探索

Size: px

Start display at page:

Download "探索"

又星索绰络
4 years ago
Views:

1 ISSN CODEN JKYTA8 Journal of Frontiers of Computer Science and Technology /2012/06(09) DOI: /j.issn Tel: * 动态虚拟组织管理系统设计与实现蔡世霞 1 1,2+ 3, 曹军威, 林筱 1. 清华大学信息技术研究院, 北京清华大学清华信息科学与技术国家实验室, 北京清华大学自动化系, 北京 Design and Implementation of Dynamic Virtual Organization Management System CAI Shixia 1, CAO Junwei 1,2+, LIN Xiao 3 1. Research Institute of Information Technology, Tsinghua University, Beijing , China 2. Tsinghua National Laboratory for Information Science and Technology, Tsinghua University, Beijing , China 3. Department of Automation, Tsinghua University, Beijing , China + Corresponding author: jcao@tsinghua.edu.cn CAI Shixia, CAO Junwei, LIN Xiao. Design and implementation of dynamic virtual organization management system. Journal of Frontiers of Computer Science and Technology, 2012, 6(9): Abstract: The innate coarse-grained management of grid computing leads to inflexible structure, which brings about much inconvenience and inhibits a broader application of grid computing. With the virtual organization concept, this paper proposes a dynamic virtual organization management scheme which provides fine-grained project management to solve this problem. This scheme manages grid projects as different virtual organizations and controls user access according to membership relations in virtual organizations. Above the Globus grid system, the paper develops a dynamic virtual organization management system. It also gives a case to demonstrate the effectiveness of this scheme for fine-grained dynamic management of multiple grid systems. Key words: grid computing; virtual organization; dynamic management systems; Globus 摘要 : 网格计算粗粒度的管理方式导致的网格体系僵化带来了诸多不便, 成为网格计算在科研领域更深入应用的阻碍采用虚拟组织的思想, 提出了动态虚拟组织管理方案来针对网格计算项目进行细粒度管理该 * The National Grand Basic Research 973 Program of China under Grant No. 2011CB ( 国家重点基础研究发展规划 (973)); the National High-Tech Research and Development Plan of China under Grant No. 2011AA ( 国家高技术研究发展计划 (863)). Received , Accepted

