EP3192228A1 - Procédé et dispositif de contrôle de la fourniture de certificats d'authentification à des noeuds de service d'un calculateur haute performance - Google Patents

Procédé et dispositif de contrôle de la fourniture de certificats d'authentification à des noeuds de service d'un calculateur haute performance

Info

Publication number
EP3192228A1
EP3192228A1 EP15766912.8A EP15766912A EP3192228A1 EP 3192228 A1 EP3192228 A1 EP 3192228A1 EP 15766912 A EP15766912 A EP 15766912A EP 3192228 A1 EP3192228 A1 EP 3192228A1
Authority
EP
European Patent Office
Prior art keywords
service
service node
node
server
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP15766912.8A
Other languages
German (de)
English (en)
Inventor
Julien GEORGES
Thierry Iceta
Emmanuel FLACARD
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Bull SAS
Original Assignee
Bull SAS
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Bull SAS filed Critical Bull SAS
Publication of EP3192228A1 publication Critical patent/EP3192228A1/fr
Withdrawn legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/4401—Bootstrapping
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/4401—Bootstrapping
    • G06F9/4416—Network booting; Remote initial program loading [RIPL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses
    • H04L61/5014—Internet protocol [IP] addresses using dynamic host configuration protocol [DHCP] or bootstrap protocol [BOOTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates

Definitions

  • the invention relates to "high performance" type computers (or supercomputers), and more specifically to the control of the provision of authentication certificates to service nodes that include such high performance computers.
  • One of these steps is to configure each of the service nodes with a configuration tool after an initialization phase.
  • This configuration step requires the authentication of each service node by at least one authentication certificate that has been previously installed in a specific location of a storage area of the service node considered.
  • Different methods for installing authentication certificates for a service node have been proposed. But these methods are generally all implemented once the service node is running, which adds an extra step when operating its supercomputer.
  • the purpose of the invention is notably to improve the situation, and in particular to allow the service nodes to authenticate with their server just after the end of the initialization phase.
  • a first step (i) in which one defines for each node of service a set of at least one authentication certificate, then integrating each set defined for a service node into a configuration file associated with an identifier of this service node,
  • each service node transmits to a predefined server a start request intended to retrieve its identifier and a command file containing the set included in the associated configuration file, and
  • each service node extracts from the command file the set it contains to store each authentication certificate it contains in an associated location in a corresponding storage area.
  • the method according to the invention may comprise other characteristics that can be taken separately or in combination, and in particular:
  • each set can be integrated in a configuration file of the "pxelinux.cfg" type;
  • each service node identifier may be an IP address
  • the first step (i) can be performed in the predefined server
  • each service node can extract from the recovered command file each authentication certificate in order to place it in an authentication certificate file (s).
  • the invention also proposes a computer program product comprising a set of instructions which, when executed by processing means, is adapted to implement a control method of the type of that presented above to control the provision of authentication certificates to nodes of service of a high performance calculator.
  • the invention also proposes a control device intended to equip a high performance computer comprising a server coupled to service nodes, and comprising:
  • first control means arranged to define for each service node a set of at least one authentication certificate, then to integrate each set defined for a service node into a configuration file associated with an identifier of this node of service. service, and, in case of reception of a start request sent by a service node, for generating a command file containing the set included in the configuration file associated with the identifier of this service node, and to trigger the transmission of this command file to the latter, and
  • second control means located in each of the service nodes and each arranged to extract from a transmitted command file the set it contains in order to store each authentication certificate of this extracted set in an associated location in a corresponding storage area of the relevant service node.
  • the invention also proposes a high performance computer comprising a server coupled to service nodes, and a control device of the type of that presented above.
  • the server may include the first control means.
  • FIG. 1 schematically and functionally illustrates a high performance computer equipped with an exemplary embodiment of a control device according to the invention
  • FIG. 2 illustrates an example of an algorithm implementing a method control system according to the invention.
  • the object of the invention is in particular to propose a control method, and an associated control device D, intended to allow the control of the provision of authentication certificates to service nodes Nij of a high performance computer CHP.
  • FIG. 1 diagrammatically illustrates a nonlimiting example of a high performance computer CHP comprising a server SC coupled to service nodes Ny, for example via a communication network (such as for example the Internet).
  • N is equal to 10 and M (i) is equal to 500 regardless of the group Gi considered (and therefore whatever the value of the index i).
  • the number of nodes Ny could vary from one group Gi to the other Gr.
  • the number N of groups Gi can take any value greater than or equal to one (1).
  • the number M (i) of nodes Ny of a group Gi can take any value greater than or equal to three (3).
  • Each node Ny has resources that are generally shared with the other nodes Ny (j ' ⁇ j) of its group Gi, under the control of a software of high availability (or HA ("High Availability")). These resources can be of any type as long as they are configurable services that are useful to the CHP calculator or to an application running in this CHP calculator.
  • the SC server provides several services related to the boot (or "boot”) network nodes Ny.
  • DHCP Dynamic Host Configuration Protocol
  • tftp and "boot pxe” services for the transfer of hexadecimal files with the variables necessary for the authentication of Ny nodes after the initialization phase and the transfer of the operating system image before be used by Ny nodes.
  • OC configuration tool intended to configure resources. N nodes.
  • the configuration tool OC is Kconf® (marketed by BULL SAS).
  • the invention proposes a method for enabling the control of the provision of authentication certificates to service nodes Ny of a high performance computer CHP.
  • This method comprises first (i), second (ii) and third (iii) steps, which can be implemented at least partially by a control device D according to the invention.
  • a control device D comprises at least first MC1 and second MC2 control means.
  • the second control means MC2 are installed in each of the service nodes Ny.
  • the first control means MC1 are installed in the server SC, and more precisely in the configuration tool OC. But this is not obligatory. They could indeed be equipment that is external to the SC server but accessible by the latter (SC), for example because of a computer connection, or that is part of the SC server but not its tool of OC configuration.
