1、科學數據庫平安體系介紹1內容平安體系的框架概要平安體系身份認證平安體系訪問控制2平安體系的框架概要 科學數據庫平安體系為科學數據庫中的各類數據效勞與應用提供統一的平安效勞，主要包括三個局部：身份認證：是整個平安體系的核心，把用戶身份在科學數據網格的各個資源站點上統一起來，使科學數據庫的用戶以方便、統一、平安的方式訪問資源，并且提供數據加密。主要解決不同站點之間的認證和數據的機密性和完整性等問題。訪問控制：在不改變資源提供者本地訪問控制策略的前提下，為資源提供者提供一種機制來細粒度地控制用戶訪問資源，同時也為不同的用戶設置不同的訪問級別。主要解決授權問題。審計日志：提供了一種方法來對系統中資源使

2、用的跟蹤、限制、收費，同時對于公平地分配資源給用戶也是很重要的。主要解決記賬問題。 3平安體系的框架概要4平安體系身份認證身份標識證書簽發機構CA證書的互認證過程Web上的證書應用https效勞通信加密5平安體系身份認證身份標識：采用PKI的x.509證書格式標識用戶身份，同時也能夠提供通信加密用戶證書、效勞證書 6平安體系身份認證證書：公鑰，可以公開的密鑰私鑰，只有用戶擁有的密鑰一般情況下，公鑰和私鑰是分開保存的，但是在IE、Netscape瀏覽器里，證書的公鑰和私鑰放在一個文件里。包含公鑰的證書（由CA簽發）主要有以下5局部A主體名字（Subject）：標識證書所代表的用戶或對象B主體的公

3、鑰C簽發該證書的CA(Certificate Authority)標識DCA的數字簽名E證書的有效期7平安體系身份認證證書簽發機構CA 簽發證書的權威機構，保證科學數據網格的平安性，提供身份認證效勞。主要功能：證書簽發證書審核RA（Register Authority）證書撤銷證書歸檔CA自身的管理8平安體系身份認證證書的互認證過程（1） 如果通信的兩個實體都有證書，且雙方都信任給他們簽發證書的CA（有可能不是同一CA），那么二者可以相互證明對方所聲稱的實體，稱為互認證。采用平安套接層（SSL）作為互認證協議證書。認證過程如下：A加密B解密 A的私鑰 A的公鑰認證模型明文明文傳輸密文9平安體系

4、身份認證證書的互認證過程（2） 即PKI的認證機制Name:CAIssuer: CAPublic KeySignatureUser1Issuer:CAPublic KeySignatureUser2Issuer:CAPublic KeySignatureSignSign互認證AB10平安體系身份認證Web上證書的應用https效勞https效勞實現了SSL（平安套接層）協議不認證客戶端：只需要在web效勞器端安裝CA的證書、包含公鑰的效勞器證書、效勞器的私鑰。要求客戶端認證：效勞器端按照如上安裝效勞器端證書；客戶端需要在瀏覽器內安裝CA的證書、用戶的PKCS12證書。11平安體系身份認證通信加密在缺省的情況下，不提供實體間通信加密。一旦互認證通過后，通信過程無需加密/解密的額外開銷。如果需要加密信道，很容易建立共享密鑰來加密通信。 12平安體系訪問控制當網格用戶通過認證，映射本錢地角色的時候，根據LACL設置好的角色權限來判斷該角色是否能夠訪問資源。訪問控制主要有三個