2 780 Journal of Frontiers of Computer Science and Technology 计算机科学与探索 2012, 6(9) 方案按照虚拟组织的方式管理多个网格计算项目, 以虚拟组织成员关系控制用户访问的权限, 使得虚拟组织的构成更加灵活针对 Globus 网格平台设计了动态虚拟组织管理系统, 实际应用表明该系统实现了细粒度的多网格管理, 证明了动态虚拟组织管理方案的有效性关键词 : 网格计算 ; 虚拟组织 ; 动态管理系统 ;Globus 文献标识码 :A 中图分类号 :TP302 1 引言网格计算能够以低廉的价格快速获取计算能力的 [1] 优势, 使其尤其适用于科学计算, 为特定的大型科研应用提供专门的计算机数据共享和管理平台激光干涉引力波天文台 (laser interferometer gravitationalwave observatory,ligo) 1) 和寻找最大梅森素数 (great internet mersenne prime search,gimps) 2) 都是典型的网格计算项目这些项目的实施都需要跨组织的合作, 而网格计算可以从技术上使用虚拟组织 (virtual [2] organization,vo) 的运行和管理在过去十多年中, 建立了许多网格以满足某些重大专项科研项目, 在美国网格类型的科研合作项目有几十个, 典型的如美国的 OSG(open science grid) 3) 等随着网格计算的应用日渐广泛, 网格规模的逐渐扩大, 网格计算粗粒度管理方式的弊端开始显现虽然每个科研组织内部通过网格计算等技术实现了跨组织的资源共享, 但是多个网格之间还是彼 [3] 此无法互通主要体现在: 网格是针对特定项目构建的, 每当应用变化时往往需要搭建新的网格平台, 这会带来不小的开销 ; 网格中的项目相互之间需要通过权限管理来区分, 这对于资源较多以及人员变更频繁的网络来说是一个不小的负担 ; 当网格中的项目增多时, 用户想查找一个具体项目, 或某一个项目需要寻找一个合适的资源时, 也有着诸多不便这些成为网格计算在科研领域进行更深入应用的阻碍和过去相比, 当前的科学研究方式要求提供更加广泛的集成和共享资源, 跨越地理和组织的限制, 动态按需的集成资源, 安全可扩展的管理资源, 而这是传统网格技术不能解决或不擅长解决的美国国家科学基金委 (NSF) 为了解决上述问题提出了赛百平台 (Cyberinfrastructure,CI) [4] 的构想赛百平台是众多网格的集成, 打破了网格之间的屏障, 实现了不同网格资源的重新调配和安全访问如何将赛百平台上分布式的资源根据科研项目需求动态安全地集成为一个虚拟组织, 实现虚拟组织内部的高度共享和虚拟组织之间便捷安全的合作, 成为亟待解决的问题目前有几种被广泛使用的 VO 管理相关机制和技术, 如虚拟组织成员服务 (virtual organization membership service,voms) 4), 但其缺点是虚拟组织成员或权限发生变更时, 网格应用并不能第一时间获知这一变更, 对于管理一个成员频繁变动十分活跃的虚拟组织来说并不是很有利 GUMS(grid user management system) 5) 提供了网格用户身份映射的服务, 但是在网格计算的动态环境中, 映射表的维护问题没能很好地解决 VO Services Project 6) 是对 VOMS 和 GUMS 的综合, 很好地对二者的优缺点进行了互补, 形成了一套相对完善的细粒度虚拟组织管理系统但 VO Services Project 依旧带有 VOMS 和 GUMS 的一部分缺点, 如需要多次颁发证书等本文根据虚拟组织的思想, 针对上述分析的问题提出了动态虚拟组织管理方案基于虚拟组织的 1)LIGO, 2)GIMPS, 3)OSG, 4)VOMS, 5)GUMS, 6)VO Services Project,

