云网络服务的身份和访问管理外文翻译资料

英语原文共 5 页，剩余内容已隐藏，支付完成后下载完整资料

云网络服务的身份和访问管理

摘要

云计算在满足当今组织需求方面发挥着重要作用。由于云网络的可用性和成本效益通过诸如IaaS，SaaS，PaaS和多租户的不同灵活的服务模型来实现，云网络受到了关注。与这些服务模型相关的隐私和安全风险很高。 为了最小化云网络服务中的风险，组织需要强大、灵活、可扩展和可靠的身份和访问管理（IAM）系统。在本文中，我们提出了一种集成的基于身份和属性的访问管理系统的云网络服务。身份验证和基于属性的访问控制的结合为云网络服务提供了优越的安全性。

关键词：云计算；云网络服务；认证；访问控制；身份管理

1. 介绍

云计算是一种促进方便、按需网络访问可配置计算资源的共享池的架构。这些资源包括各种网络、服务器、存储、应用和快速配置并且以最小的管理工作或云服务提供商交互发布的服务[1]。云计算，有着提高可用性、可靠性、可扩展性的潜能。近来云计算和云网络服务的重要性和使用正在增加，它提供了一些服务模型，如基础架构作为服务（IaaS），软件作为服务（SaaS）和平台作为服务（PaaS）。云服务或云基础架构由组织或第三方供应商提供和管理。云计算表现为计算范式以及分布式架构，其主要目的是提供安全、快速、方便的数据存储和网络计算服务，所有计算资源都可视化为服务并通过互联网传递[2]。云计算是几种技术的联合，包括网格和分布式计算，利用互联网作为服务交付网络[3]。组织需要灵活性来根据其需求选择服务和定价模型。云服务的定价模型由云服务提供商考虑诸如基于实例、基于使用、基于用户、基于基础设施和基于服务的参数来确定。大多数组织在云环境中托管或部署Web服务，以便于管理和更好的可用性。为了最小化成本因素，在基于云的服务中也使用多租户环境。虚拟环境在云中使用来实现多租户。虚拟机的漏洞对用户的隐私和安全构成直接威胁。云网络服务中的安全问题是在特定领域，如认证，授权，数据保护和问责制[4]。

云网络服务的主要问题是验证合格用户的凭据、保护凭据、数据泄露、账户劫持和共享技术问题。组织的控制从传统的安全基础设施向云环境的迁移导致其利益相关者的数量和角色的根本变化，因为组织将安全控制转移到第三方供应商[5]。云服务受到委托提供商的数据安全和隐私、浏览器API的漏洞、网络中的漏洞和加密的出口法规的影响。云系统中的共享和分布式资源使得难以开发用于确保数据安全性和隐私性的安全模型。云服务提供商限制他们的客户实施入侵检测或安全监控系统，由于透明度问题，扩展到虚拟化云实例后面的管理服务层。客户不知道详细的安全事件、漏洞或恶意软件报告[3]，[6]。

1. 身份与访问管理
2. 身份管理

身份即服务（IDaaS）是由第三方供应商管理云中的用户的身份。 由于IDaaS提供者而不是组织在身份管理中的参与导致了挑战，如身份数据位置、保密性、信任建立、可用性[7]。 身份提供者使得安全系统能够访问云应用。身份管理系统用于提供用户访问的安全性、管理用户、证书验证以及检查合适的人是否访问由服务提供的资源。 用户的认证以诸如密码、生物特征、基于令牌或基于证书的不同方式执行。

在大多数组织中，风险、成本和管理身份的努力随着组织的增长而增加。为了正确管理身份，每个组织都需要一个明确的身份管理系统。这有助于组织降低与身份管理相关的风险，以及满足员工身份和访问需求所需的成本和时间。一个组织中一个完善的身份管理系统有多个功能和好处。

• 1. 集中用户存储库

良好定义的身份管理系统充当组织的集中式受信任用户存储库。 它保持最新的信息，并作为一个单一的、可信的身份和访问信息点。

• 1. 用户属性管理

雇员的所有属性以集中方式管理。在大多数组织中，属性保存在活动目录或类似的系统中，这最终会降低这些系统的性能，最终造成不良的最终用户体验。此外，它增加了变得不可管理的活动目录的大小。身份管理系统需要使用活动目录仅用于一些特定属性，而不是在同一位置保存所有属性[8]。

• 1. 身份置备或取消置备

身份系统可帮助组织自动执行配置或取消配置过程。 这有助于消除手动努力，并最终降低成本。由于自动完成供应，请求者立即获得对所需系统的访问权，从而节省了员工的宝贵时间，并提供更好的最终用户体验。

• 1. 审计和报告

集中式用户存储库可帮助任何组织创建关于组织的身份需求和趋势的实时报告。报告有助于组织主动识别潜在的身份和访问风险。 组织政策被重新定义或调整，以避免这种身份和访问风险[9]。

• 1. 密码管理

与身份系统相关联的自助服务有助于员工或主管重置或恢复其丢失或忘记的密码。这减少了帮助台的参与，最终节省时间和成本。 密码管理系统还确保密码的强度和遵守组织策略。

• 1. 服务账户管理

特权身份管理机制有助于组织管理不同类型的非人员身份，如服务器登录帐户，数据库登录帐户和应用程序管理员帐户。特权身份管理工作在明确定义的身份管理系统之上。

• 1. 单点登录和联合

单点登录（SSO）允许用户只记住一个密码或至少少得多的密码（非SSO启用的应用程序）。最明显的好处是，用户可以安全和不间断地在服务之间移动，而无需每次都指定其凭据。SSO和联合身份概念密切合作或作为身份系统的一部分。在没有身份系统的情况下，不可能对目标系统执行任何活动或共享所需的属性[9]。