  • control device D can be realized, either in the form of software modules (or computer, or “software”); it is then in the presence of a computer program product comprising a set of instructions which, when executed by processing means such as electronic circuits (or “hardware”), is adapted to implement the method control system, either in the form of a combination of software modules and electronic circuits.
  • each set defined for a node Ny is integrated in a file of configuration associated with an identifier of the node Ny.
  • This first step (i) is performed by the first control means MC1, possibly under the control of a person authorized by the administrator of the CHP computer. It can be triggered automatically as part of a Ny node contact process for network boot, or manually at the initiative of the CHP supercomputer administrator.
  • This first step (i) is referenced in the exemplary algorithm of FIG.
  • Each set may include one, two, three, or four authentication certificates, or even more if needed.
  • the first control means MC1 may be arranged to generate each authentication certificate intended for a node Ny from information that is stored in a database BD of the server SC and that defines all the characteristics of the Ny nodes. This generation can be done by means of a first script.
  • the authentication certificates thus generated can be stored in the SC server as primary files in a predefined tree.
  • the authentication certificates of the nodes Ny are already generated and the first control means MC1 only retrieve them for storage in the server SC in the form of primary files in a predefined tree.
  • the first control means MC1 can be arranged to recover the contents of each primary file associated with a node Ny in order to format it and integrate it into a variable (s) of a file.
  • configuration associated with an identifier of the node Ny pre-existing and for example stored in first MS storage means of the SC server, such as a memory. It will be understood that each variable corresponds to an authentication certificate.
  • Each node identifier Ny is for example an address I P which is stored in the database BD among all the information defining this node Ny.
  • each configuration file can be of the type "pxelinux.cfg".
  • the associated configuration file can be "/tftpboot/pxelinux.cfg/OAOOOOOD", where 0A00000D is the name of the configuration file in hexadecimal form, which corresponds to the IP address of this node Ny in hexadecimal format.
  • This IP address of the node is defined by the DHCP service.
  • the contents of a file configuration is standard text that contains N node boot instructions over the network.
  • the integration of the values of the authentication certificate variables can be done by means of a second script of the first control means MC1.
  • each node Ny transmits to the predefined SC server a start request which is intended to retrieve its identifier (here its IP address) and a command file which contains the set of authentication certificates included in the associated configuration file (that is, containing its IP address).
  • This second step (ii) is referenced in the exemplary algorithm of FIG.
  • the administrator of the CHP supercomputer wishes to start the N nodes, he triggers the sending of start requests by these nodes Ny. For this purpose, it orders the Ny nodes to start (or boot) via the network. The sequence is done automatically for each node Ny by sending to the SC server a boot request preferably type "PXE network boot". This triggers a contact with the SC server by virtue of the IP address of the node Ny obtained via the DHCP service, then the recovery by this node Ny of its hexadecimal configuration file on the service pxe of the server SC, and obtaining by this Ny node of its SC operating system via tftp transfer service of the SC server.
  • a boot request preferably type "PXE network boot”.
  • the first control means MC1 On receipt of a start request transmitted by a node Ny, the first control means MC1 will determine in the storage means MS the configuration file which contains the address I P of this node Ny. Then, they will extract from this configuration file the value of each authentication certificate variable in order to integrate it into a command file, and finally they will order the server SC to transmit this command file to the requesting node Ny.
  • this command file can be of type "/ proc / cmdline".
  • each node Ny extracts from the command file that it has recovered (consecutively to sending its start request) the set of authentication certificate (s) it contains in order to store each authentication certificate it contains in an associated location in a corresponding storage area MS '.
  • This storage area MS ' is for example a memory of a node Nij which is used to store essential data throughout the operating phase of this node N.
  • This third step (iii) is referenced in the exemplary algorithm of FIG.
  • each node Nij which perform the extraction of the value of each authentication certificate variable, then convert each extracted value in a format understandable by its node Ny, and finally which place each value. converted to the associated location of the storage area MS '.
  • This place includes for example a predefined tree and at least one predefined file.
  • the second control means MC2 of a node Ny before they can extract from the command file retrieved each authentication certificate in order to place it ( after its possible conversion to the correct format) into an authentication certificate file (s).
  • the node Ny already comprises an original file of authentication certificate (s) when it receives a command file
  • its second control means MC2 can either store the original file in another predefined storage area and the new authentication certificate file (s) at the location where the original file was stored (ie in MS storage means), or simply replace (or overwrite) the original file with the new certificate file (s) ) authentication in the storage means MS '. In the absence of difference, it preserves the original file at the location where it is stored (namely in the storage means MS ').

