CN1914881A - 通过代理证书产生在网格中进行相互授权 - Google Patents

通过代理证书产生在网格中进行相互授权 Download PDF

Info

Publication number
CN1914881A
CN1914881A CNA2005800034717A CN200580003471A CN1914881A CN 1914881 A CN1914881 A CN 1914881A CN A2005800034717 A CNA2005800034717 A CN A2005800034717A CN 200580003471 A CN200580003471 A CN 200580003471A CN 1914881 A CN1914881 A CN 1914881A
Authority
CN
China
Prior art keywords
grid
resource
auxiliary
work
grid resource
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2005800034717A
Other languages
English (en)
Other versions
CN1914881B (zh
Inventor
苏珊·玛丽·考哈尼
杰拉德·弗兰西斯·迈克布雷迪
杰西卡·凯利·穆利罗
肖恩·帕特里克·穆林
约汉尼·蒙-汉·舍耶
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of CN1914881A publication Critical patent/CN1914881A/zh
Application granted granted Critical
Publication of CN1914881B publication Critical patent/CN1914881B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G06F15/16—Combinations of two or more digital computers each having at least an arithmetic unit, a program unit and a register, e.g. for a simultaneous processing of several programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G06F15/76—Architectures of general purpose stored program computers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3273—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response for mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/76—Proxy, i.e. using intermediary entity to perform cryptographic operations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Storage Device Security (AREA)
  • Computer And Data Communications (AREA)
  • Hardware Redundancy (AREA)

Abstract

提供了一种用于在资源计算机的网格中进行辅助资源的相互授权的机制。当主资源试图将网格计算作业卸载给辅助资源时，主资源向用户机器发送代理证书请求。响应代理证书请求，用户机器执行与辅助资源的授权。如果与辅助资源的授权成功，那么用户机器产生并返回有效的代理证书。然后，主资源执行与辅助资源的相互验证。如果与辅助资源的授权失败，那么用户机器产生并返回无效的代理证书。主资源与辅助资源之间的相互验证将因无效代理证书而失败。然后，主资源选择另一个辅助资源，并重复这一过程直至找到能通过与用户机器的相互授权的资源。