3 蔡世霞等 : 动态虚拟组织管理系统设计与实现 781 访问控制直观方便, 更适合当前大规模的权限管理该方案按照虚拟组织的方式管理网格计算项目, 以虚拟组织成员关系控制用户访问的权限根据实际项目需要动态创建取消虚拟组织, 使得虚拟组织的构成更有针对性, 从而达到网格计算的细粒度管理为了实现资源的共享, 同时为用户提供权限的管理, 针对 Globus [5] 网格平台, 本文给出了这个方案的具体实现动态虚拟组织管理系统, 并描述了系统关键模块的功能和实现技术本文组织结构如下 : 第 2 章介绍了动态虚拟组织管理解决方案的构成 ; 第 3 章重点描述了动态虚拟组织管理系统关键模块的功能和实现技术 ; 第 4 章描述了该系统在 Globus 网格平台上的测试过程 ; 第 5 章总结全文 2 动态虚拟组织管理解决方案 2.1 虚拟组织的概念与应用虚拟组织是网格计算的关键概念, 是由个人和自治域按照一定的资源共享规则形成的集合, 自治域或个人通过虚拟组织共享资源和进行问题求解通过动态管理虚拟组织的方式可以很方便地实现权 [6] 限管理同一个虚拟组织内的成员之间可以相互访问资源, 而虚拟组织外的用户不能访问虚拟组织内部的资源, 在收到访问请求后, 资源提供者只需要在虚拟组织登记表中查询用户与自己是否处于同一个 VO 用户加入或退出虚拟组织时, 也只需要根据其请求来对应修改表格, 而不是维护所有成员的访问权限映射表对于一个节点众多的网格, 这省去了可观的重复操作动态虚拟组织的这个特点使其很适合于网格管理工作动态创建与管理的虚拟组织能够实现细粒度的网格管理对每一个具体的计算项目构建一个单独的虚拟组织, 组织中的科学家可以访问组织中的资源当科学家需要更多资源时, 可以批准更多的资源加入虚拟组织, 每个科学家并不需要直接与组织外的其他人建立信任关系, 这正契合了计算项目自然的组织方式 Cyberinfrastructure 是用虚拟组织方式管理网格计算的一种应用 2.2 带有评价系统的动态虚拟组织管理方式动态虚拟组织通过在网格内部进行动态的创建取消以及虚拟组织成员变更来方便地实现网格计算的权限管理其核心是维护包含虚拟组织信息的数据库该数据库中有两类重要的表格 : 虚拟组织登记表和成员登记表当一个用户或资源提供者加入一个虚拟组织时, 他可以访问虚拟组织中的所有其他成员提供的资源, 同时他也需要贡献出自己的资源 ( 如果有 ) 供虚拟组织中其他成员来使用虚拟组织外部的用户或资源提供者不能够访问虚拟组织内部的资源而虚拟组织的关系可以通过查询虚拟组织成员的方式从数据库中得到, 因此权限管理变得十分方便, 只要通过读取数据库中的信息, 即可确定成员是否可以访问, 以及应该如何被映射虚拟组织的创建和撤销可以通过在虚拟组织登记表中添加新项和删除对应项来完成当一个新用户或新资源提供者进入网格后, 通过在数据库中查找虚拟组织信息, 寻找并加入到与自己的目标或与自己的服务特性相吻合的虚拟组织, 从而快速投入使用如果要开始一个新的项目, 则可以创建一个新的虚拟组织在虚拟组织登记表中添加新的一项, 并在成员登记表中添加本虚拟组织对应的新的成员, 或者新开一张成员登记表当项目结束需要关闭时, 则只需要撤销当前的虚拟组织, 在虚拟组织登记表中删除对应项, 并删除成员登记表中对应的内容虚拟组织在批准用户或资源提供者的加入请求之前会进行审核审核并批准加入的过程可以是手动的, 但对于有很多用户和资源提供者的大环境来说, 自动批准或拒绝申请可以节省很多工作量审核过程可以通过一个函数的形式来完成如果审核不通过, 则拒绝该用户或资源提供者的加入申请 ; 如果审核通过, 则自动加入该用户或资源提供者, 使其成为虚拟组织的成员另外, 审核过程中也可以同时对用户进行打分, 并根据打分情况决定用户能访问的资源或决定用户的角色, 从而实现更细粒度的权限管理审批过程也可以是有目的的, 比如提高网格的服务质量 (quality of service,qos) 王震等人提出了 [7] 专门针对网格计算资源评价的算法, 相应开发了虚