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)
  • Debugging And Monitoring (AREA)

Abstract

Un procédé contrôle la fourniture de certificats d'authentification à des nœuds de service (N11-NNM(N)) d'un calculateur haute performance (CHP). Ce procédé comprend une première étape dans laquelle on définit pour chaque nœud de service un ensemble d'au moins un certificat d'authentification, puis on intègre chaque ensemble défini pour un nœud de service dans un fichier de configuration associé à un identifiant de ce nœud de service, une deuxième étape dans laquelle chaque nœud de service (N11- NNM(N)) transmet à un serveur (SC) prédéfini une requête de démarrage destinée à récupérer son identifiant et un fichier de commande contenant l'ensemble compris dans le fichier de configuration associé, et une troisième étape dans laquelle chaque nœud de service (N11-NNM(N)) extrait du fichier de commande récupéré l'ensemble qu'il contient afin de stocker chaque certificat d'authentification qu'il contient dans un endroit associé dans une zone de stockage correspondante.

Description

PROCÉDÉ ET DISPOSITIF DE CONTRÔLE DE LA FOURNITURE DE CERTIFICATS D'AUTHENTIFICATION À DES NŒUDS DE SERVICE D'UN CALCULATEUR HAUTE PERFORMANCE
L'invention concerne les calculateurs de type dit « haute performance » (ou supercalculateurs), et plus précisément le contrôle de la fourniture de certificats d'authentification à des nœuds de service que comprennent de tels calculateurs haute performance.
Comme le sait l'homme de l'art, la mise en fonctionnement d'un calculateur haute performance (ou supercalculateur) peut être une opération assez longue, et donc une optimisation des étapes de cette mise en fonctionnement doit être effectuée afin que son propriétaire puisse l'utiliser le plus rapidement possible de façon sécurisée.
L'une de ces étapes consiste à configurer chacun des nœuds de service avec un outil de configuration après une phase d'initialisation. Cette étape de configuration requiert l'authentification de chaque nœud de service par au moins un certificat d'authentification qui a été préalablement installé dans un endroit spécifique d'une zone de stockage du nœud de service considéré. Différentes méthodes d'installation des certificats d'authentification d'un nœud de service ont été proposées. Mais ces méthodes sont généralement toutes mises en œuvre une fois que le nœud de service est en cours de fonctionnement, ce qui rajoute une étape supplémentaire lors de la mise en fonctionnement de son supercalculateur.
L'invention a notamment pour but d'améliorer la situation, et notamment de permettre aux nœuds de service de s'authentifier auprès de leur serveur juste après la fin de la phase d'initialisation.
Elle propose notamment à cet effet un procédé, destiné à contrôler la fourniture de certificats d'authentification à des nœuds de service d'un calculateur haute performance, et comprenant :
- une première étape (i) dans laquelle on définit pour chaque nœud de service un ensemble d'au moins un certificat d'authentification, puis on intègre chaque ensemble défini pour un nœud de service dans un fichier de configuration associé à un identifiant de ce nœud de service,
- une deuxième étape (ii) dans laquelle chaque nœud de service transmet à un serveur prédéfini une requête de démarrage destinée à récupérer son identifiant et un fichier de commande contenant l'ensemble compris dans le fichier de configuration associé, et
- une troisième étape (iii) dans laquelle chaque nœud de service extrait du fichier de commande récupéré l'ensemble qu'il contient afin de stocker chaque certificat d'authentification qu'il contient dans un endroit associé dans une zone de stockage correspondante.
On peut ainsi profiter de la phase de démarrage (ou d'amorçage ou encore de « boot réseau ») requise par un nœud de service auprès de son serveur pour transmettre immédiatement à ce nœud de service chaque certificat d'authentification qui permettra de l'authentifier auprès de ce serveur pendant sa phase de configuration. Cela permet d'économiser avantageusement du temps lors de la mise en fonctionnement des différents nœuds de service.
Le procédé selon l'invention peut comporter d'autres caractéristiques qui peuvent être prises séparément ou en combinaison, et notamment :
- dans la première étape (i) on peut intégrer chaque ensemble dans un fichier de configuration de type « pxelinux.cfg » ;
- dans la première étape (i) chaque identifiant de nœud de service peut être une adresse IP ;
dans la première étape (i) on peut intégrer dans chaque fichier de configuration un nom correspondant à l'adresse IP du nœud de service associé sous une forme hexadécimale ;
- la première étape (i) peut être réalisée dans le serveur prédéfini ;
- dans la troisième étape chaque nœud de service peut extraire du fichier de commande récupéré chaque certificat d'authentification afin de le placer dans un fichier de certificat(s) d'authentification.
L'invention propose également un produit programme d'ordinateur comprenant un jeu d'instructions qui, lorsqu'il est exécuté par des moyens de traitement, est propre à mettre en œuvre un procédé de contrôle du type de celui présenté ci-avant pour contrôler la fourniture de certificats d'authentification à des nœuds de service d'un calculateur haute performance.
L'invention propose également un dispositif de contrôle, destiné à équiper un calculateur haute performance comprenant un serveur couplé à des nœuds de service, et comprenant :
- des premiers moyens de contrôle agencés pour définir pour chaque nœud de service un ensemble d'au moins un certificat d'authentification, puis pour intégrer chaque ensemble défini pour un nœud de service dans un fichier de configuration associé à un identifiant de ce nœud de service, et, en cas de réception d'une requête de démarrage émise par un nœud de service, pour générer un fichier de commande contenant l'ensemble compris dans le fichier de configuration associé à l'identifiant de ce nœud de service, et déclencher la transmission de ce fichier de commande à ce dernier, et
- des seconds moyens de contrôle implantés dans chacun des nœuds de service et agencés chacun pour extraire d'un fichier de commande transmis l'ensemble qu'il contient afin de stocker chaque certificat d'authentification de cet ensemble extrait dans un endroit associé dans une zone de stockage correspondante du nœud de service concerné.
