CN101341467A - 使用组件目标在一个或多个分布和集成系统中定义角色 - Google Patents

使用组件目标在一个或多个分布和集成系统中定义角色 Download PDF

Info

Publication number
CN101341467A
CN101341467A CNA2006800484145A CN200680048414A CN101341467A CN 101341467 A CN101341467 A CN 101341467A CN A2006800484145 A CNA2006800484145 A CN A2006800484145A CN 200680048414 A CN200680048414 A CN 200680048414A CN 101341467 A CN101341467 A CN 101341467A
Authority
CN
China
Prior art keywords
node
user
task
mandate
subclass
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CNA2006800484145A
Other languages
English (en)
Inventor
M·布朗
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of CN101341467A publication Critical patent/CN101341467A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Automation & Control Theory (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

公开了在中央管理服务器上创建角色的方法和系统，该服务器包括用于给定身份的一对多授权以及将被授权的组件目标。根据任务和任务将在其上完成的组件的交集来定义所述授权。然后将此组合授权与特定身份关联。当启动任务时，中央管理服务器确定是否已为该任务授权身份以及它可以针对哪些组件执行该任务。基础结构然后生成适合的子命令并且仅对包含在来自发起请求的请求组件列表中的授权组件执行这些子命令。

Description

使用组件目标在一个或多个分布和集成系统中定义角色
技术领域
本发明一般地涉及分布式计算机系统，具体地说，本发明涉及用于在此类系统中定义角色的方法和系统。
背景技术
在服务器联合环境的分布或集成计算机系统中，如计算机集群或BladeCenter或大型计算机集群内的BladeCenter，由于各种行业实践和管制要求，需要对职能进行分离。当构建中央管理服务器或模块时，这种职能分离经常被折衷。在当前实践中，业内通常为各种认证用户定义角色或在整个集群中的身份。经由中央管理服务器的集群管理操作提供了跨整个集群中的所有组件的访问并能够执行集群范围的授权任务。
集群被认为是大部分任务的安全领域。业内利用不定义用户的实例或在特定组件上的身份的概念来解决这个问题。这需要大量的管理任务来由客户从期望的组件上移除身份，并且在有些情况下限制了对系统的使用。例如，用户可能需要对整个集群的每个组件中的每个独立资源生成访问控制列表(ACL)或保护机制，以限制对目标子集上的特定资源的访问。
发明内容
本发明的一个方面是改进分布式计算机系统。
本发明的另一个方面是通过执行数量更少的命令来允许减少服务器和计算机网络资源消耗。
本发明的另一个方面是允许在分布式计算机系统的中央管理服务器或模块上的一个角色定义来实施对系统的各组件的访问。
本发明的一个方面是通过构建是授权任务和任务目标的交集的角色来提供对分布式计算机系统中的一些组件的子集访问的能力。
根据本发明，通过在包括用于给定身份的一对多授权以及将被授权的组件目标的中央管理服务器上创建角色，来实现这些和其他方面。根据任务和任务将在其上完成的组件的交集来定义所述授权。然后将此组合授权与特定身份关联。当启动任务时，中央管理服务器确定是否已为该任务授权身份以及它可以针对哪些组件执行该任务。基础结构然后生成适合的子命令并且仅对包含在来自发起请求的请求组件列表中的授权组件执行这些子命令。对于与请求身份关联的任务，不会对没有包括在授权列表中的请求组件做出任何执行尝试。
