云計(jì)算中的身份管理研究

蘇紅軍 尤振華 王國華

1.介紹

云計(jì)算是一種按使用量服務(wù)的模式，這種模式提供可用的、便捷的、按需的網(wǎng)絡(luò)訪問，進(jìn)入可配置的計(jì)算資源共享池（資源包括網(wǎng)絡(luò)，服務(wù)器，存儲(chǔ)，應(yīng)用軟件，服務(wù)），這些資源能夠被快速提供，只需投入很少的管理工作，或與服務(wù)供應(yīng)商進(jìn)行很少的交互。云計(jì)算一般來講具有如下特點(diǎn)：

1）隨需應(yīng)變自助服務(wù)；

2）隨時(shí)隨地用任何網(wǎng)絡(luò)設(shè)備訪問；

3）多人共享資源池；

4）快速重新部署靈活度；

5）可被監(jiān)控與量測的服務(wù)；

6）基于虛擬化技術(shù)快速部署資源或獲得服務(wù)；

7）減少用戶終端的處理負(fù)擔(dān)：

8）降低了用戶對于IT專業(yè)知識(shí)的依賴。

身份管理（IDM）是一個(gè)綜合的概念，其基本定義為：在相關(guān)法律法規(guī)的指導(dǎo)下，按照一定的業(yè)務(wù)模式，為降低管理用戶身份、訪問權(quán)限的成本，提高管理用戶身份效率和安全性，保護(hù)用戶的隱私，方便信息共享，提高工作效率和安全性能，采用各種新技術(shù)開發(fā)的集身份認(rèn)證、授權(quán)管理、責(zé)任認(rèn)定于一體的基礎(chǔ)設(shè)施框架。具體來講，身份管理系統(tǒng)的功能包括信息存儲(chǔ)、身份認(rèn)證和授權(quán)、用戶注冊和登錄、認(rèn)證信息的管理、責(zé)任認(rèn)定、用戶自助服務(wù)、集中和代理管理。

IDM應(yīng)具備的功能：

（1）IDM系統(tǒng)應(yīng)能夠在分布式異構(gòu)網(wǎng)絡(luò)環(huán)境下，使用相關(guān)的協(xié)議、規(guī)范以及技術(shù)將分散的身份信息進(jìn)行集中管理，實(shí)現(xiàn)單點(diǎn)登錄。也可以方便的擴(kuò)充跨身份標(biāo)識(shí)域的訪問等功能。

（2）提供友好的體驗(yàn)環(huán)境，保護(hù)用戶隱私。有效的對用戶的行為進(jìn)行審計(jì)。

雖然有各種技術(shù)可用，但是一個(gè)IDM系統(tǒng)仍然需要解決許多關(guān)鍵問題，其中包括：

1）體系結(jié)構(gòu)。IDM的體系結(jié)構(gòu)決定了系統(tǒng)的效能，決定了采用的相關(guān)技術(shù)，由于身份管理要求不斷應(yīng)用新技術(shù)解決日益復(fù)雜的管理和安全問題，體系結(jié)構(gòu)也將隨之不斷地更新，如何采用新型體系結(jié)構(gòu)，是適應(yīng)身份管理需求發(fā)展的關(guān)鍵問題。

2）信任模型。實(shí)施跨域訪問以及建立身份聯(lián)盟的先決條件是信任，解決好信任問題直接關(guān)系到身份管理系統(tǒng)的安全與效率。這其中包含了信任關(guān)系的建立、信任度量及信任傳遞。。

3）身份認(rèn)證。身份認(rèn)證是IDM系統(tǒng)的重要工作，這有別于傳統(tǒng)身份認(rèn)證，只有通過綜合、先進(jìn)的技術(shù)手段才能實(shí)現(xiàn)對用戶信息的高效管理。

4）隱私保護(hù)。通過各種協(xié)議、標(biāo)準(zhǔn)和技術(shù)支持，保護(hù)用戶隱私，在減輕系統(tǒng)負(fù)擔(dān)的同時(shí)，實(shí)現(xiàn)單點(diǎn)登錄。

各種用戶訪問和使用云服務(wù)，這些用戶的憑據(jù)，如用戶名，密碼和用戶標(biāo)識(shí)等取決于服務(wù)提供商的身份管理系統(tǒng)。這些身份信息在云環(huán)境下采用加密的方式單獨(dú)存儲(chǔ)。存儲(chǔ)和安全對服務(wù)商而言是非常重要的問題，普通用戶也是通過這些措施和服務(wù)商建立信任關(guān)系。在本文中，我們提出一個(gè)以信任為基礎(chǔ)的系統(tǒng)，來實(shí)現(xiàn)身份管理系統(tǒng)的各種基本需求。本文所述的信任定義基本如下：信任是指一個(gè)范圍，在這個(gè)范圍內(nèi)，在給定的條件下一方以一個(gè)相對安全感愿意依靠某些組織或某些人，即使可能產(chǎn)生負(fù)面結(jié)果。