Description

通过代理证书产生在网格中进行相互授权
技术领域
本发明涉及数据处理，尤其涉及网格计算。更具体地说，本发明提供了一种通过代理证书产生进行网格相互授权的方法、设备和程序。
背静技术
网格计算是通过网络来共享中央处理器(CPU)资源，从而使众多机器起到一个大型超级计算机的作用。网格计算(也称对等计算或分布式计算)使得可将任何机器中的未用CPU容量分配给所需的总处理作业。
在大型企业中，在任何给定时刻都可能有成百上千的台式机器处于空闲状态。即使当用户在看屏幕而没有与机器交互时，也可以认为CPU是空闲的。其他计算资源可能在一天中的不同时候是空闲的。例如，数据库服务器群集(或其子集)可能在下班时间(如夜间)不使用。恰当的实例是，在纽约市的上班高峰期，在印度可能大多数人都在睡觉。因此，在一天中的任何时候，都可能存在可用于解决大型计算问题的未用处理周期。
给定用户可以利用网格技术来运行计算强度大的作业。例如，用户可能有一个生物工艺学项目，例如人类基因组研究项目。作业可以是可能运行两天或者可能仅仅在白天查询资源机器的任何程序。然而，网格计算一般用于计算强度很大的作业。用户可以将作业发送给资源机器，然后回家过夜或度周末。于是，资源机器将处理该作业并将结果返回给用户。
用户可以选择网格中的特定机器来运行作业。用户可能知道用户所信任的特定机器。例如，用户可能知道更新了安全性补丁、安全操作系统等的具有未用容量的机器。或者，用户可以将作业提交给网格调度器，该调度器会选择主机(资源)来处理该作业。如果用户将作业发送给网格调度器，那么认为用户信任调度器会将该作业发送给适当的主机。
当然，网格计算可能带来安全问题。例如，资源机器可能负担过重。在这种情况下，主资源机器可以将工作卸载给辅助资源机器。提交作业的用户可能未必信任辅助资源或主机。该作业的IP、运行的程序、输入数据、输出数据等都可供辅助的非置信主机所使用。这给用户带来了安全性方面的未授权风险或代价。然而，一旦作业提交给主资源，用户就无法控制网格中最终哪台机器来处理作业。因此，处理作业的辅助资源机器可能缺乏所要求的甚至必要的安全性级别。该机器可能有易受病毒攻击或侦测的操作系统。或者，辅助资源可能是恶意的，从而窃取结果或网格作业的因特网协议(IP)地址。
发明内容
根据本发明的一个方面，提供了一种如权利要求1所述的方法。
根据本发明的第二个方面，提供了一种如权利要求9所述的方法。
根据本发明的第三个方面，提供了一种如权利要求10所述的方法。
本发明认识到了现有技术的缺点，并提供了一种用于在资源计算机的网格中进行辅助资源相互授权的机制。网格安全性经常利用证书和代理证书来识别用户。当主资源机器试图将网格计算作业卸载给辅助资源时，主资源机器向用户机器发送代理证书请求。响应代理证书请求，用户机器在辅助资源机器上执行授权作业。如果与辅助资源机器的授权成功，那么用户机器产生并返回有效的代理证书。然后，主资源机器利用代理证书执行与辅助资源机器的相互验证。然而，如果与辅助资源机器的授权不成功，那么用户机器产生并返回无效的代理证书。然后，主资源执行与辅助资源机器的相互验证；不过，验证将因无效代理证书而失败。于是，主资源将选择另一个辅助资源，并重复这一过程直至找到能通过与用户机器的相互授权的资源。
附图说明
被认为是本发明特征的新颖特性如附属权利要求书中所述。不过，在结合附图阅读时，通过参照以下举例实施方式的详述，可以最好地理解本发明本身以及优选使用方式、进一步的目的及其优点，其中：
图1示出了可以实现本发明的一种数据处理系统的网络的图示；
图2是根据本发明的优选实施方式的可以实现成服务器的数据处理系统的框图；
图3是可以实现本发明的一种数据处理系统的框图；
图4示出了用于将网格作业从主资源卸载给辅助资源的过程；
图5示出了根据本发明的实施方式用于通过代理证书产生进行网格相互授权将网格作业从主资源卸载给辅助资源的过程；
图6是说明根据本发明的举例实施方式的网格计算系统中的机器的框图；
图7是说明根据本发明的举例实施方式的网格计算系统中的资源机器的操作的流程图；和
图8是说明根据本发明的举例实施方式的网格计算系统中的用户机器的操作的流程图。
具体实施方式
本发明提供了用于在资源计算机的网格中进行辅助资源相互授权的方法、设备和计算机程序产品。数据处理设备可以是一种分布式数据处理系统，其中利用多个计算设备来实现本发明的各个方面。因此，下列图1-3是可以实现本发明的数据处理环境的例图。应当理解，图1-3只是说明性的，而并不想要主张或意味着对实现本发明的环境作任何限制。在不背离本发明的思想和范围的前提下，可以对所述环境作出许多修改。
下面参照附图，图1示出了可以实现本发明的一种数据处理系统的网络的图示。网络数据处理系统100是一种可以实现本发明的计算机网。网络数据处理系统100包括网络102，该网络是用于在网络数据处理系统100内共同连接的各种设备与计算机之间提供通信链路的媒介。网络102可以包括连接，例如有线、无线通信链路或光缆。
在所述例子中，服务器104与网络102以及存储单元106连接。此外，客户机108、110和112与网络102连接。这些客户机108、110和112可以是例如个人计算机或网络计算机。在所述例子中，服务器104为客户机108-112提供数据，例如引导文件、操作系统映像和应用。客户机108、110和112是服务器104的客户机。网络数据处理系统100还可以包括其他服务器、客户机以及其他未示出的设备。
具体地说，网络数据处理系统100包括网格120，即计算系统的网格。网格计算是通过网络共享中央处理器(CPU)资源，从而使众多机器起到一个大型超级计算机的作用。网格计算(也称对等计算或分布式计算)使得可将任何机器中未用的CPU容量分配给所需的总处理作业。
如图1中所示，网格120可以由客户机和服务器计算机的组合构成。任何具有未用资源的计算机系统都可以被配置为通过网络数据处理系统100接受网格作业。网络120内的网格计算机可以跨越全球，并可以通过例如(但不限于)专用网络、拨号连接、专用因特网连接、网关业务等与网络102连接。