与客户必需对整个集群的每个组件中的每个独立资源生成ACL(访问控制列表)或保护机制相对，通过构建是授权任务和任务目标的交集的角色来提供对一些组件的子集访问的能力，允许在中央管理服务器或模块上的一个角色定义来实施访问。
附图说明
现在将参考附图仅通过实例的方式描述本发明的优选实施例，这些附图是：
图1示出了其中可以实现本发明的实施例的集群计算机系统环境；
图2显示了根据本发明的优选实施例的用于节点和图1的计算机集群的中央管理服务器的功能栈；
图3显示了在本发明的优选实施例的第一部分中执行的安全职员任务；
图4和图5示出了可在本发明的优选实施例的第二部分执行的管理任务的示例；以及
图6和图7示出了可在本发明的优选实施例的第二部分执行的管理任务的另一个示例。
具体实施方式
图1显示了通用集群系统环境。该环境包括中央管理服务器100，优选为IBM集群管理服务器(CMS)，以及集群中的一组节点101、102、103，优选地，这些节点是IBM的P-Series服务器。这些节点通常是管理任务的目标。图1还显示了网络交换机、电缆线路和协议栈，标为110，其被各种节点和CMS使用来进行通信，还显示了永久性存储装置130，其通常是类似于IBM 2107存储系统的多个盘驱动器。
参考图2，在210、211处表示了用户或身份，其例如可以是具有如UNIX开放组标准定义的UID结构的UNIX用户。在220处表示了类似于MIT Kerberos的认证机制，以及在231、232处表示了一组角色，该组角色在集群中被定义为具有执行一个到N个任务的能力。图2还显示了对集群中的所有定义节点进行可选执行的远程执行机制。合适的远程执行机制的示例是具有-a选项的IBM AIX CSM dsh命令，该-a选项将作为自变量执行命令并将对集群数据库235中定义的所有节点执行该命令。
图2还表示了集群管理软件(其优选地为AIX 230的IBM集群系统管理器功能)、在所有服务器上的操作系统240，以及安全职员或超级特权用户身份219。在250表示了可被像文件系统那样操作的一组资源，以及在260表示了包含所有集群定义的集群管理数据库。
在图1中，节点1、2和3即101、102、103经由网络交换机110与中央管理服务器100通信。中央管理服务器100从永久性存储装置130检索数据和在其中存储数据。节点1、2、3即101、102、103在特定实施方式中可具有或不具有永久性存储装置。所有节点和CMS服务器都具有存储器和至少一个处理器，如在正常服务器和通用计算机中可以找到的那样。
在图2中，左侧的节点101的软件栈包括：操作系统240，其同时提供特权和非特权服务；提供集群功能和接收来自CMS 100的任务的能力的集群管理软件层230；一个或多个集群管理者所希望操作的资源250；以及对认证机制的访问220，其目的在于验证用户或来自CMS 100的任务的身份。
同样在图2中，右侧的CMS 100的软件栈与所述节点相同并添加了以下项。其包括：任务请求身份，通常是具有一组给定分配角色的集群管理者；永久存储的具有关联授权的角色231，其通常包含在集群管理数据库260中；以及可选地如MIT Kerberos的认证机制220。应当指出，此认证机制可以并通常位于通过网络连接到CMS 100的专用的通用计算机上。
图3-7示出了用于实施本发明的优选实施例的过程。通常，示出的过程具有两个部分。在图3显示的第一部分中，安全职员在CMS 100上执行各种任务；以及在第二部分中，其示例在图4-7显示，集群管理者和集群管理软件执行附加任务来对识别的目标执行授权。
更具体地说，在步骤301，在CMS 100上，安全职员219定义包括一对多授权的角色231并且永久地存储此角色。一个示例可以是文件系统管理者。在步骤305，在CMS(100)上，安全职员219以一对多节点组的形式定义节点的若干子集并且永久地存储此节点组信息。一个示例可以是组A＝节点1和节点2，以及组B＝节点3。在步骤310，在CMS 100上，安全职员将授权、节点组和用户身份相关联并且永久地存储此关联。一个示例可以是用户adminA具有用于组A的文件系统授权(231)以及用户adminB具有用于组B的文件系统授权(232)。
