AAI in TextGrid. Peter Gietz, Martin Haase, Markus Widmer DAASI International GmbH. IVOM-Workshop Hannover,

Transkript

1 AAI in TextGrid Peter Gietz, Martin Haase, Markus Widmer IVOM-Workshop Hannover,

2 Agenda Anforderungen von TextGrid Architektur AAI TextGrid und IVOM Peter Gietz 19. Februar 2008 Folie 2

3 Motivation Virtuelle Forschungsumgebung Zunächst für Textwissenschaftler und Lexikographen Weitere Zielgruppen: Linguisten, Historiker und Kulturwissenschaftler Benutzer haben keine Zertifikate Generische Plattform für wissenschaftliche Textverarbeitung, Text-Retrieval und -Analyse Zugriff auf verteilte Ressourcen Konzept für Projekt und Projektrollen Peter Gietz 19. Februar 2008 Folie 3

4 Technische Anforderungen Eclipse-basierte grafische Benutzerschnittstelle Service-Infrastruktur Werkzeugkasten für kollaboratives Arbeiten als SOA implementiert Möglichkeit der Integration projektexterner Werkzeuge über SOAP/WSDL Workflow Management Data Grid virtuelles Archiv für nachhaltige Datenhaltung Replikation der Daten Authentifizierung und Benutzerattribute über die DFN- AAI-Föderation Rollenbasierte Authorisierung Peter Gietz 19. Februar 2008 Folie 4

5 TextGrid Architektur GUI GridSphere Eclipse Interfaces Service layer service integration UDDI services e Middleware metadata internal store data integration Services Middleware (external) archives Archives Peter Gietz 19. Februar 2008 Folie 5

6 Middleware Architektur Projekte, Rollen, Objektzugehörigkeiten TG-auth RBAC/ LDAP URI PFN Rechte Create, Read, Update, Delete TG-crud I V Objekte Fileservices... Globus Metadaten Adaptoren TG-search Relationen Metadaten DB DB Struktur DB Storage Abstraktionsschicht (Globus DRS) Search normalisiertes Objekt TextGrid TEI Objekt Metadata Peter Gietz 19. Februar 2008 Folie 6

7 Rollenmodell Projektleiter: oberste administrative Funktion über ein Projekt. Einem Projektleiter ist es gestattet, Teilnehmer in das Projekt aufzunehmen, diese aus dem Projekt zu entfernen, Berechtigungen an projektinternen Texten zu verändern und administrative Funktionen zu delgieren. Administrator: übernimmt wie die Rolle des Projektleiters administrative Aufgaben. Ein Administrator kann Berechtigungen an Texten ändern, und hat ebenso wie der Verfasser eines Textes das Recht, diesen zu schreiben oder zu löschen. Bearbeiter: verleiht das Recht, neue Texte anzulegen, eigene zu ändern und projektinterne Texte zu lesen. Beobachter: eine rein passive Rolle in einem Projekt. Wer diese Rolle innehat, darf im Normalfall alle Texte des Projekts lesen, sofern es nicht durch einen Administrator oder einen Projektleiter untersagt wird. Peter Gietz 19. Februar 2008 Folie 7

8 TG-auth Shibboleth integriert Der RBAC-Standard vollständig implementiert limited hierarchical roles, dynamic und static separation of duty Alle Daten im LDAP-Server user, roles, resources/permissions, sessions Alle RBAC-Funktionen sind über ein SOAP/WSDL-Interface verfügbar Zusätzlich spezielle Services für TextGrid Grid wird über ein Community-Zertfikat angesprochen Authentifizierung wird über eine Session-ID weitergereicht Diese darf natürlich nur über verschlüsselte Verbindungen an bekannte Server weitergegeben werden Peter Gietz 19. Februar 2008 Folie 8

9 TextGrid-AAI Grid wird über Community-Zertifikat angesprochen Peter Gietz 19. Februar 2008 Folie 9

10 TG-Auth Peter Gietz 19. Februar 2008 Folie 10

11 Anbindung an DGI/IVOM Jetzige Infrastruktur ist autark, also ohne Anbindung an DGI-VOMS Das soll mit IVOM-Ergebnissen nachgebessert werden Hierbei sind zwei Möglichkeiten angedacht: TextGrid Middleware beantragt pro Session an Stelle des Benutzers ein SLC bei einer Online-CA; der private Schlüssel wird in der Middleware gespeichert SLC wird vom Benutzerbrowser beantragt und der private Schlüssel dort gespeichert. Ein Proxy-Zertifikat wird pro Session beim Benutzer unterschrieben und in die Middleware eingebracht VO-Attribute können für Autorisierungsentscheidungen mit herangezogen werden Zusätzlich wird in TG-auth das XACML/SAML Request/Response-Protokoll imlementiert, das sich zunehmend als Standard für die Kommunikation zwischen Grid-Ressource und PDP durchsetzt Permis kann genutzt werden, um Policy zu definieren und in XACML zu exportieren, welches in TG-auth importiert werden kann Allerdings ist dies im Gegensatz zu dem Request/Response-Protokoll sehr komplex und aufwändig. Peter Gietz 19. Februar 2008 Folie 11

12 TextGrid-AAI und IVOM Privater Schlüssel im Server! Peter Gietz 19. Februar 2008 Folie 12

13 TextGrid-AAI und IVOM B Privater Schlüssel im Browser Peter Gietz 19. Februar 2008 Folie 13

14 TG-auth mit IVOM Peter Gietz 19. Februar 2008 Folie 14

15 Vielen Dank für die Aufmerksamkeit! Kontakt und Information: Peter Gietz Peter Gietz 19. Februar 2008 Folie 15