给定用户可以利用网格技术通过利用工作站将作业提交给网络120中的资源机器之一(例如图1中的客户机108)来完成计算强度大的作业。于是，资源机器将处理该作业并将结果返回给用户。用户可以选择网格120中的特定机器来完成作业。或者，用户可以将作业提交给网格调度器，该调度器会选择主机(资源)来处理该作业。网格调度器可以安装在网络数据处理系统100中的机器例如服务器(如服务器104)上。如果用户将作业发送给网格调度器，那么认为用户信任调度器会将该作业发送给适当的主机。
在所述例子中，网络数据处理系统100是带有网络102的因特网，它表示世界范围内利用传输控制协议/因特网协议(TCP/IP)协议组进行相互通信的网络和网关的集合。处于因特网的核心的是主节点或主机(包括数千路由数据和消息的商业、政府、教育和其他计算机系统)之间的高速数据通信线路的骨干。当然，网络数据处理系统100还可以实现成多种不同类型的网络(例如，内联网、局域网(LAN)或广域网(WAN))。图1旨在举例而不能认为是本发明的体系结构的限定。
参照图2，根据本发明的优选实施方式描述了可以实现成服务器(例如图1中的服务器104)的数据处理系统的框图。数据处理系统200可以是对称多处理器(SMP)系统，它包括多个与系统总线206连接的处理器202和204。此外，也可以使用单个处理器系统。与系统总线206连接的还有存储器控制器/高速缓存208，它为本地存储器209提供接口。I/O总线桥210与系统总线206连接，并为I/O总线212提供接口。存储器控制器/高速缓存208和I/O总线桥210可以如图所示合并。
与I/O总线212连接的外设部件互连(PCI)总线桥214为PCI本地总线216提供接口。多个调制解调器可以与PCI本地总线216连接。典型的PCI总线实现方式将支持四个PCI扩展槽或内置连接器。与图1中的客户机108-112的通信链路可以通过调制解调器218和网络适配器220来提供，调制解调器218和网络适配器220通过内置连接器与PCI本地总线216连接。
附加PCI总线桥222和224为附加PCI本地总线226和228提供接口，由此可以支持附加调制解调器或网络适配器。这样，数据处理系统220使得可以与多个网络计算机连接。存储器映射图形适配器230和硬盘232也可以如图所示直接或间接地与I/O总线212连接。
本领域普通技术人员可以理解，图2中所示的硬件可以变化。例如，除了所述硬件之外或代替所述所述硬件，还可以使用其他外围设备(诸如光盘驱动器等)。所示例子并不意味着关于本发明的体系结构的限定。
图2中所示的数据处理系统可以是例如IBM eServer pSeries系统(纽约Armonk的国际商用机器公司的一种产品)，它运行AdvancedInteractive Executive(AIX)操作系统或LINUX操作系统。
下面参照图3，图中示出了可以实现本发明的一种数据处理系统的框图。数据处理系统300是计算机(例如图1中的客户机108)的一个例子，其中可以具有实现本发明的过程的代码或指令。在所述例子中，数据处理系统300采用集线器体系结构，包括北桥和存储器控制器集线器(MCH)308以及南桥和输入/输出(I/O)控制器集线器(ICH)310。处理器302、主存储器304和图形处理器318与MCH 308连接。图形处理器318可以通过例如加速图形端口(AGP)与MCH连接。
在所述例子中，局域网(LAN)适配器312、音频适配器316、键盘和鼠标适配器320、调制解调器322、只读存储器(ROM)324、硬盘驱动器(HDD)326、CD-ROM驱动器330、通用串行总线(USB)端口和其他通信端口332以及PCI/PCIe设备334可以与ICH 310连接。PCI/PCIe设备可以包括例如笔记本电脑的以太网适配器、内置卡、PC卡等。PCI使用卡总线控制器，而PCIe则不用。ROM 324可以是例如快闪二进制输入/输出系统(BIOS)。硬盘驱动器326和CD-ROM驱动器330可以例如采用集成驱动电子部件(IDE)或串行高级技术附件(SATA)接口。超级I/O(SIO)设备336可以与ICH 310连接。
操作系统在处理器302上运行，并用于协调和提供对图3中数据处理系统300中各组成部分的控制。操作系统可以是在市场上买到的操作系统，例如可从Microsoft公司得到的Windows XP。面向对象的编程系统(如Java)可以与操作系统协同运行，并从在数据处理系统300上执行的Java程序或应用提供对操作系统的调用。“Java”是SunMicrosystems公司的商标。操作系统、面向对象的编程系统以及应用或程序的指令可以置于存储设备(例如硬盘驱动器326)中，并可以装载到主存储器304中以由处理器302执行。本发明的过程通过处理器302利用计算机实现的指令来执行，这些指令可以置于存储器(例如主存储器304、存储器324)中或者置于一个或多个外围设备326和330中。
本领域普通技术人员可以理解，图3中的硬件可以随实现方式的不同而不同。除了图3中所示的硬件之外或代替图3中所示的硬件，还可以使用其他内部硬件或外围设备，例如闪存、等效非易失性存储器或光盘驱动器等。此外，本发明的过程还可以应用于多处理器数据处理系统。数据处理系统300除了采取PDA的形式外还可以是平板式计算机或膝上型计算机。
网格中的资源机器可能负担过重。在这种情况下，主资源机器可以将工作卸载给辅助资源机器。图4示出了用于将网格作业从主资源卸载给辅助资源的过程。用户执行与主资源的授权。授权通常简单地通过用户将作业发送给主机来完成。如果用户不信任主机，那么用户不会将作业发送给主机。也就是说，用户要么最初信任主资源要么信任网格调度器会将网格作业分配给适当的主资源。该资源通过将用户的标识(ID)与授权列表或网格图(gridmap)文件进行对照来授权用户。网格中的每个资源都保留有授权列表或网格图文件，所述授权列表或网格图文件保存了被授权在该资源上运行作业的每个用户的ID和其他属性。通常，每当对表进行了更改，网格的管理者都会将列表推向网格中的所有资源。在通过交换用户的代理证书和主资源的主机证书进行了相互验证之后，用户410将网格作业发送给主资源420。