4 782 Journal of Frontiers of Computer Science and Technology 计算机科学与探索 2012, 6(9) 拟组织成员评价系统 [8] 这个算法首先选择一些有威望的节点形成一个 Committee, 由 Committee 对资源进行打分, 最后通过一个模糊决策方式得到资源的最终得分该系统被证明能够有效地提升网格资源的质量通过有目的性的审核机制, 可以根据虚拟组织的目标来优化组织内部的人员和资源配置, 从而更好地完成预定的任务相比传统的网格计算管理方式, 动态虚拟组织的管理方式有如下优点 : (1) 提供了细粒度的计算项目管理 (2) 不需要每个成员维护一个访问控制表, 访问控制维护更加便捷 (3) 通过虚拟组织的管理方式可以很清楚地追踪一个计算项目的发展, 而且可以分清项目与其他计算项目之间的界限 (4) 增加了对用户和资源管理者的评价机制, 使得虚拟组织的成员加入审批有了一个有价值的参考标准, 从而保证资源的共享和使用安全可信这种细粒度的权限管理方式可以使依据审批规则生成的 VO 对计算项目的目标更有针对性 2.3 动态虚拟组织管理的架构动态虚拟组织管理方式提供了便捷的细粒度访问控制功能通过这种方式管理的网格计算系统由 CI 服务器与 VO 服务器三大部分组成, 方案架构如图 1 所示 Fig.1 查询 VO 虚拟组织管理请求资源 CI 服务器 VO 服务器登记 VO 网格资源网格资源 Structure of dynamic virtual organization 图 1 management system 动态虚拟组织管理系统架构在该架构中, 用户对资源的访问需要虚拟组织的认证来授权因此当用户访问资源时, 需要向 VO 服务器提交访问资源的请求,VO 服务器验证用户身份后授权用户访问虚拟组织中的资源 VO 服务器还需要维护虚拟组织成员的表格, 以支持用户的加入退出成员查询等操作为了更好地维护虚拟组织成员登记表,VO 服务器中还需要配备管理员的机制以及合理的管理员任免机制 CI 服务器管理网格中所有用户和资源的身份信息, 并登记所有 VO 的信息, 方便用户和资源提供者查找并加入合适的 VO CI 服务器还需要维护用户以及虚拟组织登记表, 支持虚拟组织的登记解散等操作 CI 应当配备一个证书中心, 供新用户注册使用动态虚拟组织管理系统应该有一个便于操作的, 给用户提供查找 VO 及使用资源的良好界面, 同时还要完成与 VO 服务器及 CI 服务器的通信该架构支持用户从查找 VO 到使用资源的一整套流程, 是动态虚拟组织管理的基本框架 2.4 动态虚拟组织管理与 Globus 的连接动态虚拟组织管理系统提供了网格中用户权限的信息管理, 为了真正让用户能够利用分布式资源, 实现资源共享, 还需要其他组件, 例如 Globus Condor 等工具的支持本文采用 Globus Toolkit 搭建网格, 通过动态虚拟组织管理系统与 Globus 连接来完整地实现用动态虚拟组织管理网格计算的理念 Globus 通过证书机制和帐户映射的方式完成用户认证以及访问控制其核心思路在于将远程来访者映射到本地的特定账户, 使之拥有本地账户相应的权限针对 Globus 通过配置 grid-mapfile 与制定 localname 权限实现访问控制的方式, 动态虚拟组织管理框架可以通过修改 grid-mapfile 来完成对 Globus 构建的网格计算系统的访问控制 Globus 修改 grid-mapfile 的命令主要有两条 : (1)grid-mapfile-add -dn distantname -ln localname ( 添加 ) (2)grid-mapfile-delete -dn distantname -ln localname( 移除 ) 在该方案中, 动态虚拟组织管理架构与 Globus 连接方式的示意图如图 2 所示当服务器端虚拟组织成员信息发生变化时, 由服务器端向报告, 通过变化成员的 Subject, 加入还是退出, 以及资源提供者的 localname 生成 grid-mapfile-add 或 grid-mapfile-delete 命令并执行, 从而自动地修改 grid-mapfile