L'invention propose également un calculateur haute performance comprenant un serveur couplé à des nœuds de service, et un dispositif de contrôle du type de celui présenté ci-avant. Par exemple, le serveur peut comprendre les premiers moyens de contrôle.
D'autres caractéristiques et avantages de l'invention apparaîtront à l'examen de la description détaillée ci-après, et des dessins annexés, sur lesquels :
- la figure 1 illustre de façon schématique et fonctionnelle un calculateur haute performance équipé d'un exemple de réalisation d'un dispositif de contrôle selon l'invention, et
- la figure 2 illustre un exemple d'algorithme mettant en œuvre un procédé de contrôle selon l'invention.
L'invention a notamment pour objet de proposer un procédé de contrôle, et un dispositif de contrôle D associé, destinés à permettre le contrôle de la fourniture de certificats d'authentification à des nœuds de service Nij d'un calculateur haute performance CHP.
On a schématiquement illustré sur la figure 1 un exemple non limitatif de calculateur haute performance CHP comprenant un serveur SC couplé à des nœuds de service Ny, par exemple via un réseau de communication (comme par exemple l'Internet). Dans cet exemple, les nœuds de service Ny du calculateur CHP sont regroupés dans N groupes (dits à haute disponibilité (ou HA)) Gi (avec i = 1 à N). Chaque groupe (à haute disponibilité) Gi comporte M(i) nœuds (de service) Ny (avec j = 1 à M(i)). Par exemple, N est égal à 10 et M(i) est égal à 500 quel que soit le groupe Gi considéré (et donc quelle que soit la valeur de l'indice i). Mais le nombre de nœuds Ny pourrait varier d'un groupe Gi à l'autre Gr. Par ailleurs, le nombre N de groupes Gi peut prendre n'importe quelle valeur supérieure ou égale à un (1 ). De même, le nombre M(i) de nœuds Ny d'un groupe Gi peut prendre n'importe quelle valeur supérieure ou égale à trois (3).
Chaque nœud Ny dispose de ressources qui sont généralement partagées avec les autres nœuds Ny (j'≠ j) de son groupe Gi, sous le contrôle d'un logiciel de haute disponibilité (ou HA (« High Availability »)). Ces ressources peuvent être de tout type dès lors qu'il s'agit de services configurables qui sont utiles au calculateur CHP ou à une application tournant dans ce calculateur CHP.
Le serveur SC assure plusieurs services liés au démarrage (ou « boot ») réseau des nœuds Ny. Ainsi, il assure un service DHCP (« Dynamic Host Configuration Protocol ») destiné à fournir aux nœuds Ny leurs adresses IP au moment du boot réseau. Il peut également assurer des services « tftp » et « boot pxe » pour le transfert des fichiers hexadécimaux avec les variables nécessaires à l'authentification des nœuds Ny après la phase d'initialisation et le transfert de l'image du système d'exploitation devant être utilisé par les nœuds Ny. Il peut également, comme illustré non limitativement sur la figure 1 , comprendre un outil de configuration OC destiné à configurer des ressources de nœuds N . On considère dans ce qui suit, à titre d'exemple non limitatif, que l'outil de configuration OC est Kconf® (commercialisé par la société BULL SAS).
Comme indiqué plus haut, l'invention propose un procédé destiné à permettre le contrôle de la fourniture de certificats d'authentification à des nœuds de service Ny d'un calculateur haute performance CHP.
Ce procédé comprend des première (i), deuxième (ii) et troisième (iii) étapes, qui peuvent être mises en œuvre au moins partiellement par un dispositif de contrôle D selon l'invention.
Comme illustré, un dispositif de contrôle D, selon l'invention, comprend au moins des premiers MC1 et seconds MC2 moyens de contrôle. Les seconds moyens de contrôle MC2 sont installés dans chacun des nœuds de service Ny. Dans l'exemple non limitatif illustré sur la figure 1 , les premiers moyens de contrôle MC1 sont installés dans le serveur SC, et plus précisément dans l'outil de configuration OC. Mais cela n'est pas obligatoire. Ils pourraient en effet s'agir d'un équipement qui est externe au serveur SC mais accessible par ce dernier (SC), par exemple du fait d'une connexion informatique, ou bien qui fait partie du serveur SC mais pas de son outil de configuration OC. Par conséquent, le dispositif de contrôle D peut être réalisé, soit sous la forme de modules logiciels (ou informatiques, ou encore « software ») ; on est alors en présence d'un produit programme d'ordinateur comprenant un jeu d'instructions qui, lorsqu'il est exécuté par des moyens de traitement de type circuits électroniques (ou « hardware »), est propre à mettre en œuvre le procédé de contrôle, soit sous la forme d'une combinaison de modules logiciels et de circuits électroniques.
Durant la première étape (i) du procédé selon l'invention, on définit pour chaque nœud (de service) Ny un ensemble d'au moins un certificat d'authentification, puis on intègre chaque ensemble défini pour un nœud Ny dans un fichier de configuration associé à un identifiant du nœud Ny. Cette première étape (i) est réalisée par les premiers moyens de contrôle MC1 , éventuellement sous le contrôle d'une personne autorisée par l'administrateur du calculateur CHP. Elle peut être déclenchée de façon automatisée dans le cadre d'un processus de contact des nœuds Ny pour le boot réseau, ou bien manuellement à l'initiative de l'administrateur du supercalculateur CHP.
Cette première étape (i) est référencée 10 dans l'exemple d'algorithme de la figure 2.
Chaque ensemble peut comprendre un, deux, trois ou quatre certificats d'authentification, voire plus encore si cela s'avère nécessaire.
Par exemple, les premiers moyens de contrôle MC1 peuvent être agencés de manière à générer chaque certificat d'authentification destiné à un nœud Ny à partir d'informations qui sont stockées dans une base de données BD du serveur SC et qui définissent toutes les caractéristiques des nœuds Ny. Cette génération peut se faire au moyen d'un premier script. Les certificats d'authentification ainsi générés peuvent être stockés dans le serveur SC sous la forme de fichiers primaires dans une arborescence prédéfinie. Dans une variante de réalisation, les certificats d'authentification des nœuds Ny sont déjà générés et les premiers moyens de contrôle MC1 ne font que les récupérer pour les stocker dans le serveur SC sous la forme de fichiers primaires dans une arborescence prédéfinie.