如图4中所示，在操作1中，主资源420执行与用户机器410的相互验证。相互验证可以例如利用数字证书(例如X509证书)来实现。用户410可以保存证书，例如“/home/<user>/.globus/user_cert.pem”。
典型的数字证书通过显著的名称如(C＝US，O＝IBM，OU＝AIX，CN＝JohnUser)来描述终端实体(例如用户)。本例中，数字证书标识了国家(C)、组织(O)、组织单元(OU)和普通名字(CN)。数字证书还包括终端实体的公钥并通过置信证书机构(CA)的私钥进行签名。因此，当一个人接收到数字证书时，他可以核对可信CA的签名并信任该CA已经适当地审查了用户身份。
在操作2中，主资源420可以确定网格作业要被卸载给辅助资源430。如果主资源的处理资源已充分利用，那么它可以卸载网格作业。例如，主资源可以接收资源旨在给该资源的工作量，而使主资源不再有可供使用的CPU资源。
在操作3中，主资源向用户机器发出证书请求。然后，用户机器410自动产生一个代理证书，以便主资源用于与辅助资源进行验证。这些过程最好是自动操作的，因为这些网格作业或程序可能运行好几天。换言之，要使用户在现场允许或拒绝这些请求是不切实际的。然后，用户机器410可以保存代理证书，例如“/tmp/X509proxycert”。
代理证书的显著名称类似于附有字符串(例如“/proxy”)的证书，例如，(C＝US，O＝IBM，OU＝AIX，CN＝JohnUser/proxy)。代理证书由证书而不是CA来签名。换言之，CA对证书签名，而证书又对代理证书签名。当代理证书被远程网格资源接收到时，信任链如下：1)我信任可信CA，可信CA对证书签名；2)因此，我信任证书；3)我信任证书；因此，我信任由证书签名的代理证书；和4)因此，我信任代理证书。
在操作4中，用户机器410将代理证书发送到主资源420。此后，主资源420将作业提交给辅助资源430。然后，在操作5中进行相互验证，辅助资源430通过代理授权用户以执行作业。
图4中所示的过程的优点在于，可以为代理证书分配一个短的生命期。典型的生命期可以是例如24小时。代理证书伴随网格业务。因此，如果代理证书受到损坏，那么它将在短时间内到期，从而限制了潜在的破坏。此外，网格作业还可以在无需用户关注的情况下在整个网格中移动，这是因为附加代理证书可以根据需要自动产生。这样，不管网格作业在网格内如何分配，都允许用户通过单一签署(sign-on)来提交网格作业。换言之，用户可以只是提交网格作业并随后离开。
主资源可以根据一组判据来选择辅助资源。在这方面，主资源可以与辅助资源执行某种形式的授权。然而，提交作业的用户未必信任辅助资源或主机。因此，处理作业的辅助资源机器可能缺乏所要求的甚至必要的安全性级别。该机器可能有易受病毒攻击或侦测的操作系统。或者，辅助资源可能是恶意的，从而窃取结果或网格作业的因特网协议(IP)地址。
图5示出了根据本发明的实施方式，通过代理证书产生进行网格相互授权将网格作业从主资源卸载给辅助资源的过程。通过代理证书产生进行网格相互授权的前提是利用(leverage)或截取相互验证过程，以查明如下信息：
1.将作业卸载或分配到主资源之外；
2.出现这种情况时的精确实例；和
3.所得到的辅助资源的IP地址。
利用这一信息，运行自动过程的用户机器可以发现关于辅助资源的详细信息，判断是否授权该辅助资源运行作业，以及必要时终止或破坏辅助验证过程，从而建立相互授权机制。
用户510将网格作业发送给主资源520。用户执行与主资源的授权。也就是说，用户要么最初信任主资源，要么信任网格调度器会将网格作业分配给适当的主资源。在操作1中，主资源520执行与用户机器510的相互验证。相互验证可以例如利用数字证书(例如X509证书)来实现。
在操作2中，主资源520可以确定网格作业将被卸载给辅助资源530。在操作3中，主资源向用户机器发出证书请求。响应来自主资源520的证书请求，用户机器510在操作3A中将授权作业直接提交给新识别的辅助资源530，而与主资源520所卸载的当前网格作业无关。
这一授权作业在辅助资源机器上运行并识别辅助资源的安全性要素。例如，授权作业可以确定辅助资源是否具有最新的操作系统和安全性更新，辅助资源是否具有可信操作系统，在该资源上是否还有任何冲突的网格作业在运行，等等。授权作业所收集的安全性信息可以随实现方式的不同而不同。例如，尽管在一种实施方式中，用户可以希望列出辅助资源正在运行的作业，但是用户也可能优先选择禁用这一命令的资源，从而避免通过隐蔽途径泄露关键和/或战略信息。
用户机器可以例如利用更多的静态决策(例如具有黑和/或白列表)进行相互授权。用户机器可以利用一些规则，例如信任网格虚拟组织所信任的任何资源，但不信任下班之后监控强度降低的特定资源。与辅助资源的授权是相互的，因为辅助资源通过将用户ID与授权列表进行对照来向用户授权，如上所述。
如果与辅助资源机器的相互授权成功，那么用户机器510产生有效的代理证书，以便主资源用于与辅助资源的验证。然而，如果辅助资源不能通过授权过程，那么用户机器510产生无效的代理证书。
在操作4中，用户机器510将代理证书发送到主资源520。此后，主资源520将作业提交给辅助资源530。然后，在操作5中进行相互验证，辅助资源530通过代理授权用户以运行作业。然而，如果主资源520向辅助资源530给出无效的代理证书，那么辅助资源将不允许运行用户的网格作业。主资源将查看到这一错误，然后搜索要将作业卸载到的另一个辅助资源，返回到操作2。因此，用户机器通过借助产生有效或无效的代理证书强制辅助资源接受或拒绝网格作业的方式来执行与辅助资源的相互授权。
下面对照图6，图中示出了描述根据本发明的举例实施方式的网格计算系统中的机器的框图。用户机器610包括验证模块612、证书产生模块614和授权模块612。主资源机器620包括验证模块622和工作量平衡模块624。辅助资源机器630包括验证模块632和工作量平衡模块634。
