Zugang zu Föderationen aus Speicher-Clouds mit Hilfe von Shibboleth und WebDAV

Größe: px

Ab Seite anzeigen:

Download "Zugang zu Föderationen aus Speicher-Clouds mit Hilfe von Shibboleth und WebDAV"

Lioba Mann
vor 8 Jahren
Abrufe

edu> Yang Xiang (Rechenzentrum Garching) Harald Richter (Technische Universität Clausthal)

1 Zugang zu Föderationen aus Speicher-Clouds mit Hilfe von Shibboleth und WebDAV Sebastian Rieger Yang Xiang (Rechenzentrum Garching) Harald Richter (Technische Universität Clausthal) STEINBUCH CENTRE FOR COMPUTING - SCC KIT Universität des Landes Baden-Württemberg und nationales Forschungszentrum in der Helmholtz-Gemeinschaft

2 Outline Speicher-Clouds Problemstellung Föderatives Identity Management Dynamische Föderationen Shibboleth WebDAV Client Fazit und Ausblick DFN-Forum Kommunikationstechnologien, Bonn, 2011

3 Speicher-Cloud Lösungen Online-Festplatten, Backup, Data Storage as a Service Cloud Storage Provider (CSP) Isolierte Speicher-Clouds z.b. Amazon S3 Google Storage, Windows Azure Storage Clients für Endnutzer basierend auf o.g. Lösungen z.b. Mozy, CrashPlan, Carbonite Dropbox, Ubuntu One Freie Speicher-Clouds: z.b. Eucalytus Walrus (S3) Verwendung in Ubuntu Enterprise Cloud Überwiegend RESTful API sep. Middleware erforderlich, keine native Unterstützung in OS teils jedoch WebDAV (z.b. JungleDisk, S3WebDAV) DFN-Forum Kommunikationstechnologien, Bonn, 2011

sierend auf o.g. Lösungen z.b. Mozy, CrashPlan, Carbonite Dropbox, Ubuntu One Freie Speicher-Clouds: z.b. Eucalytus Walrus (S3) Verwendung in Ubuntu Enterprise Cloud Überwiegend RESTful API sep.

4 Problemstellung Heterogene Landschaft für Benutzer separate Accounts, Logins Verbünde aus Speicher-Clouds verteilte IT-Infrastrukturen, Private Clouds, Hybrid Clouds Standard von Storage Networking Industry Assoc. in Arbeit Cloud Data Management Interface (CDMI), 1.0, April 2010 Block (iscsi) / File Access (CIFS, NFS, WebDAV) In aktuellen Storage-Lösungen noch nicht verfügbar Cloud Storage Provider A WebDAV Benutzername a Storage Cloud A Cloud Storage Provider B WebDAV Benutzername b WebDAV Storage Cloud B DFN-Forum Kommunikationstechnologien, Bonn, 2011

0, April 2010 Block (iscsi) / File Access (CIFS, NFS, WebDAV) In aktuellen Storage-Lösungen noch nicht verfügbar Cloud Storage Provider A

5 Föderatives Identity Management (AAI) Single Sign-On über mehrere Cloud Storage Anbieter z.b. für Aggregation von Verzeichnissen SAML: Service / Identity Provider, Shibboleth z.b. DFN-AAI Zugriff auf (C)SP Umleitung an IdP, SSO Einbindung eines IdP in unterschiedliche Storage Clouds möglich Problem: Lokalisierung ist Web-Browser basiert! Motivation: Lösung für RESTful Zugriff realisiert aber kein direkter Zugriff aus OS Andere Arbeiten zu Shibboleth für irods (Grid), work in progress Subversion (auch WebDAV, aber nur Server) Storage Cloud A CSP A AAI IdP CSP B Storage Cloud B Benutzer local file system DFN-Forum Kommunikationstechnologien, Bonn, 2011

Motivation: Lösung für RESTful Zugriff realisiert aber kein direkter Zugriff aus OS Andere Arbeiten zu Shibboleth für irods (Grid), work in progress Subversion (auch

6 Dynamische Föderationen Lokalisierung des Benutzers Shibboleth verwendet DS, SP leitet an DS um, Benutzer wählt IdP Föderationsverbund (Konföderation) möglich z.b. edugain Auswahl des IdP an Web-Browser gebunden Verwendung in Datei Explorer / Netzlaufwerk usw. nicht möglich Fluktuation von IdPs, SPs problematisch Dynamische Föderation SP ermittelt IdP anhand der Adresse (Benutzername) aus Domain über NAPTR Anfrage bei DNS (liefert Service URL) Benutzer benötigt nur Adresse, keine zusätzliche Auswahl im DS, ohne Web-Browser nutzbar, mehrere Identitäten möglich durch Lokalisierung im DNS auch Zugriffe über Föderationsgrenzen 1 Benutzer 6 IdP SP Name Server DFN-Forum Kommunikationstechnologien, Bonn, 2011

Service URL) Benutzer benötigt nur E-Mail Adresse, keine zusätzliche Auswahl im DS, ohne Web-Browser nutzbar, mehrere Identitäten möglich durch Lokalisierung im DNS auch Zugriffe über