参考图4，在步骤315，在CMS 100上，集群管理者adminA使用认证机制220认证他们自身210以确保用户具有真实身份。如步骤320所表示的，在CMS 100上，集群管理者adminA(210)可发出命令，如dsh-achfs+100M/tmp235。此命令将在所述身份具有授权的集群中将所有/tmp文件系统的大小增加100MB。在此情况下，是节点1101和节点2102。
在步骤325，作为dsh-a 235执行流的一部分的集群管理软件230搜索集群管理数据库，来确定此身份是否可执行请求的授权并且如果未找到，则返回授权错误。在步骤330，软件230还从数据库中生成与此授权关联的目标(节点)的列表。
在图5显示的步骤335，继续作为dsh-a执行流一部分的集群管理软件230规划命令的远程执行，并且如338和340表示的，针对在先前步骤中获得的目标列表执行该命令。然后在步骤342，目标节点回复成功完成执行条件或者错误条件；在步骤345，adminA分析任何错误条件信息并且结束任务。
图6和7显示了由AdminB执行的任务。在步骤350，在CMS(100)上，集群管理者adminB使用认证机制220认证他们自身211，以确保用户具有真实身份。在步骤355，在CMS 100上，集群管理者adminB 211可发出命令，如dsh-a chfs+100M/tmp235。此命令将在所述身份具有授权的集群中将所有/tmp文件系统的大小增加100MB。在这种情况下，是节点3103。在步骤360，作为dsh-a(235)执行流一部分的集群管理软件230搜索集群管理数据库，以确定此身份是否可执行请求的授权并且如果未找到，则返回授权错误。在步骤365，此管理软件还从数据库中生成与该授权相关联的目标(节点)的列表。
在步骤370，继续作为-a 235执行流一部分的集群管理软件230规划命令的远程执行，并且针对在先前步骤中获得的目标列表执行该命令。然后在步骤375，目标节点回复成功完成执行条件或者错误条件；在步骤380，adminB分析任何错误条件信息并且结束任务。
本发明的实施例的一个重要优点是通过执行较少数量的命令，允许减少服务器和网络资源消耗，并且还节省了集群管理者的工作时间。详细地说，在现有技术中，chfs命令(通过dsh-a)将由每个集群管理者在所有节点(节点1、节点2和节点3)上执行，且从没有授权进行文件系统操作的节点针对该节点上发出请求的身份回复错误返回条件。每个集群管理者则必须检查输出并且确定哪些错误返回是由缺少授权引起的(在这种情况下将是虚假错误)，以及哪些错误返回实际上是有效的。
相比之下，当实施本发明的实施例时，chfs将仅在与身份和授权关联的节点上执行。仅有的错误返回将是有效的错误返回。因此，本发明的实施例通过执行较少数量的命令而允许减小服务器和网络资源消耗。
本发明的实施例还节省了集群管理员的工作时间，因为现在他们仅需要检查有效的错误返回。将不会返回虚假的肯定的错误条件。集群管理者现在可进一步利用dsh-a选项。每个管理者无需建立他们自己的节点组来限定由dsh-a调用的命令的执行范围。本发明的实施例还允许安全职员限定单个集群管理者的范围并且给予他们基础结构来提供职责分离。对于特定任务列表的所有管理者，本发明的实施例还允许使用一个中央脚本，并且所有管理者将看到相同的行为。这简化了维护并且减少了更改管理过程中的错误。
应当理解，本发明的实施例可通过硬件、软件或硬件和软件组合来实现。任何种类的计算机/服务器系统或其他适于执行在此描述的方法的设备都是适合的。硬件和软件的典型组合可以是具有计算机程序的通用计算机系统，当程序被加载和执行时，所述系统将执行在此描述的各个方法。备选地，可以使用包含用于执行本发明的实施例的一个或多个功能任务的专用硬件的专用计算机。
本发明的实施例可以以计算机程序产品实现，其包括使能实现在此描述的方法的所有相应特性，并且当被加载到计算机系统中时，可执行这些方法。当前上下文中的计算机程序、软件程序、程序或软件是指一组指令的以任何语言、代码或符号表示的任何表达，旨在使具有信息处理能力的系统直接执行特定的功能，或者执行以下两者之一或全部后执行特定的功能：a)转换为另一种语言、代码或符号；和/或b)以不同的材料形式再现。