5 蔡世霞等 : 动态虚拟组织管理系统设计与实现 783 动态虚拟组织管理系统用户 CI 服务器 VO 服务器服务器端数据库模块配置文件提交任务修改 mapfile VO 与 CI 管理模块用户界面 GateKeeper grid-mapfile 资源提供者制定访问政策评价模块通信模块 Globus Toolkit 资源资源提供者的计算机 Fig.2 Connection between dynamic virtual organization management structure and Globus 图 2 动态虚拟组织管理与 Globus 的连接资源提供者不在线时, 服务器无法实时报告成员变化, 需要将成员变化信息保存起来, 待资源提供者上线之后进行对应 grid-mapfile 的修改可以通过在 CI 服务器中建立一个消息表 Message, 保存所有 VO 的成员变化信息及变化发生时间来解决资源提供者上线后向 CI 服务器请求 Message 表, 按照时间顺序执行 VO 成员变化的修改, 就可以实现自动修改 grid-mapfile 的功能 3 动态虚拟组织管理系统的设计与实现为了实现用动态虚拟组织管理方式管理网格计算, 基于前面提出的架构设计了一个动态虚拟组织管理系统该系统应能够完成基本的虚拟组织管理操作, 如建立加入退出解散以及查询组织成员等功能 ; 并且能够按照虚拟组织的信息使网格计算软件可以控制外来用户访问的信息, 对于组织内部的成员则允许访问, 对于组织外的成员则拒绝访问, 实现网格的权限管理该系统的模块结构如图 3 所示系统分为服务器端和两部分 : 服务器端由配置文件通信数据库评价以及 VO 与 CI 管理模块构成配置文件模块负责配置文件的读取与分析 ; 通信模块负责通信规则与保证通信的安全 ; 数据库模块负责管理数据库的访问操作 ; 评价模块负责对用户或资源提供者给出评价 ;VO 与 CI 管理模块负责按照命令对 VO 服务器端与 CI 服务器端的数据库 Fig.3 Module structure of dynamic virtual organization management system 图 3 动态虚拟组织管理系统的模块结构进行合理的操作, 维护成员登记表和虚拟组织登记表, 以完成权限管理由配置文件模块通信模块和用户界面模块组成配置文件模块负责读取与分析配置文件 ; 通信模块负责与服务器的通信规则与安全 ; 用户界面模块负责用户与的接口下面详细描述一下系统的关键模块 3.1 通信模块为了保证用户与服务器交互的传输安全, 并将 VO 与 CI 管理包装成 Web 服务的形式, 系统中通信模块的建立基于带安全套接层 (secure sockets layer,ssl) 的简单对象获取协议 (simple object access protocol, SOAP) SSL 的基础是 PKI(public key infrastructure), 通过提供加密和数字签名等密码服务及所必需的密钥和证书管理体系来保证信息传输的安全证书的签署 : 用户生成私钥和一个请求签发的 request 证书, 将 request 证书发送至证书中心证书中心用自己的私钥签署用户的 request 证书, 生成用户的公钥, 并发送回用户证书的使用 : 用户发送消息时用自己的私钥和对方的公钥对消息进行加密解密时只能用公钥和对方的私钥解密对于一个恶意用户, 由于不知道二者中任何一人的私钥, 既不能伪造成发送方, 也不能伪造成接收方服务器端具体流程是 SOAP 通信的服务端绑定并侦听一个端口每当端口接收到数据包时,SOAP 首先对对方进行身份认证, 认证通过后调用回调函数 ns_hdl 进行处理流程如图 4 所示

6 784 Journal of Frontiers of Computer Science and Technology 计算机科学与探索 2012, 6(9) Fig.4 的通信模块 Sender 完成与服务器进行通信的工作该模块发送指定的一个 vector<string> 对象到服务器, 并读取服务器返回的 vector<string> 具体流程如图 5 所示 3.2 数据库模块数据库模块负责管理数据库的访问操作该模块以开放数据库互连 (open database connectivity, ODBC) 为核心, 并通过配置文件的帮助, 使数据库模块能够根据数据库信息和 VO 与 CI 管理模块给出的命令结合, 动态生成 SQL 语句, 从而实现服务模块与数据库信息的剥离, 利于服务模块的组建以及今后对该系统的扩展初始化 SOAP, 绑定端口挂起, 等待连接接入读入对方证书 IP 地址, 初始化 VO 管理模块调用 VO 管理模块处理数据将处理结果发回 Flowchart of server communication module 图 4 初始化 SOAP 准备证书文件服务器端通信模块流程图将所有要发送的字符串按顺序填入发送结构 *soap_output 中 Fig.5 调用远程函数 ns_hdl 调用是否成功? 是读取返回值到 *soap_res 中返回 0 返回 -1 数据库模块中只有三个操作 : 初始化, 执行数据库命令, 关闭 ODBC 连接这样简化了服务器端的操作, 大大减轻了虚拟组织管理模块的负担否 Flowchart of client communication module 图 5 通信模块流程服务器端共有四个数据库表 :UserInfo, 保存 CI 中每个用户的信息 ;VOInfo, 保存每个 VO 的信息, 即 VO 登记表 ;Member, 保存每个用户属于哪个 VO 的信息, 即 VO 成员登记表 ;Message, 保存消息信息 3.3 VO 与 CI 管理模块 VO 与 CI 管理模块负责按照发来的命令进行对应的 VO 和 CI 管理操作 VO 与 CI 管理模块从通信模块接收到用户发来的消息, 服务器对内容进行分析后调用对应的函数进行处理为了降低命令处理过程中的负载, 同时避免服务器端更新过程中也要更改的麻烦, 系统在命令处理过程中引入了表单机制服务器端保存很多可能用到的表单, 获取指定的表单后, 用户根据表单上给出的规则生成一条命令, 并将信息填入命令的对应位置发给服务器动态虚拟组织管理系统在服务器端设定了严格的权限机制, 每进行一项数据库操作时, 都需要检查用户是否具有相应的权限等级各个角色所拥有的权限不能互通, 权限设定如下 : (1)VO 创建者 : 解散 VO, 批准成员, 指定管理员, 解职管理员, 踢出成员 ( 除自己 ) (2)VO 管理员 : 批准成员, 踢出成员 ( 除创建者和管理员 ), 退出 VO (3)VO 成员 : 退出 VO 该模块中提供了多个函数来完成用户加入 VO, 退出 VO, 查询 VO, 查找 VO 中指定成员, 创建取消虚拟组织等功能, 具体函数设计这里不再一一陈述此外, 系统中为评价函数预留了一个评价接口, 该接口作为 VO 管理模块中的一个私有函数存在, 不能直接访问该评价函数评价接口具有访问数据库的权利, 可以实现大多数的评价方法 3.4 评价模块动态虚拟组织管理系统设计并实现了对用户和资源提供者进行评价的评价函数, 不能直接访问该函数评价函数当用户或资源提供者提交加入请求的审批过程中调用, 返回对指定用户或资源提供者的评价信息, 具体函数的实现过程在本文中不再详细描述在系统中为评价函数预留了一个评价接口评价接口作为 VO 管理模块中的一个私有函数存在