当主资源机器620接收到来自用户机器610的网格作业时，主资源机器620利用验证模块622执行与用户机器的验证。用户机器610通过验证模块612执行与主资源机器的这一相互验证。主资源机器620还可以通过主资源机器中的验证模块622和辅助资源机器中的验证模块632执行与辅助资源630的相互验证。
利用工作量平衡模块624，主资源机器620可以决定将工作卸载给其他资源。例如，主资源机器620可以将从用户机器610接收到的网格作业卸载给辅助资源机器630。同样，辅助资源机器630可以利用工作量平衡模块634将这一相同网格作业卸载给另一资源机器(未示出)。
当主资源机器620决定将从用户机器610接收到的网格作业卸载给辅助资源机器630时，主资源机器620向用户机器610发出证书请求。根据本发明的一种举例实施方式，用户机器610响应来自主资源机器620的证书请求执行与辅助资源机器630的相互授权。
证书请求可以例如通过IP地址识别辅助资源机器。此外，用户机器610可以将查询网格作业提交给主资源机器620，查询辅助资源的IP地址。然后，用户机器610利用授权模块614根据辅助资源机器作出授权决定。用户机器610可以将授权作业提交给新识别的辅助资源630。这一授权作业可以在辅助资源机器上运行并识别辅助资源的安全性要素。授权模块614还可以例如利用更多的静态决策(例如具有黑和/或白列表)进行相互授权。
如果与辅助资源机器630的相互授权成功，那么用户机器610利用证书产生模块616产生有效的代理证书。然而，如果辅助资源机器630不能通过授权过程，那么用户机器610利用证书产生模块616产生无效的代理证书。
用户机器610将代理证书发送到主资源机器620。此后，主资源机器620将作业提交给辅助资源机器630。然后，在验证模块622与认让模块632之间进行相互验证，辅助资源630通过代理授权用户以运行作业。然而，如果主资源机器620向辅助资源机器630给出无效的代理证书，那么辅助资源机器将不允许运行用户的网格作业。主资源机器将查看到这一错误，然后利用工作量平衡模块624搜索要将作业卸载到的另一个辅助资源。
图7是说明根据本发明的举例实施方式的网格计算系统中的资源机器的操作的流程图。当接收到处理网格作业的请求时，过程开始，并执行与用户机器的相互验证(块702)。然后，判断验证是否成功(块704)。如果验证不成功，那么过程拒绝网格作业(块706)并结束。
如果在块704中验证成功，那么过程授权用户(块708)，并判断授权是否成功(块710)。如果授权不成功，那么过程拒绝网格作业(块706)并结束。
如果在块710中授权成功，那么过程接收来自用户机器的网格作业(块712)，并判断是否卸载网格作业(块714)。块714中的判断可以在主资源机器处理网格作业之前的任何时候作出。如果不卸载网格作业，那么过程运行网格作业(块716)，过程结束。
如果在块714中要卸载网格作业，那么，过程选择网格作业所要发送到的辅助资源(块718)。然后，过程向用户机器发出证书请求(块720)，并接收来自用户机器的代理证书(块722)。然后，过程利用代理证书执行与辅助资源的相互验证(块724)。
判断与辅助资源的验证是否成功(块726)。如果验证不成功，那么过程返回到块718选择另一个辅助资源。然而，如果在块726中与辅助资源的验证成功，那么过程将网格作业卸载给辅助资源(块728)，过程结束。
图8是说明根据本发明的举例实施方式的网格计算系统中的用户机器的操作的流程图。当要将网格作业提交给网格计算系统中的资源时，过程开始。过程识别主资源(块802)，并执行与主资源的相互验证(块804)。判断验证是否成功(块806)。如果验证不成功，那么过程返回到块802识别另一个主资源。
如果在块806中验证成功，那么过程执行与主资源的授权(块808)。然后判断与主资源的授权是否成功(块810)。如果授权不成功，那么过程返回到块802识别另一个主资源。
如果在块810中授权成功，那么过程将网格作业发送给主资源(块812)。判断是否存在退出条件(块814)。例如，当用户机器关闭或者在用户机器上关闭了网格计算软件时，就可能存在退出条件。当接收到网格作业的结果时，也可能存在退出条件。如果存在退出条件，那么过程结束。
然而，如果在块814中不存在退出条件，那么判断是否接收到来自主资源的证书请求(块816)。如果未接收到证书请求，那么过程返回到块814判断是否存在退出条件。
如果在块816中接收到来自主资源的证书请求，那么过程执行与辅助资源的授权(块818)。然后，判断与辅助资源的授权是否成功(块820)。如果在块820中授权成功，那么过程产生有效的代理证书(块822)；否则，过程产生无效的代理证书(块824)。在块822或824之一中产生了有效或无效代理证书后，过程将代理证书返回给主资源。然后，过程返回到块814判断是否存在退出条件。
因此，本发明通过提供一种通过代理证书产生进行网格相互授权的机制来克服现有技术的缺点。网格中的资源机器能够通过将用户ID与授权列表或网格图文件进行对照来对用户进行授权。本发明允许用户机器被配置为控制其网格作业分配的授权，而无需改变网格资源上的网格软件并且仍在现有网格相互授权和单向授权的流程内工作。本发明的机制提供了一种单一签署范例，同时允许用户提交网格作业后离开。
值得注意的是，尽管本发明结合全功能数据处理系统进行了描述，然而，本领域普通技术人员可以理解，本发明的过程可以以指令的计算机可读介质形式以及多种形式来分配，并且，无论实际用于执行分配的信号承载介质是什么特定类型，本发明同样可以应用。计算机可读介质的例子包括可记录型介质，例如软盘、硬盘驱动器、RAM、CD-ROM、DVD-ROM，和传输型介质，例如数字和模拟通信链路、有线或采用传输形式(如射频和光波传输)的无线通信链路。计算机可读介质可以采取编码格式的形式，这种编码格式可以被解码以便实际使用于特定数据处理系统。
以上本发明的描述是为了说明和叙述，而并不是要以所公开的形式对本发明进行穷举或限定。对本领域普通技术人员而言，显然还有许多修改和变化。选择和描述这种实施方式是为了最好地解释本发明的原理、实际应用，以及使本领域普通技术人员能理解本发明还有适合于所企图的特定用途的具有各种修改的各种实施方式。