Ensuite, les premiers moyens de contrôle MC1 peuvent être agencés de manière à récupérer le contenu de chaque fichier primaire associé à un nœud Ny afin de le mettre en forme et l'intégrer dans une (des) variable(s) d'un fichier de configuration associé à un identifiant du nœud Ny, préexistant et par exemple stocké dans des premiers moyens de stockage MS du serveur SC, comme par exemple une mémoire. On comprendra que chaque variable correspond à un certificat d'authentification.
Chaque identifiant de nœud Ny est par exemple une adresse I P qui est stockée dans la base de données BD parmi toutes les informations définissant ce nœud Ny.
A titre d'exemple, chaque fichier de configuration peut être de type « pxelinux.cfg ». Par exemple, pour un nœud Ny donné le fichier de configuration associé peut être « /tftpboot/pxelinux.cfg/OAOOOOOD », où 0A00000D est le nom du fichier de configuration sous forme hexadécimale, lequel correspond à l'adresse IP de ce nœud Ny au format hexadécimal. Cette adresse I P du nœud est définie par le service DHCP. Le contenu d'un fichier de configuration est du texte standard contenant les instructions de boot du nœud N via le réseau. L'intégration des valeurs des variables de certificat d'authentification peut se faire au moyen d'un second script des premiers moyens de contrôle MC1 .
Durant la deuxième étape (ii) du procédé selon l'invention, chaque nœud Ny transmet au serveur SC prédéfini une requête de démarrage qui est destinée à récupérer son identifiant (ici son adresse I P) et un fichier de commande qui contient l'ensemble de certificats d'authentification compris dans le fichier de configuration associé (c'est-à-dire contenant son adresse I P).
Cette deuxième étape (ii) est référencée 20 dans l'exemple d'algorithme de la figure 2.
Par exemple, lorsque l'administrateur du supercalculateur CHP souhaite démarrer les nœuds N il déclenche l'envoi des requêtes de démarrage par ces nœuds Ny. A cet effet, il ordonne aux nœuds Ny de démarrer (ou booter) via le réseau. La suite se fait automatiquement pour chaque nœud Ny par l'envoi au serveur SC d'une requête de démarrage de préférence de type « boot réseau PXE ». Cela déclenche un contact avec le serveur SC grâce à l'adresse I P du nœud Ny obtenue via le service DHCP, puis la récupération par ce nœud Ny de son fichier de configuration hexadécimal sur le service pxe du serveur SC, et l'obtention par ce nœud Ny de son système d'exploitation SC via le service de transfert tftp du serveur SC.
A réception d'une requête de démarrage transmise par un nœud Ny, les premiers moyens de contrôle MC1 vont déterminer dans les moyens de stockage MS le fichier de configuration qui contient l'adresse I P de ce nœud Ny. Puis, ils vont extraire de ce fichier de configuration la valeur de chaque variable de certificat d'authentification afin de l'intégrer dans un fichier de commande, et finalement ils vont ordonner au serveur SC de transmettre ce fichier de commande au nœud Ny requérant. Par exemple, ce fichier de commande peut être de type « /proc/cmdline ».
Durant la troisième étape (iii) du procédé selon l'invention, chaque nœud Ny extrait du fichier de commande qu'il a récupéré (consécutivement à l'envoi de sa requête de démarrage) l'ensemble de certificat(s) d'authentification qu'il contient afin de stocker chaque certificat d'authentification qu'il contient dans un endroit associé dans une zone de stockage MS' correspondante. Cette zone de stockage MS' est par exemple une mémoire d'un nœud Nij qui est utilisée pour stocker des données indispensables pendant toute la phase d'exploitation de ce nœud N .
Cette troisième étape (iii) est référencée 30 dans l'exemple d'algorithme de la figure 2.
Ce sont les seconds moyens de contrôle MC2 de chaque nœud Nij qui réalisent l'extraction de la valeur de chaque variable de certificat d'authentification, puis qui convertissent chaque valeur extraite dans un format compréhensible par son nœud Ny, et enfin qui placent chaque valeur convertie dans l'endroit associé de la zone de stockage MS'. Cet endroit comprend par exemple une arborescence prédéfinie et au moins un fichier prédéfini. Cette extraction, cette conversion et ce placement (ou stockage) peuvent se faire au moyen d'un script.
Par exemple, dans la troisième étape (iii), avant que les seconds moyens de contrôle MC2 d'un nœud Ny procèdent au stockage (ou placement), ils peuvent extraire du fichier de commande récupéré chaque certificat d'authentification afin de le placer (après son éventuelle conversion au bon format) dans un fichier de certificat(s) d'authentification. On notera que lorsque le nœud Ny comprend déjà un fichier original de certificat(s) d'authentification lorsqu'il reçoit un fichier de commande, ses seconds moyens de contrôle MC2 peuvent soit stocker le fichier original dans une autre zone de stockage prédéfinie et le nouveau fichier de certificat(s) d'authentification à l'endroit où était stocké le fichier original (à savoir dans les moyens de stockage MS'), soit simplement remplacer (ou écraser) le fichier original par le nouveau fichier de certificat(s) d'authentification dans les moyens de stockage MS'. En l'absence de différence, on conserve en l'état le fichier original à l'endroit où il est stocké (à savoir dans les moyens de stockage MS').
Grâce à l'invention, il est désormais possible de profiter de la phase de démarrage (ou d'amorçage ou de « boot réseau») qui est requise par un nœud de service auprès de son serveur pour transmettre immédiatement à ce nœud de service chaque certificat d'authentification qui permettra ensuite de l'authentifier auprès de ce serveur pendant sa phase de configuration. Il en 5 résulte une réduction notable de la durée de mise en fonctionnement de chaque nœud de service d'un supercalculateur.
L'invention ne se limite pas aux modes de réalisation de procédé de contrôle, de dispositif de contrôle, et de calculateur haute performance décrits ci-avant, seulement à titre d'exemple, mais elle englobe toutes les variantes î o que pourra envisager l'homme de l'art dans le seul cadre des revendications ci-après.