7 蔡世霞等 : 动态虚拟组织管理系统设计与实现 785 该评价接口具有访问数据库的权力, 可以实现大多数的评价方法 3.5 模块动态虚拟组织管理系统中由配置文件模块通信模块和用户界面模块组成模块承担了与客户的交互工作, 包括整理用户命令并向通信模块发送命令, 以及将服务器的信息显示出来为了与 Globus 进行连接, 还需要负责根据服务器端报告的 VO 成员变动, 修改对应的 grid-mapfile 系统中提供了命令行版的简单形式和网页版的复杂形式命令行版循环接收并发送用户给出的命令, 服务器端返回后, 对服务器端的信息进行解析, 并以用户友好的方式显示出来, 如图 6 所示 Fig.6 User interface of command-line client 图 6 命令行的用户界面网页版通过 PHP(hypertext preprocessor) 实现, 命令转化为超链接的形式, 在用户点击对应位置时向服务器发送命令, 服务器返回的信息解析成 HTML 格式显示出来网页版使用界面如图 7 所示 Fig.7 User interface of web-version client 图 7 网页版使用界面 4 动态虚拟组织管理系统与 Globus 的协作虚拟组织管理中, 比较典型的组织管理应用可以分为 : (1) 查找虚拟组织 ; (2) 建立虚拟组织 ; (3) 加入 / 退出虚拟组织 ; (4) 利用评价系统帮助虚拟组织管理员审核申请人 ; (5) 踢出不安全的虚拟组织成员 ; (6) 在实际应用结束后终止虚拟组织本文在安装并配置了动态虚拟组织管理系统与 Globus 的计算机上, 通过启用 grid-mapfile-add 和 grid-mapfile-delete 命令对 Globus 的 grid-mapfile 进行修改, 实现该系统与 Globus 的连接, 测试该系统在 Globus 平台上可以进行细粒度的访问控制测试中使用四台计算机进行动态虚拟组织管理系统与 Globus 的协作测试这四台计算机的 IP 地址分别是 (grrr) (jinchun) (hanqiu) 和 (ligo) 其中是 VO 与 CI 服务器, 其余三台计算机上运行计算机上的用户有各自的 Globus 证书, 用于 Globus 身份识别以及与服务器的安全通信和身份验证, 证书分别为 Bob Tom 和 Alice, 使用 SSH 工具连接到这四台计算机上并进行操作首先 Tom 创建一个 VO, 名为 LIGO Tom 在本地打开帐户 Tom 供 VO 中的其他成员通过 Globus 进行访问随后,Bob 和 Alice 加入 LIGO, 并各自打开帐户 Bob 和 Alice 供虚拟组织成员进行访问 Tom 根据评价系统给出的评价值批准二者的加入请求, 如图 8 所示在批准加入后, 根据收到服务器发送的 VO 成员变化信息执行 grid-mapfile-add 或 grid-mapfile-delete 命令,Bob 和 Alice 分别加入对方到自己本地的映射, 二者之间可以互相访问 Alice 使用 Globus 执行 Bob 计算机 (jinchun) 上的 /bin/date 命令显示当前时间命令成功返回正确的结果, 如图 9 所示说明该动态虚拟组织管理系统成功地修改了 grid-mapfile, 实现了与 Globus 的对接接下来,VO 的创建者 Tom 通过评价系统认为 Alice 的评价值过低, 而将 Alice 踢出 VO 随后,Alice 再通过 Globus 的 globus-job-run 命令执行 Bob 计算机上的 /bin/date 命令时, 出现了错误 7, 表示身份认证失