7 5 Dynamische Föderationen - TES Trust Tabelle Entity-ID Trust Wert Location ple.com/sso e.com/sp Entity-ID Trust Wert Location ple.com/sso e.com/sp Trust Tabelle Benutzer 1 2 SP 9 TES 6 Zusätzliches Trust Estimation System (TES) im CSP Ermöglicht dynamische Föderation 3 4 DNS Föderationsübergreifender Trust in IdP basierend auf Trust Wert TES verwendet NAPTR DNS Requests für IdP Ermittlung TES übernimmt somit die Funktion eines Discovery Service Standalone Tomcat Anwendung, Anbindung an Shibboleth als Plugin 7 8 TES IdP SP DFN-Forum Kommunikationstechnologien, Bonn, 2011

.. Trust Tabelle Benutzer 1 2 SP 9 TES 6 Zusätzliches Trust Estimation System (TES) im CSP Ermöglicht dynamische Föderation 3 4 DNS Föderationsübergreifender Trust in IdP

8 Implementierung Shibboleth WebDAV Server WebDAV Server-Setup verwendet Standardkomponenten: Apache Server Standard Apache WebDAV Modul: mod_dav, bzw. mod_davfs Verwendet Apache mod_auth für Authentifizierung und Autorisierung hierfür Standard Shibboleth Variante: mod_shib (SP) <Location /shib> AuthType Shibboleth ShibRequireSession On Dav On <LimitExcept GET OPTIONS> require valid-user </LimitExcept> </Location> DFN-Forum Kommunikationstechnologien, Bonn, 2011

mod_davfs Verwendet Apache mod_auth für Authentifizierung und Autorisierung hierfür Standard Shibboleth Variante:

9 Shibboleth WebDAV Server Analog für MS IIS mit Shib SP möglich Test mit bestehenden WebDAV-Clients Getestet: MS Windows und Ubuntu (Gnome), WebDrive, iworks SAML bzw. Shibboleth wird nicht unterstützt SAML redirect profile Redirects werden nicht ausgeführt SAML POST profile wird nicht unterstützt Erfordert Auswertung von HTML Formularen Wird z.b. bei Shibboleth per JavaScript im Web-Browser gelöst Kein HTTP Session Handling Eigene WebDAV Client Implementierung erforderlich Unterstützung von Shibboleth typischen redirects, SAML POST profile und Sessions für SSO DFN-Forum Kommunikationstechnologien, Bonn, 2011

10 Shibboleth WebDAV Client Implementierung basierend auf Sardine Open Source Java WebDAV Client Sardine basiert wiederum auf Apache HTTP Client Erweiterung von Sardine Unterstützung von HTTP redirects, in Apache HC verfügbar SAML POST profile: Extraktion der Assertion und Relay State Übermittlung an den CSP Zusätzlich Session Verwaltung (Cookie) in Sardine, basierend auf Apache HC für SSO SSO Handling SSO wird so über CSPs (unterschiedlicher Cloud Anbieter) hinweg ermöglicht DFN-Forum Kommunikationstechnologien, Bonn, 2011

Relay State Übermittlung an den CSP Zusätzlich Session Verwaltung (Cookie) in Sardine, basierend auf Apache HC für SSO SSO Handling SSO

Shibboleth WebDAV Client Realisierung als Java Swing GUI Discovery anhand E-Mail Adresse (und NAPTR) Ermöglicht Zugriff auf Verzeichnisse, und Files per Drag & Drop Login am ersten

11 Shibboleth WebDAV Client Realisierung als Java Swing GUI Discovery anhand Adresse (und NAPTR) Ermöglicht Zugriff auf Verzeichnisse, und Files per Drag & Drop Login am ersten CSP, Redirect Handling, Asserion Extraktion Session an IdP wird gespeichert Zugriff auf nächsten CSP in Föderation SSO DFN-Forum Kommunikationstechnologien, Bonn, 2011

CSP, Redirect Handling, Asserion Extraktion Session an IdP wird gespeichert Zugriff auf

12 Shibboleth WebDAV Client Problem: einheitliche Autorisierung Autorisierung basiert auf Web-Server und darunter liegendem FS Für FS sind bei Cloud-übergreifenden Zugriffen einheitliche Identifier erforderlich Windows SID (global eindeutig), Unix UID (number) (lokal eindeutig) Mögliche Lösungen ACLs direkt im Web(DAV)-Server erhöht Komplexität des Managements Autorisierung durch Shibboleth SP UID Mapping in Shibboleth SP bei erstem Zugriff eines (externen) Benutzers, Zuordnung einer UID aus Pool des CSP Lösungen für Deprovisioning erforderlich! DFN-Forum Kommunikationstechnologien, Bonn, 2011

ACLs direkt im Web(DAV)-Server erhöht Komplexität des Managements Autorisierung durch Shibboleth SP UID Mapping in Shibboleth SP bei erstem Zugriff eines

13 Fazit und Ausblick Einheitliche Autorisierung, Lösung für global eindeutige Security Identifier Performance-Evaluierung in standortübergreifenden Speicher-Clouds für Föderationen wie z.b. MPG-AAI oder NDS-AAI Evaluierung der Eignung für NoSQL-basierte Objekt- Speicher und Filesysteme (z.b. GridFS für mongodb) Vielen Dank für die Aufmerksamkeit! Gibt es Fragen? DFN-Forum Kommunikationstechnologien, Bonn, 2011

rgreifenden Speicher-Clouds für Föderationen wie z.b.

Ähnliche Dokumente

Web-Single-Sign-On in der LUH

Web-Single-Sign-On in der LUH Begriffsklärung Technischer Ablauf Umsetzung an der LUH Vor- und Nachteile Sascha Klopp Begriffsklärung Single Sign-on: Benutzer meldet sich zu Beginn seiner Sitzung an und