Claims (10)

1.一种用于在网格计算系统中授权卸载网格作业的方法，该方法包括：将网格作业提交给主网格资源；响应来自主网格资源的证书请求，识别要运行网格作业的辅助网格资源；执行与辅助网格资源的授权；和如果与网格资源的授权失败，那么产生无效的代理证书并将该无效代理证书发送给主网格资源。
2.权利要求1的方法，还包括：如果与网格资源的授权失败，那么产生有效的代理证书；和将该有效代理证书发送给主网格资源。
3.权利要求1或2的方法，其中将网格作业提交给主网格资源包括：将网格作业提交给网格调度器，其中网格调度器选择主网格资源并将网格作业发送给该主网格资源。
4.权利要求1、2或3的方法，其中识别要运行网格作业的辅助网格资源包括：将查询网格作业提交给主网格资源，查询辅助资源的身份。
5.权利要求1至4中任一权利要求的方法，其中识别要运行网格作业的辅助网格资源包括：检测证书请求中的辅助网格资源的地址。
6.权利要求1至5中任一权利要求的方法，其中执行与辅助网格资源的授权包括：将授权作业提交给辅助网格资源。
7.权利要求6的方法，其中授权作业包括下列之一：识别辅助资源的安全性要素；确定辅助网格资源的操作系统、辅助网格资源上安装的安全性更新、辅助资源是否具有可信操作系统以及在辅助网格资源上是否有任何冲突的网格作业在运行中的至少之一；或者确定给定命令在辅助网格资源上是否禁用。
8.权利要求1至7中任一权利要求的方法，其中执行与辅助网格资源的授权包括下列之一：确定辅助网格资源是否包含在黑列表中；确定辅助网格资源是否包含在白列表中；或者利用一个或多个规则执行与辅助网格资源的授权。
9.一种用于在网格计算系统中授权卸载网格作业的设备，该设备包括：用于将网格作业提交给主网格资源的装置；响应来自主网格资源的证书请求，用于识别要运行网格作业的辅助网格资源的装置；用于执行与辅助网格资源的授权的装置；和如果与网格资源的授权失败，用于产生无效的代理证书并将该无效代理证书发送给主网格资源的装置。
10.一种计算机可读介质中的计算机程序产品，用于在网格计算系统中授权卸载网格作业，该计算机程序产品包括：用于将网格作业提交给主网格资源的指令；响应来自主网格资源的证书请求，用于识别要运行网格作业的辅助网格资源的指令；用于执行与辅助网格资源的授权的指令；和如果与网格资源的授权失败，用于产生无效的代理证书并将该无效代理证书发送给主网格资源的指令。
CN2005800034717A 2004-03-25 2005-03-22 用于在网格计算系统中授权卸载网格作业的方法和系统 Active CN1914881B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US10/809,551 2004-03-25
US10/809,551 US7467303B2 (en) 2004-03-25 2004-03-25 Grid mutual authorization through proxy certificate generation
PCT/EP2005/051321 WO2005094034A1 (en) 2004-03-25 2005-03-22 Mutual authorization in a grid through proxy certificate generation