786 Journal of Frontiers of Computer Science and Technology 计算机科学与探索 2012, 6(9) Fig.8 Bob and Alice join LIGO Fig.

的访问映射表中移除之后 Alice 再次加入虚拟组织 LIGO, 随后项目结束,Tom 通过 StopVO 命令解散了该虚拟组织虚拟组织关闭后,Alice 和 Bob 之间都不能够通过 Globus 相互访问 ( 错误 7), 如图 10 所示 Fig.

问虚拟组织内的资源通过对加入与退出虚拟组织的控制, 该系统可以根据网格项目目标和评价值调整用户和资源提供者的访问权限, 达到细粒度网格权限管理的目标该动态虚拟组织管理系统成功地完成了 Globus 网格中访问控制与权限管理的相关功能, 说明动态虚拟组织管理的方案是切实有效的 5 总结本文针对网格粗粒度管理僵化的问题, 提出了解决该问题的动态虚拟组织管理方案

8 786 Journal of Frontiers of Computer Science and Technology 计算机科学与探索 2012, 6(9) Fig.8 Bob and Alice join LIGO Fig.9 Alice accesses the program of Bob s computer 图 8 Bob 和 Alice 加入 LIGO 图 9 Alice 访问 Bob 计算机上的程序败这个错误当 grid-mapfile 中没有 Alice 的映射条目时才会出现这说明动态虚拟组织管理系统成功地使用 grid-mapfile-delete 将 Alice 从 Bob 的访问映射表中移除之后 Alice 再次加入虚拟组织 LIGO, 随后项目结束,Tom 通过 StopVO 命令解散了该虚拟组织虚拟组织关闭后,Alice 和 Bob 之间都不能够通过 Globus 相互访问 ( 错误 7), 如图 10 所示 Fig.10 Bob and Alice can t access each other after Tom closed the virtual organization 图 10 Tom 关闭虚拟组织后 Bob 和 Alice 不能相互访问整个过程直观地说明了动态虚拟组织管理系统与 Globus 的协作流程虚拟组织内部的成员能够访问虚拟组织内部的资源, 而虚拟组织外的用户不能访问虚拟组织内的资源通过对加入与退出虚拟组织的控制, 该系统可以根据网格项目目标和评价值调整用户和资源提供者的访问权限, 达到细粒度网格权限管理的目标该动态虚拟组织管理系统成功地完成了 Globus 网格中访问控制与权限管理的相关功能, 说明动态虚拟组织管理的方案是切实有效的 5 总结本文针对网格粗粒度管理僵化的问题, 提出了解决该问题的动态虚拟组织管理方案该方案按照虚拟组织的方式管理网格计算项目, 按照虚拟组织成员关系控制用户访问的权限对于该动态虚拟组织的管理方案, 本文提出了一个能够实现该方案的 -VO 服务器 -CI 服务器框架基于该框架, 设计并实现了动态虚拟组织管理系统该系统是针对 Globus 网格平台进行设计的网格中间件, 根据虚拟组织成员变化动态修改 grid-mapfile, 以控制用户的访问该系统与 Globus 的结合实现了 Globus 平台上细粒度的访问控制, 达到了用动态虚拟组织的管理方式管理网格计算的目的实际应用表明, 该系统实现了细粒度的网格项目管理, 证明了动态虚拟组织管理方案的有效性虚拟组织的研究虽然已经有很多年, 但在更大的范围内动态创建管理和运行多个虚拟组织, 同时支持网格计算资源共享的功能, 还是近年来才提出的需求清华大学与美国 LIGO 和 OSG 项目都建立