2.相關(guān)研究

IDM目前已經(jīng)得到了廣泛關(guān)注，在業(yè)內(nèi)也形成了一些共識(shí)。根據(jù)管理考慮的角度不同可分為以服務(wù)提供者為中心的身份管理系統(tǒng)和以用戶為中心的身份管理系統(tǒng)；根據(jù)體系結(jié)構(gòu)的不同可分為獨(dú)立身份管理系統(tǒng)、聯(lián)盟身份管理系統(tǒng)以及集中身份管理系統(tǒng)，按照通信方式的不同可劃分為計(jì)算機(jī)網(wǎng)絡(luò)身份管理系統(tǒng)，移動(dòng)網(wǎng)絡(luò)身份管理系統(tǒng)；根據(jù)應(yīng)用目的的不同可分為專用身份管理系統(tǒng)，通用身份管理系統(tǒng)；根據(jù)使用的安全技術(shù)的不同又可分為基于可信計(jì)算的身份管理系統(tǒng)與基于傳統(tǒng)安全技術(shù)的身份管理系統(tǒng)。從另外一個(gè)角度看，好的IDM系統(tǒng)應(yīng)具備良好的可用性、擴(kuò)展性和安全性。IDM的研究也需要跨學(xué)科的理論知識(shí)來創(chuàng)新性的開闊思路，完善方案。對于IDM的研究目前也有了很多模型、技術(shù)路線，以及不同見解的發(fā)展思路，但是大量的研究仍然處于探索階段，還有待于進(jìn)一步成熟和完善。

IDM不適于單系統(tǒng)的情況，由于用戶通常會(huì)需要訪問多個(gè)提供商提供的服務(wù)，因此聯(lián)盟用戶身份管理的概念更適合云模式。

聯(lián)盟身份管理實(shí)際上是一種分布式的身份管理模型，對于某個(gè)Web站點(diǎn)，為了讓用戶使用所提供的服務(wù)，又從自身效率和效益的角度考慮，將身份信息和認(rèn)證操作的維護(hù)工作交由另外一個(gè)網(wǎng)站來實(shí)現(xiàn)。聯(lián)盟的本意是指在站點(diǎn)間建立某種信任協(xié)議或者基于密碼學(xué)的信任關(guān)系。聯(lián)盟身份管理應(yīng)用的典型案例是Web單點(diǎn)登錄，用戶登錄到某個(gè)站點(diǎn)后，就可以基于這次認(rèn)證訪問其它聯(lián)盟站點(diǎn)的資源。提供服務(wù)的站點(diǎn)并不直接提供用戶認(rèn)證和登錄的服務(wù)，而是依賴另一個(gè)站點(diǎn)來做認(rèn)證。在這種單點(diǎn)登錄模式中，聯(lián)盟身份管理可以降低賬戶維護(hù)和管理成本，并可以降低安全隱患。

在云計(jì)算環(huán)境中，身份管理是為大量客戶提供服務(wù)所必要的手段。眾多的云用戶訪問和使用云服務(wù)，因此存儲(chǔ)和身份管理是非常重要的安全問題，需要一個(gè)完善的解決方案。

3.系統(tǒng)設(shè)計(jì)

在云計(jì)算系統(tǒng)中的聯(lián)盟身份管理首先自身必須是強(qiáng)大的，一個(gè)基于信任的解決方案如下所述。

基本組件包括：

1）身份配置：

在用戶請求服務(wù)時(shí)可以自己填寫和配置相關(guān)基本信息，包括名稱，密碼等，同時(shí)創(chuàng)建一個(gè)基于數(shù)字和字符的身份。系統(tǒng)會(huì)根據(jù)用戶填寫的信息進(jìn)行分析和查重等工作。

2）密碼系統(tǒng)：

用戶信息和相關(guān)憑證可以存儲(chǔ)在獨(dú)立的位置或設(shè)備。信息只能有授權(quán)的用戶或管理員才可以維護(hù)，需加強(qiáng)系統(tǒng)的身份認(rèn)證強(qiáng)度，訪問密碼應(yīng)該經(jīng)過加密處理。

3）通信通道：

用戶訪問服務(wù)時(shí)，云服務(wù)提供者的身份管理系統(tǒng)應(yīng)通過加密信息和通道進(jìn)行信息交換，通信安全強(qiáng)度取決于通信加密的強(qiáng)度和消息加密強(qiáng)度。

4.聯(lián)盟身份管理

在云計(jì)算環(huán)境中聯(lián)盟身份管理是非常重要的概念，云服務(wù)商們分享服務(wù)，滿足各自用戶的需求。因此，用戶身份管理就成為具有挑戰(zhàn)性的工作。關(guān)于云計(jì)算系統(tǒng)的聯(lián)盟身份管理程序可以提出如下觀點(diǎn)：聯(lián)盟的實(shí)現(xiàn)可以用靜態(tài)和動(dòng)態(tài)的加密方法。靜態(tài)加密采用偽身份和代理簽名。動(dòng)態(tài)方法應(yīng)隨需求的變化而變化。當(dāng)用戶在任意時(shí)間需要更多資源，不具備此項(xiàng)能力的服務(wù)商會(huì)將用戶請求轉(zhuǎn)給其他服務(wù)商，用戶信息必須由新的身份驗(yàn)證系統(tǒng)接收管理。系統(tǒng)通過日志維護(hù)用戶的訪問細(xì)節(jié)、登錄和注銷時(shí)間、訪問記錄等，以及服務(wù)商的相關(guān)信息。

5.結(jié)論

身份管理為保護(hù)個(gè)人身份隱私和提高組織工作效率提供了安全保障，其應(yīng)用與開發(fā)越來越受到重視。IDM技術(shù)已經(jīng)作為一個(gè)重要的信息安全技術(shù)得到了廣泛的應(yīng)用，但還存在如信任精確度量等難點(diǎn)問題有待于進(jìn)一步解決，有著廣闊的研究空間和發(fā)展前景。接下來，IDM將會(huì)是云計(jì)算環(huán)境中一個(gè)關(guān)鍵的點(diǎn)，針對這種情況本文提出了一個(gè)簡單的基于信任的云計(jì)算環(huán)境下的聯(lián)盟身份管理方案。