Publications (2)

Publication Number Publication Date
CN1914881A true CN1914881A (zh) 2007-02-14
CN1914881B CN1914881B (zh) 2011-08-31

Family

ID=34968827

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2005800034717A Active CN1914881B (zh) 2004-03-25 2005-03-22 用于在网格计算系统中授权卸载网格作业的方法和系统

Country Status (5)

Country Link
US (2) US7467303B2 (zh)
JP (1) JP4721191B2 (zh)
KR (1) KR100962876B1 (zh)
CN (1) CN1914881B (zh)
WO (1) WO2005094034A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101222522B (zh) * 2008-01-17 2011-08-10 武汉理工大学 一种考虑网格任务重要性和时间紧迫性的网格任务调度方法

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006139747A (ja) * 2004-08-30 2006-06-01 Kddi Corp 通信システムおよび安全性保証装置
US7802257B1 (en) * 2005-06-20 2010-09-21 Oracle America, Inc. Mechanism for bridging a thread-oriented computing paradigm and a job-oriented computing paradigm
CN100382511C (zh) * 2005-12-26 2008-04-16 北京航空航天大学 一种网格授权实现方法
JP4745858B2 (ja) * 2006-02-20 2011-08-10 富士通株式会社 セキュリティ管理プログラム、およびセキュリティ管理方法
JP4722730B2 (ja) * 2006-03-10 2011-07-13 富士通株式会社 セキュリティ管理プログラム、セキュリティ管理装置、およびセキュリティ管理方法
US8019871B2 (en) * 2006-07-27 2011-09-13 Hewlett-Packard Development Company, L.P. Federation of grids using rings of trust
JP5188057B2 (ja) * 2006-11-14 2013-04-24 株式会社ソニー・コンピュータエンタテインメント 情報処理システム、情報処理装置、および情報処理方法
WO2008066277A1 (en) * 2006-12-01 2008-06-05 Electronics And Telecommunications Research Institute Collaboration system and method among heterogeneous nomadic and mobile communication networks using grid services
KR100901872B1 (ko) * 2006-12-01 2009-06-09 한국전자통신연구원 그리드 서비스를 이용한 이종 노매딕/이동 통신 네트워크간 협업 시스템 및 그 방법
US8181245B2 (en) * 2007-06-19 2012-05-15 Microsoft Corporation Proxy-based malware scan
US8166138B2 (en) 2007-06-29 2012-04-24 Apple Inc. Network evaluation grid techniques
MY150173A (en) * 2009-03-16 2013-12-13 Mimos Berhad Method of generating a proxy certificate
JP5260567B2 (ja) * 2010-01-27 2013-08-14 株式会社野村総合研究所 クラウドコンピューティングシステム
JP5260566B2 (ja) * 2010-01-27 2013-08-14 株式会社野村総合研究所 クラウドコンピューティングシステム
US8645745B2 (en) * 2011-02-24 2014-02-04 International Business Machines Corporation Distributed job scheduling in a multi-nodal environment
US9110661B2 (en) * 2012-12-28 2015-08-18 International Business Machines Corporation Mobile device offloading task to a peer device and receiving a completed task when energy level is below a threshold level
US9503447B2 (en) 2014-01-30 2016-11-22 Sap Se Secure communication between processes in cloud
US9467298B1 (en) 2014-03-19 2016-10-11 National Security Agency Device for and method of multilevel chain of trust/revision
US9467299B1 (en) 2014-03-19 2016-10-11 National Security Agency Device for and method of controlled multilevel chain of trust/revision
CN105284091B (zh) * 2014-05-08 2018-06-15 华为技术有限公司 一种证书获取方法和设备
US9888037B1 (en) 2015-08-27 2018-02-06 Amazon Technologies, Inc. Cipher suite negotiation
US9912486B1 (en) * 2015-08-27 2018-03-06 Amazon Technologies, Inc. Countersigned certificates
US10454689B1 (en) 2015-08-27 2019-10-22 Amazon Technologies, Inc. Digital certificate management
US20170063557A1 (en) * 2015-08-28 2017-03-02 Fortinet, Inc. Detection of fraudulent certificate authority certificates
ES2703473B2 (es) * 2016-07-12 2020-10-22 Proximal Systems Corp Aparato, sistema y procedimiento de gestion de acoplamiento de intermediario