9 蔡世霞等 : 动态虚拟组织管理系统设计与实现 787 了长期的合作关系, 未来会基于这些项目提供的全球计算资源和合作伙伴, 真正实现动态虚拟组织系统的实际运用 References: [1] Foster I. The grid: a new infrastructure for 21st century science[j]. Physics Today, 2002, 55(2): [2] Foster I, Kesselman C, Tuecke S. The anatomy of the grid: enabling scalable virtual organizations[j]. International Journal of High Performance Computing Applications, 2001, 15(3): [3] Cao Junwei. Cyberinfrastructure technologies and applications[m]. [S.l.]: Nova Science Publishers, [4] Cao Junwei. Platform and technical challenge of Cyberinfrastructure[J]. International Academic Development, 2010(2): [5] Foster I. Globus toolkit version 4: software for service oriented systems[j]. Journal of Computer Science and Technology, 2006, 21(4): [6] Sun Weiqun, Shan Baohua, Zhang Cheng, et al. A role-based delegation access control model for virtual organization in service grid[j]. Chinese Journal of Computers, 2006, 29(7): [7] Wang Zhen, Cao Junwei. Committee-based evaluation and selection of grid resources for QoS improvement[c]//proceeding of the 10th IEEE/ACM International Conference on Grid Computing, Banff, Alberta, Canada, 2009: [8] Cao Junwei, Wang Zhen. VOMES: a virtual organization membership evaluation system[j]. International Journal on Networking and Virtual Organizations, 2012, 10(1): 附中文参考文献 : [4] 曹军威. 赛百平台及其技术挑战 [J]. 国际学术动态, 2010 (2): [6] 孙为群, 单保华, 张程, 等. 一种基于角色代理的服务网格虚拟组织访问控制模型 [J]. 计算机学报, 2006, 29(7): CAI Shixia was born in She received her M.S. degree in computer software and theory from Nankai University in Now she is a research engineer at Research Institute of Information Technology, Tsinghua University. Her research interests include database and cloud computing, etc. 蔡世霞 (1980 ), 女, 河北吴桥人,2004 年于南开大学计算机软件与理论专业获得硕士学位, 现为清华大学信息技术研究院工程师, 主要研究领域为数据库, 云计算等 CAO Junwei was born in He received his Ph.D. degree in computer science from University of Warwick, UK in Now he is a professor and deputy director of Research Institute of Information Technology, Tsinghua University, and also the director of Common Platform & Technology Division, Tsinghua National Laboratory for Information Science and Technology. His research interest is distributed computing and applications. He has published over 130 academic papers and books. 曹军威 (1973 ), 男, 河北乐亭人,2001 年于英国华威大学计算机科学系获得博士学位, 现为清华大学信息技术研究院研究员, 院务委员会副主任, 清华信息科学与技术国家实验室公共平台与技术部主任, 主要研究领域为分布式计算及应用发表论文 130 余篇 LIN Xiao was born in His research interests include virtual organization and grid computing. 林筱 (1988 ), 男, 主要研究领域为虚拟组织, 网格计算

ISSN CODEN JKYTA8 Journal of Frontiers of Computer Science and Technology /2012/06(00)

ISSN CODEN JKYTA8 Journal of Frontiers of Computer Science and Technology /2012/06(00) ISSN 1673-9418 CODEN JKYTA8 E-mail: fcst@vip.163.com Journal of Frontiers of Computer Science and Technology http://www.ceaj.org 1673-9418/2012/06(00)-0000-00 Tel: +86-10-51616056 DOI: 10.3778/j.issn.1673-9418.2012.00.000