego użytkownika Kowalska 1. Uruchom zadanie VOIS 2. Czy Kowalska należy do Clusterix? 3. TAK6. Wyniki 4. Zaloguj użytkownika na jedno z kont Clusterix (zawsze 1 użytkownik na 1 konto w danej chwili) 5. Wykonaj zadanie

11 Autoryzacja VOIS - Przykład Hierarchia VO Grupy kont Polityka bezp. administratora VO Polityka bezp. administratora zasobów Grid Node guestscommonpower login: Clusterix TUCCyfronetPSNC ScientistsoperatorsprogrammersstaffLab_users Clusterix PCZCyfronetPCSS staffoperatorsprogramiścistaffLab_users

12 VUS -zalety Mały narzut administracyjny (brak kont osobistych) Konta nie są przypisane na stałe, ale można śledzić historię przypisań Mieszana polityka bezpieczeństwa zarządcy VO i administratora zasobu Możliwość różnicowania uprawnień Możliwość zablokowania niechcianych użytkowników Wtyczki autoryzujące -elastyczność

13 Jak uzyskać certyfikat? Polish Grid CA Certyfikat można otrzymać dla hosta/serwisu z Polski związanego niekomercyjnie z Gridem. Należy utworzyć certificate request i wysłać go do W Globusie polecenie grid-cert-request List należy podpisać certyfikatem administratora

14 VUS - Instalacja i konfiguracja Krok po kroku: Zainstalować Utworzyć grupę i konta wirtualne Uruchomić skrypt prepare-db.sh Skonfigurować dostęp do bazy Utworzyć plik /etc/grid-security/gsi- authz.conf W razie potrzeby zmodyfikować plik /etc/grid- security/vuam-config

15 Pytania?

16 Łańcuch certyfikatów Przykład: Certyfikat Kowalskiego może być podpisany certyfikatem Nowaka, który ma certyfikat podpisany przez PCSS, który ma certyfikat podpisany przez VERISIGN. Plik z certyfikatem Kowalskiego zawiera certyfikat Nowaka i PCSS Klucz publiczny VERISIGN jest na liście domyślnie akceptowanych certyfikatów (np. w Netscape i MSIE) Kowalski jest uwierzytelniony

17 Certyfikat proxy Certyfikat jest standardowo chroniony hasłem Użycie zwykłego certyfikatu do komunikacji wymagałoby podawania hasła przy przesyłaniu każdej wiadomości lub zlecaniu każdego zadania Certyfikat proxy jest certyfikatem podpisanym przez użytkownika, nie wymagającym hasła, za to o krótkim terminie ważności.

18 Jak uzyskać dostęp do Clusterixa? Skontaktować się z administratorem w najbliższym ośrodku w celu założenia konta. Uzyskać certyfikat podpisany przez Polish Grid CA. Uzyskać wpis do serwisu VOIS – za pośrednictwem administratora w ośrodku.

19 Szyfrowanie Algorytm z kluczem symetrycznym Ten sam klucz jest używany do szyfrowania i odszyfrowywania. Algorytm z kluczami asymetrycznymi Wiadomość zaszyfrowaną przy pomocy jednego klucza można odszyfrować WYŁĄCZNIE przy użyciu drugiego klucza Duża złożoność obliczeniowa

20 Klucze Klucz prywatny – używany tylko przez właściciela – należy go chronić i nikomu nie udostępniać –Dla bezpieczeństwa klucz prywatny może być chroniony hasłem Klucz publiczny – dostępny dla wszystkich

21 Szyfrowanie danych A wysyła wiadomość do B A musi znać klucz publiczny B Klucz publiczny Klucz prywatny... lub czasopisma. 0Hgdasy6h9h1jqP... lub czasopisma. SzyfrowaniePrzesyłanieOdszyfrowanie

22 Podpis cyfrowy A wysyła wiadomość do B B musi znać klucz publiczny A Klucz publiczny Klucz prywatny Kupuj akcje. Kupuj akcje. 082C67A78D Podpis-OK PodpisaniePrzesyłanie Weryfikacja

23 Certyfikat X509 Tekst zawierający: –Unikalną nazwę użytkownika (maszyny, serwisu) –Datę ważności (najczęściej 1 rok) –Klucz publiczny Powyższy tekst jest podpisany kluczem prywatnym CA

24 Certyfikat A wysyła wiadomość do B z kluczem publicznym w certyfikacie B musi ufać (znać klucz publiczny) wystawcy certyfikatu Klucz prywatny + (hasło) Kupuj akcje. Certyfikat- OK PodpisaniePrzesyłanie Weryfikacja Kupuj akcje. 082C67A78D Klucz publiczny A

25 CA Jest to certyfikat podpisany samym sobą (Subject=Issuer) Tylko od użytkownika/administratora zależy zaufanie dla danego CA Ufamy, że CA prawidłowo wystawia certyfikaty i tylko dla osób o potwierdzonej tożsamości Każdy może utworzyć CA


Pobierz ppt "System Użytkowników Wirtualnych Michał Jankowski Paweł Wolniewicz"

Podobne prezentacje


Reklamy Google