Claims

REVENDICATIONS
1. Procédé de contrôle de la fourniture de certificats d'authentification à des nœuds de service (Ny) d'un calculateur haute performance (CHP), caractérisé en ce qu'il comprend une étape (i) dans laquelle on définit pour chaque nœud de service (Ny) un ensemble d'au moins un certificat d'authentification, puis on intègre chaque ensemble défini pour un nœud de service (Ny) dans un fichier de configuration associé à un identifiant dudit nœud de service (Ny), une étape (ii) dans laquelle chaque nœud de service (Ny) transmet à un serveur (SC) prédéfini une requête de démarrage destinée à récupérer son identifiant et un fichier de commande contenant ledit ensemble compris dans ledit fichier de configuration associé, et une étape (iii) dans laquelle chaque nœud de service (Ny) extrait dudit fichier de commande récupéré l'ensemble qu'il contient afin de stocker chaque certificat d'authentification qu'il contient dans un endroit associé dans une zone de stockage correspondante.
2. Procédé selon la revendication 1 , caractérisé en ce que dans ladite étape (i) on intègre chaque ensemble dans un fichier de configuration de type « pxelinux.cfg ».
3. Procédé selon l'une des revendications 1 et 2, caractérisé en ce que dans ladite étape (i) chaque identifiant de nœud de service (Ny) est une adresse I P.
4. Procédé selon la revendication 3, caractérisé en ce que dans ladite étape (i) on intègre dans chaque fichier de configuration un nom correspondant à ladite adresse IP du nœud de service (Ny) associé sous une forme hexadécimale.
5. Procédé selon l'une des revendications 1 à 4, caractérisé en ce que ladite étape (i) est réalisée dans ledit serveur (SC).
6. Procédé selon l'une des revendications 1 à 5, caractérisé en ce que dans ladite étape (iii) chaque nœud de service (Ny) extrait dudit fichier de commande récupéré chaque certificat d'authentification afin de le placer dans un fichier de certificat(s) d'authentification.
7. Produit programme d'ordinateur comprenant un jeu d'instructions qui, lorsqu'il est exécuté par des moyens de traitement, est propre à mettre en œuvre le procédé selon l'une des revendications précédentes pour contrôler la fourniture de certificats d'authentification à des nœuds de service (Ny) d'un calculateur haute performance (CHP).
8. Dispositif de contrôle (D) pour un calculateur haute performance (CHP) comprenant un serveur (SC) couplé à des nœuds de service (Ny), caractérisé en ce qu'il comprend i) des premiers moyens de contrôle (MC1 ) agencés pour définir pour chaque nœud de service (Ny) un ensemble d'au moins un certificat d'authentification, puis pour intégrer chaque ensemble défini pour un nœud de service (Ny) dans un fichier de configuration associé à un identifiant dudit nœud de service (Ny), et, en cas de réception d'une requête de démarrage émise par un nœud de service (Ny), pour générer un fichier de commande contenant l'ensemble compris dans le fichier de configuration associé à l'identifiant de ce nœud de service (Ny), et déclencher la transmission de ce fichier de commande à ce dernier (Ny), et ii) des seconds moyens de contrôle (MC2) implantés dans chacun desdits nœuds de service (Ny) et agencés chacun pour extraire d'un fichier de commande transmis l'ensemble qu'il contient afin de stocker chaque certificat d'authentification de cet ensemble extrait dans un endroit associé dans une zone de stockage correspondante du nœud de service (Ny) concerné.
9. Calculateur haute performance (CHP) comprenant un serveur (SC) couplé à des nœuds de service (Ny), caractérisé en ce qu'il comprend en outre un dispositif de contrôle (D) selon la revendication 8.
10. Calculateur haute performance selon la revendication 9, caractérisé en ce que ledit serveur (SC) comprend lesdits premiers moyens de contrôle (MC1 ).
EP15766912.8A 2014-09-09 2015-09-02 Procédé et dispositif de contrôle de la fourniture de certificats d'authentification à des noeuds de service d'un calculateur haute performance Withdrawn EP3192228A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR1458437A FR3025632B1 (fr) 2014-09-09 2014-09-09 Procede et dispositif de controle de la fourniture de certificats d'authentification a des nœuds de service d'un calculateur haute performance
PCT/FR2015/052321 WO2016038278A1 (fr) 2014-09-09 2015-09-02 Procédé et dispositif de contrôle de la fourniture de certificats d'authentification à des nœuds de service d'un calculateur haute performance