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4227253A (en) * 1977-12-05 1980-10-07 International Business Machines Corporation Cryptographic communication security for multiple domain networks
US5564016A (en) * 1993-12-17 1996-10-08 International Business Machines Corporation Method for controlling access to a computer resource based on a timing policy
US5796830A (en) * 1996-07-29 1998-08-18 International Business Machines Corporation Interoperable cryptographic key recovery system
US6141759A (en) * 1997-12-10 2000-10-31 Bmc Software, Inc. System and architecture for distributing, monitoring, and managing information requests on a computer network
GB2357228B (en) * 1999-12-08 2003-07-09 Hewlett Packard Co Method and apparatus for discovering a trust chain imparting a required attribute to a subject
US6754829B1 (en) * 1999-12-14 2004-06-22 Intel Corporation Certificate-based authentication system for heterogeneous environments
JP2001344207A (ja) * 2000-05-31 2001-12-14 Nec Corp 認証システムおよび認証方法
US20020150253A1 (en) * 2001-04-12 2002-10-17 Brezak John E. Methods and arrangements for protecting information in forwarded authentication messages
JP2002335239A (ja) * 2001-05-09 2002-11-22 Nippon Telegr & Teleph Corp <Ntt> シングルサインオン認証方法及びシステム装置
US7222187B2 (en) 2001-07-31 2007-05-22 Sun Microsystems, Inc. Distributed trust mechanism for decentralized networks
US7051102B2 (en) * 2002-04-29 2006-05-23 Microsoft Corporation Peer-to-peer name resolution protocol (PNRP) security infrastructure and method
US7496755B2 (en) * 2003-07-01 2009-02-24 International Business Machines Corporation Method and system for a single-sign-on operation providing grid access and network access
US20050240765A1 (en) * 2004-04-22 2005-10-27 International Business Machines Corporation Method and apparatus for authorizing access to grid resources

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101222522B (zh) * 2008-01-17 2011-08-10 武汉理工大学 一种考虑网格任务重要性和时间紧迫性的网格任务调度方法

Also Published As

Publication number Publication date
US20050216733A1 (en) 2005-09-29
KR20070018859A (ko) 2007-02-14
WO2005094034A1 (en) 2005-10-06
JP4721191B2 (ja) 2011-07-13
US20090070591A1 (en) 2009-03-12
US7467303B2 (en) 2008-12-16
CN1914881B (zh) 2011-08-31
JP2007531093A (ja) 2007-11-01
US8041955B2 (en) 2011-10-18
KR100962876B1 (ko) 2010-06-09

Similar Documents

Publication Publication Date Title
CN1914881A (zh) 通过代理证书产生在网格中进行相互授权
CN1855110A (zh) 用于使文件系统免于恶意程序的增强安全层的系统和方法
CN111683047B (zh) 越权漏洞检测方法、装置、计算机设备及介质
US20070101401A1 (en) Method and apparatus for super secure network authentication
CN1735011A (zh) 检测网格指令的方法和装置
CN1893372A (zh) 用于授权的方法与系统
CN101034981A (zh) 一种网络访问控制系统及其控制方法
US7895645B2 (en) Multiple user credentials
CN1818919A (zh) 一种电子文档的许可认证方法和系统
CN1691587A (zh) 授权访问网格资源所用的方法和装置
CN1725687A (zh) 一种安全认证方法
CN113239397A (zh) 信息访问方法、装置、计算机设备及介质
US20080229396A1 (en) Issuing a command and multiple user credentials to a remote system
US20060248578A1 (en) Method, system, and program product for connecting a client to a network
CN1829949A (zh) 用于将多个安全组表示为单个数据对象的系统和方法
CN1601954A (zh) 不中断服务地横跨安全边界移动主体
CN1925402A (zh) iSCSI鉴权方法、其发起设备和目标设备及鉴权方法
US7308578B2 (en) Method and apparatus for authorizing execution for applications in a data processing system
CN101067837A (zh) 一种信息系统数据处理的安全控制方法及装置
CN1705265A (zh) 在java消息传递服务中利用证书验证
CN1581144A (zh) 数字证书本地认证的方法及系统
US10805302B2 (en) Systems and methods to secure platform application services between platform client applications and platform services
CN115001805B (zh) 单点登录方法、装置、设备及存储介质
CN1581773A (zh) 可在非安全模式下使用的网络设备及方法
RU2519503C1 (ru) Способ и система повышения безопасности электронных транзакций через интернет

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant