新一代互连网技术之网格计算虚拟的超级计算机 第20页

图4.4 网格中基于角色的访问控制方案

该模型由以下部分组成：

用户：资源的请求者。在网格环境中用户可能分布在地理位置互不相同的多个地方，也可能是来自不同的虚拟组织。

角色服务器。角色服务器中存放着所在域的用户角色信息，分为认证模块和角色分配模块，认证模块负责对用户进行身份认证，角色分配模块中存放着每个用户的角色信息（可以是用户的属性证书），在用户登录成功之后，角色分配模块根据用户的信息返回用户的角色。

访问控制策略：以资源为中心的访问控制策略，描述了何种角色有权限对何种资源做何种操作，是资源模块进行权限判断时的主要依据。

网格资源：在网格环境下部署的各种资源或是服务，具有分布性和动态性等特点，网格资源可以通过Globus中的网格目录服务GIIS（Grid Resource Information Service）与用户进行交互。

各实体之间交互过程如下：

1) 用户在进行网格资源的访问之前与角色服务器进行交互，通过登录角色服务器的认证模块进行自身的身份认证。

2) 角色服务器的认证模块对用户的身份进行安全认证，若通过认证，承认用户为合法用户，再调用角色分配模块，根据用户的身份信息返回用户所属的角色。若未通过认证，则返回用户错误信息，交互过程结束。

3) 用户通过认证之后，讲角色服务器返回给用户的用户角色连同用户的资源访问请求发送给网格资源的GIIS。

4) 网格资源收到对自身的访问请求之后，访问描述了何种角色有权限对何种资源做何种操作的访问控制策略，决定该用户所代表的角色的请求是否在权限范围内，若在权限范围内，则返回许可信息允许用户访问自身，若不在权限范围之内，则拒绝的访问。

在该模型中，网格服务器可以根据具体策略实现角色分层以及对角色的规约。

4.6对复杂网格环境下基于多策略的访问控制模型MPBAC（Multi-Policy-Based Access Control）的一些改进

在上面提出的一种网格环境下基于角色的访问控制框架，该框架在网格上的应用提供了一种既方便灵活又安全可靠的访问控制策略，很好地解决了具有大量用户,数据客体和各种访问权限的网格系统中的授权管理问题，有效地克服了传统访问控制技术存在的不足，所以将基于角色的访问控制的引入可以大大降低网格访问控制的复杂度，为网格系统的管理员提供一个比较好的安全策略实现。

但是，很多复杂的网格环境中用户需要共享跨多个管理域的资源，实现单一的资源共享空间，上述提出的基于角色的访问控制模型在相对简单的网格环境中可以体现出很高的访问控制效率，但在很复杂的网格环境中，一般涉及的用户类型复杂、规模较大、跨越的地理范围较广，并且具有多个管理域、多种安全策略、大量的用户及信息服务请求，该模型会体现出一些局限性：

角色服务器中统一地存放着所有域的用户角色信息，而在大型复杂的网格环境中，用户处在不停的动态变化中，所以用户服务器中角色信息的同步非常不易操作，可能成为系统的瓶颈；

系统需要文护一张以资源为中心的访问控制策略表，而在各个信任域之间的访问控制策略可能处于一个动态变化中，所以文护一个统一的访问控制策略也非常困难，不易于访问控制策略的动态管理；

在用户类型复杂、规模较大的网格环境中，访问控制策略表必然是巨大的，网格资源在接受到角色的访问请求后，解析一张访问控制策略表需要很大的系统开销。

针对复杂网格环境下跨信任域的访问控制，我们提出了一种复杂网格环境下基于多策略的访问控制模型MPBAC（Multi-Policy-Based Access Control）：

假定有多个异构的信任域A，B，C……，信任域A内有用户甲、乙、丙、丁和资源a、b、c、d。每个信任域都有一个服务器同时负责控制域内的访问控制关系和域间的访问控制关系，在我们的模型中，每个服务器文护三张访问控制策略表：

第一张是域内访问控制策略，它决定了域内资源互访的时候需要遵循的访问控制的权限。如表4.1

第二张是域间访问控制策略，它决定了本域内的所有用户对其它所有域的访问控制权限。如表4.2

第三张是域间被访问控制策略，它决定了其它所有域对本域内所有资源的访问控制权限。如表4.3

表4.1域内访问控制策略