Claims (18)

1.一种在具有一组节点的分布式计算系统中定义角色的方法，所述方法包括以下步骤：
创建包括一个或多个授权的定义角色；
定义所述节点的多个子集；
将一组用户中的每个用户与所述授权之一和节点的所述子集之一相关联；以及
在数据库中存储所述授权和与所述每个用户相关联的所述节点的所述子集之一。
2.如权利要求1所述的方法，还包括以下步骤：
所述一组用户中的一个用户启动一个任务；
确定所述一个用户是否具有所述任务的授权；以及
确定所述一个用户在所述节点中的哪个节点上具有所述任务的授权。
3.如权利要求2所述的方法，还包括以下步骤：仅在所述一个用户在其上具有所述任务的授权的节点上执行所述任务。
4.如权利要求2所述的方法，其中所述确定所述一个用户在所述节点中的哪个节点上具有所述任务的授权的步骤包括以下步骤：在所述数据库中查找与所述一个用户关联的节点子集。
5.如权利要求4所述的方法，还包括以下步骤：如果在所述数据库中找到与所述一个用户关联的节点子集，则仅在所找到的子集中的节点上执行所述任务。
6.如权利要求1所述的方法，其中所述分布式计算系统包括安全职员，并且创建所述定义角色的步骤包括以下步骤：使用所述安全职员来创建所述定义角色。
7.一种在具有一组节点的分布式计算环境中定义角色的系统，所述系统包括：
用于创建包括一个或多个授权的定义角色的装置；
用于定义所述节点的多个子集的装置；
用于将一组用户中的每个用户与所述授权之一和节点的所述子集之一相关联的装置；
数据库；以及
用于在所述数据库中存储所述授权和与所述每个用户相关联的所述节点的所述子集之一的装置。
8.如权利要求7所述的系统，还包括用于当所述一组用户中的一个用户启动一个任务时确定以下项的装置：(i)所述一个用户是否具有所述任务的授权，以及(ii)所述一个用户在所述节点中的哪个节点上具有所述任务的授权。
9.如权利要求7所述的系统，还包括用于仅在所述一个用户在其上具有所述任务的授权的节点上执行所述任务的装置。
10.如权利要求7所述的系统，其中所述确定装置包括用于在所述数据库中查找与所述一个用户关联的节点子集的装置。
11.如权利要求10所述的系统，还包括用于如果在所述数据库中找到与所述一个用户关联的节点子集，则仅在所找到的子集中的节点上执行所述任务的装置。
12.如权利要求7所述的系统，其中用于创建所述定义角色的装置包括安全职员。
13.一种可由机器读取的程序存储装置，有形地体现可由机器执行的指令程序，以执行在具有一组节点的分布式计算系统中定义角色的方法步骤，所述方法步骤包括：
创建包括一个或多个授权的定义角色；
定义所述节点的多个子集；
对于一组用户中的每个用户，将所述授权之一和节点的所述子集之一与所述每个用户相关联；以及
在数据库中存储所述授权和与所述每个用户相关联的所述节点的所述子集之一。
14.如权利要求13所述的程序存储装置，其中所述方法步骤还包括：
使得所述一组用户中的一个用户启动一个任务；
确定所述一个用户是否具有所述任务的授权；以及
确定所述一个用户在所述节点中的哪个节点上具有所述任务的授权。
15.如权利要求14所述的程序存储装置，其中所述方法步骤还包括以下步骤：仅在所述一个用户在其上具有所述任务的授权的节点上执行所述任务。
16.如权利要求14所述的程序存储装置，其中所述确定所述一个用户在所述节点中的哪个节点上具有所述任务的授权的步骤包括以下步骤：在所述数据库中查找与所述一个用户关联的节点子集。
17.如权利要求16所述的程序存储装置，其中所述方法步骤还包括以下步骤：如果在所述数据库中找到与所述一个用户关联的节点子集，则仅在所找到的子集中的节点上执行所述任务。
18.如权利要求13所述的程序存储装置，其中所述分布式计算系统包括安全职员，并且创建所述定义角色的步骤包括以下步骤：使用所述安全职员来创建所述定义角色。
CNA2006800484145A 2005-12-21 2006-12-11 使用组件目标在一个或多个分布和集成系统中定义角色 Pending CN101341467A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US11/314,286 2005-12-21
US11/314,286 US20070143291A1 (en) 2005-12-21 2005-12-21 Utilizing component targets in defining roles in a distributed and integrated system or systems

Publications (1)

Publication Number Publication Date
CN101341467A true CN101341467A (zh) 2009-01-07

Family

ID=37709600

Family Applications (1)

Application Number Title Priority Date Filing Date
CNA2006800484145A Pending CN101341467A (zh) 2005-12-21 2006-12-11 使用组件目标在一个或多个分布和集成系统中定义角色

Country Status (5)

Country Link
US (1) US20070143291A1 (zh)
JP (1) JP2009521030A (zh)
CN (1) CN101341467A (zh)
TW (1) TW200809570A (zh)
WO (1) WO2007071587A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015189662A1 (en) * 2014-06-13 2015-12-17 Pismo Labs Technology Limited Methods and systems for managing node

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11153316B2 (en) * 2019-08-30 2021-10-19 International Business Machines Corporation Locked-down cluster

