Abschlussvortrag zur Diplomarbeit Aufbau und Analyse einer Shibboleth/GridShib-Infrastruktur

Transkript

1 Abschlussvortrag zur Diplomarbeit Aufbau und Analyse einer Shibboleth/GridShib-Infrastruktur Stefan Marienfeld Fachgebiet Distributed Virtual Reality (DVR) Lehrgebiet Rechnernetze Stefan Marienfeld

2 Gliederung Grundlagen Aufbau der Infrastruktur Virtuelle Organisationen Ergebnisse und Ausblick Stefan Marienfeld 17 August 2006 Folie 2

3 Shibboleth Wörtlich aus dem Hebräischen übersetzt: Getreideähre Bedeutet aber Kennwort oder Codewort Hintergrund: Altes Testament, Buch der Richter, Kapitel 12, Vers 5ff. Stefan Marienfeld 17 August 2006 Folie 3

4 Shibboleth Shibboleth basiert nicht auf Identitäten, sondern auf Attributen Informationen über den User nur bei seiner Heimatorganisation Authentifizierung per Single Sign-On über bekannte Mechanismen In der Arbeit mit Apache/Tomcat und LDAP Autorisierung mit Attributen, speziell sog. eduperson Attribute edupersonaffiliation edupersonscopedaffiliation edupersonprincipalname Stefan Marienfeld 17 August 2006 Folie 4

5 Shibboleth Übersicht Where Are You From LDAP Identity Provider Single Sign-On 7 6 Credentials Handle 8 1 Service Provider Assertion Consumer Service Target Resource Handle Attribute Authority 9 Attributes Handle 10 Attribute Requester Stefan Marienfeld 17 August 2006 Folie 5

6 GridShib Verbindung zwischen Shibboleth und Globus Toolkit Je ein Plugin für Shibboleth Identity Provider und Globus Ermöglicht die Autorisierung im Globus Grid durch Shibboleth Attribute Stefan Marienfeld 17 August 2006 Folie 6

7 GridShib Übersicht Identity Provider Certificate 1 Grid Service Provider LDAP GridShib Plugin 2 DN GridShib Plugin Globus Grid Mapping Attribute Authority Attributes 3 Attribute Requester Stefan Marienfeld 17 August 2006 Folie 7

8 GridShib Übersicht Identity Provider Certificate 1 Grid Service Provider LDAP GridShib Plugin 2 DN GridShib Plugin Globus Grid Mapping Scalability Attribute Authority Attributes 3 Attribute Requester Stefan Marienfeld 17 August 2006 Folie 8

9 GridShib CA Benötigt Shibboleth Service Provider Erstellt Proxy-Zertifikate nach Authentifizierung über Shibboleth Ermöglicht Authentifizierung und Autorisierung im Grid über Shibboleth Stefan Marienfeld 17 August 2006 Folie 9

10 GridShib CA Übersicht 2 Identity Provider Where Are You From Java Web Start 1 Service Provider Assertion Consumer Service Handle Attribute Requester 13 Proxy Cert GridShib CA Credentials LDAP Single Sign-On 7 Handle Proxy Cert Attribute Authority 9 Attributes Handle 10 MyProxy Stefan Marienfeld 17 August 2006 Folie 10

11 Zusammenfassung Shibboleth besteht aus drei Komponenten Identity Provider Service Provider Where Are You From Service GridShib verbindet Shibboleth und Globus Proxy-Zertifikat nötig GridShib CA ermöglicht Erstellung von Proxy-Zertifikaten über Shibboleth geschlossener Kreislauf Stefan Marienfeld 17 August 2006 Folie 11

12 Shibboleth/GridShib Testbed LDAP with eduperson Shibboleth Identity Provider Shibboleth Service Provider GridShib CA MyProxy with Online CA Globus Toolkit Stefan Marienfeld 17 August 2006 Folie 12

13 Virtuelle Organisationen myvocs (Virtual Organization Collaboration System) erlaubt Aufbau virtueller Organisationen (VO) mit Shibboleth Brücke zwischen den Identity Providern der Federation und den Service Providern der VO Bietet in Kombination mit GridShib / GridShib CA VO-Zugriff auf Grids Stefan Marienfeld 17 August 2006 Folie 13

14 Virtuelle Organisationen myvocs 5 6 Identity Provider Shibboleth Service Provider myvocs Client Sympa VO Identity Provider VO Database VO Service Provider Resource Stefan Marienfeld 17 August 2006 Folie 14

15 Grid Access GridShib CA 1 6 Proxy Cert Stefan Marienfeld 17 August 2006 Folie 15

16 Shibboleth und glite Vergleich der Proxy-Zertifikate in glite/voms und Shibboleth/GridShib VOMS-Informationen werden als x509v3 extension eingebettet Authentication Assertion Client nutzt x509v3 extension Modifikation der GridShib CA VOMS-Rollen als myvocs Attribute Tool um VOMS-Rollen-Attribute in Proxy-Zertifikat einzubetten Stefan Marienfeld 17 August 2006 Folie 16

17 Ergebnisse und Ausblick Aufbau des Shibboleth/GridShib Testbeds Implementierung der GridShib CA Untersuchung des Aufbaus virtueller Organisationen mit Shibboleth Modifikation der GridShib CA zur Erstellung von Proxy Zertifikaten für andere Grids Federation im DFN böte die Möglichkeit, leicht untereinander auf Daten zuzugreifen Stefan Marienfeld 17 August 2006 Folie 17

18 Vielen Dank Vielen Dank für Ihre Aufmerksamkeit! Stefan Marienfeld 17 August 2006 Folie 18