Publications (1)

Publication Number Publication Date
EP3192228A1 true EP3192228A1 (fr) 2017-07-19

Family

ID=52450274

Family Applications (1)

Application Number Title Priority Date Filing Date
EP15766912.8A Withdrawn EP3192228A1 (fr) 2014-09-09 2015-09-02 Procédé et dispositif de contrôle de la fourniture de certificats d'authentification à des noeuds de service d'un calculateur haute performance

Country Status (4)

Country Link
US (1) US20170318056A1 (fr)
EP (1) EP3192228A1 (fr)
FR (1) FR3025632B1 (fr)
WO (1) WO2016038278A1 (fr)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11165766B2 (en) 2018-08-21 2021-11-02 International Business Machines Corporation Implementing authentication protocol for merging multiple server nodes with trusted platform modules utilizing provisioned node certificates to support concurrent node add and remove
US10885197B2 (en) * 2018-09-21 2021-01-05 International Business Machines Corporation Merging multiple compute nodes with trusted platform modules utilizing authentication protocol with active trusted platform module provisioning
US11206141B2 (en) 2018-09-21 2021-12-21 International Business Machines Corporation Merging multiple compute nodes with trusted platform modules utilizing provisioned node certificates

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6715075B1 (en) * 1999-07-08 2004-03-30 Intel Corporation Providing a configuration file to a communication device
US7430664B2 (en) * 2005-02-02 2008-09-30 Innomedia Pte, Ltd System and method for securely providing a configuration file over and open network

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
None *
See also references of WO2016038278A1 *

Also Published As

Publication number Publication date
US20170318056A1 (en) 2017-11-02
WO2016038278A1 (fr) 2016-03-17
FR3025632B1 (fr) 2016-11-04
FR3025632A1 (fr) 2016-03-11

Similar Documents

Publication Publication Date Title
US8719392B2 (en) Searching a managed network for setting and configuration data
JP6785913B2 (ja) インターネット上での違法なコンテンツの配布を防止する方法及びシステム
EP3108361A2 (fr) Procédé de déploiement d'un ensemble d'application(s) logicielle(s)
FR2855691A1 (fr) Securisation de la distribution de documents numeriques dans un reseau pair a pair
US20170034020A1 (en) System and method for monitoring bittorrent content and the computers that share bittorrent content
EP1687717A1 (fr) Demarrage securise d'un appareil electronique a architecture smp
EP3192228A1 (fr) Procédé et dispositif de contrôle de la fourniture de certificats d'authentification à des noeuds de service d'un calculateur haute performance
EP1303812A2 (fr) Procede de transmission d'un agent mobile dans un reseau; emetteur, recepteur, et agent mobile associes
EP3906635A1 (fr) Procédé de connexion d'une application informatique à une ressource informatique sécurisée
EP2729874B1 (fr) Procede et programme d'ordinateur de gestion dynamique de services dans un cluster d'administration
EP4502835B1 (fr) Procédé mis en oeuvre par une unité de traitement ayant accès à une base de données biométrique
EP3394740B1 (fr) Procede de configuration d'un systeme d'exploitation
WO2019101736A1 (fr) Procede de gestion a distance d'un dispositif connecte a une passerelle residentielle
EP2912598A1 (fr) Procédé de téléchargement d'au moins un composant logiciel dans un appareil informatique, produit programme d'ordinateur, appareil informatique et système informatique associés
US20250117365A1 (en) Method and system for expeditiously de-archiving archived objects
EP2851793B1 (fr) Procédé de configuration d'au moins un noeud d'une grappe d'ordinateurs, dispositifs correspondant et système correspondant
FR3158376A1 (fr) Gestion d’accès à une application sécurisée dans un système informatique
FR3001560A1 (fr) Deploiement d’images systemes doubles dans une grappe de serveurs
HK1204833B (en) Bit torrent scan with cross comparison for robust data monitoring
FR2805905A1 (fr) Procede d'execution d'une action dans un systeme d'information heterogene
FR2911203A1 (fr) Procede de gestion de l'environnement d'execution sur des postes clients legers
FR3001817A1 (fr) Procede de configuration d'une pluralite de nœuds d'une grappe d'ordinateur
FR2987534A1 (fr) Methode d'inventaire de reseau.
FR3040805A1 (fr) Procede automatique de mise en place et maintenance de services de haute disponibilite dans un systeme d'exploitation en nuage
FR3031821A1 (fr) Systeme de prise de controle d'un dispositif domotique

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20170404

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

AX Request for extension of the european patent

Extension state: BA ME

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
17Q First examination report despatched

Effective date: 20190220

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION IS DEEMED TO BE WITHDRAWN

18D Application deemed to be withdrawn

Effective date: 20190903