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH06214862A (ja) * 1993-01-13 1994-08-05 Hitachi Ltd クライアント・サーバシステムにおける文書アクセス方法
US20020026592A1 (en) * 2000-06-16 2002-02-28 Vdg, Inc. Method for automatic permission management in role-based access control systems
US6871223B2 (en) * 2001-04-13 2005-03-22 Hewlett-Packard Development Company, L.P. System and method for agent reporting in to server
US7107610B2 (en) * 2001-05-11 2006-09-12 Intel Corporation Resource authorization
US6886100B2 (en) * 2001-05-15 2005-04-26 Hewlett-Packard Development Company, L.P. Disabling tool execution via roles
US7546359B2 (en) * 2001-10-24 2009-06-09 Groove Networks, Inc. Method and apparatus for managing a peer-to-peer collaboration system
US6954737B2 (en) * 2001-11-05 2005-10-11 Johnsondiversey, Inc. Method and apparatus for work management for facility maintenance
JP2003216593A (ja) * 2002-01-17 2003-07-31 Hitachi Ltd サーバ管理システム
US7249379B2 (en) * 2002-02-01 2007-07-24 Systems Advisory Group Enterprises, Inc. Method and apparatus for implementing process-based security in a computer system
US6697811B2 (en) * 2002-03-07 2004-02-24 Raytheon Company Method and system for information management and distribution

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015189662A1 (en) * 2014-06-13 2015-12-17 Pismo Labs Technology Limited Methods and systems for managing node
GB2532853A (en) * 2014-06-13 2016-06-01 Pismo Labs Technology Ltd Methods and systems for managing node
US9705882B2 (en) 2014-06-13 2017-07-11 Pismo Labs Technology Limited Methods and systems for managing a node
US10250608B2 (en) 2014-06-13 2019-04-02 Pismo Labs Technology Limited Methods and systems for managing a network node through a server
CN111031033A (zh) * 2014-06-13 2020-04-17 柏思科技有限公司 用于管理节点的方法和系统
GB2532853B (en) * 2014-06-13 2021-04-14 Pismo Labs Technology Ltd Methods and systems for managing node
CN111031033B (zh) * 2014-06-13 2022-08-16 柏思科技有限公司 用于管理节点的方法和系统

Also Published As

Publication number Publication date
TW200809570A (en) 2008-02-16
JP2009521030A (ja) 2009-05-28
WO2007071587A1 (en) 2007-06-28
US20070143291A1 (en) 2007-06-21

Similar Documents

Publication Publication Date Title
US9807097B1 (en) System for managing access to protected resources
CN1893372B (zh) 用于授权的方法与系统
CN107948203B (zh) 一种容器登录方法、应用服务器、系统及存储介质
KR101279740B1 (ko) 확장가능하고 프로그래밍가능한 멀티-테넌트 서비스 아키텍처
CN100437576C (zh) 用于发现并连接到数据源的方法、系统和装置
US6795855B2 (en) Non-root users execution of root commands
CN110442326A (zh) 一种基于Vue简化前后端分离权限控制的方法及其系统
US20060174131A1 (en) Method and system for providing access to computer resources that utilize distinct protocols for receiving security information and providing access based on received security information
CN110519240B (zh) 一种单点登录方法、装置及系统
CN111259378B (zh) 多租户管理系统和多租户管理系统的实现方法
US8863278B2 (en) Grid security intrusion detection configuration mechanism
US20100169377A1 (en) System, method, and computer-readable medium for facilitating application virtual database users
CN111581635B (zh) 一种数据处理方法及系统
Amiri et al. Permissioned blockchains: Properties, techniques and applications
CN113296959B (zh) 基于aop功能组件的服务处理方法、装置及计算机设备
CN111611561A (zh) 一种面向边缘分级用户的认证授权统一管控方法
CN101341467A (zh) 使用组件目标在一个或多个分布和集成系统中定义角色
CN111225030B (zh) 一种基于信任评估策略对微服务进行选择的方法及系统
KR100542383B1 (ko) 3-Ｔｉｅｒ 구조 기반의 데이터베이스 접근 통제 시스템및 방법
CN114489772A (zh) 工作流执行方法及装置、存储介质、设备
CN111917732B (zh) 一种大数据组件的访问方法、装置、系统及电子设备
Jiang et al. Formal modeling and verification of secure mobile agent systems
US11567920B2 (en) Master data mapping scheme permitting querying
US7363631B1 (en) Interface for accessing an open distributed transaction processing system log file
CN116684164A (zh) 一种集中化的数据鉴权方法及系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C02 Deemed withdrawal of patent application after publication (patent law 2001)
WD01 Invention patent application deemed withdrawn after publication

Open date: 20090107