B.访问管理

访问控制机制对于基于云的服务的授权至关重要。访问控制系统用于确定正确的人是否正在使用预定义的访问策略访问资源。这一机制的主要目的是促进资源的安全和隐私。当访问控制机制有效时，它保护对网络的任何未授权访问。在访问管理中存在不同种类的模型和技术。在云环境中，相同的云用于具有不同策略的不同组织，这导致未授权人员访问资源的机会。所使用的不同的访问控制模型是强制访问控制模型，任意访问控制（DAC）模型，基于角色的访问控制模型，基于策略的访问控制模型和基于风险的访问控制模型[10]。访问管理系统与身份管理系统相关联地工作，用于管理用户对相关联的资源或应用的访问。组织中完善的访问管理系统具有多种功能和优点。

1. 角色管理

组织中的每个应用程序根据应用程序的性质或目的，具有不同的角色。访问管理系统存储关于与其相关联的每个资源或应用程序的角色的信息。

1. 资源和角色映射

访问管理系统帮助集中式用户存储库保存关于分配给每个身份（用户）的资源或应用程序的信息以及用户在每个资源或应用程序中的角色[11]。

1. 角色/权利配置或取消配置

受管理的身份和访问控制的系统可帮助组织对关联的应用程序执行自动化角色或权利配置或取消配置，从而节省员工宝贵的时间并提供更好的最终用户体验。

1. 工作流管理

在每个组织中，存在具有内置工作流管理方案的访问请求系统。 身份和访问管理系统帮助任何组织灵活地根据他们的要求配置功能或保持单独的系统工作流管理[12]。

1. 访问管理

访问管理是身份和访问管理系统的一个重要优势。组织可以定期验证用户的身份，访问权限和任何应用程序中的角色。这种定期验证有助于组织减少与每个身份相关的风险，并支持组织遵守其政策。

C.Web服务

Web服务是使用可扩展标记语言（XML），简单对象访问协议（SOAP），Web服务描述语言（WSDL）和通用描述、发现与集成服务（UDDI）来集成Web应用程序的标准化方式。XML用于数据标记，SOAP用于传输数据，WSDL用于描述可用的服务，UDDI执行可用服务的列表部分。Web服务技术使组织能够充分利用软件作为服务（SaaS）。Web服务通过标准Internet技术进行部署。这使得可以将Web服务部署到在地球另一端的Internet上运行的服务器的防火墙[13]。在云环境中提供了灵活的定价模型用于web服务，例如，每次使用、实例化和促进多租户的概念。云环境中的Web服务由提供服务的可用性和可访问性的供应商所雇用的专用团队维护。Web服务偶尔允许客户端系统通过Web公开。在Web服务环境中，需要访问控制来增强安全性和隐私性。

1. 建议模型

A.身份管理

在建议的身份管理模型中，用户通过身份系统进行身份验证。一旦用户针对他的凭证被成功验证，身份系统为每个身份提供令牌。 令牌被以周期性间隔刷新，使得任何未认证的人被禁止使用已经生成的其他认证用户的令牌。在尝试从任何启动的应用程序访问云网络服务时，应用程序将令牌连同所需的参数一起传递。云网络服务器在令牌的帮助下相对于身份服务器验证身份。

所有上述通信是在预定义的元数据文件的帮助下建立的。在令牌的成功验证之后，云服务器对所请求的web服务认证用户，如图1所示。所提出的方法有助于在云网络服务中建立更安全的认证方式。 此方法利用了安全声明标记语言（SAML）和OAuth协议的优点。

B. 访问管理

在所提出的访问管理模型中，云网络服务授权的基于属性的访问控制（ABAC）被使用。基于属性的访问控制模型有助于基于不同的属性检查用户的访问。所涉及的混合属性是环境条件、用户属性、资源属性、位置属性和组织策略。这些属性用于验证用户是否被允许访问特定的Web服务。基于ABAC的授权通过规则引擎借助于每个身份提供商和web服务组合特有的数字签名预定义的XML规则来实现。来自规则引擎的日志有助于确保系统的问责。每个身份提供商和Web服务组合的依赖规则的使用为系统带来了灵活性和可扩展性。该访问控制机制验证该人的身份，用户想要访问的资源，该特定组织的时间、位置和策略，如图2所示。

C.集成模型

在所提出的集成方法中，使用用于认证的混合架构和用于授权的基于属性的访问控制（ABAC），如图3所示。为了获得云网络服务，用户必须从启动的应用程序通过身份系统进行认证。成功的认证导致身份系统生成访问令牌。在云网络服务器中，有一种机制来验证具有身份系统的访问令牌并执行授权。在成功的令牌验证之后，身份系统将用户属性返回到云网络服务器。在Web服务器中，根据预定义的规则验证属性。云网络服务器考虑用户属性、web服务的属性、环境条件和决策的组织策略。

1. 分析和讨论

云基础架构允许跨云创建，存储和访问大量资源。然而，保护这些资源免受云环境中的不同安全威胁，对于云用户来说仍然是一个严重的问题。主要的问题的是监视、保护和验证云环境中静止、运动和使用中的数据的安全性。在用于云网络服务的现有认证系统中，使用诸如服务帐户及其凭证的登录凭证。它们通常在使用Web服务的应用程序中硬编码或配置。这些系统的缺点是，如果有人知道凭证，则难以识别谁访问服务或何时服务授权或未授权，而且缺乏灵活性。

安全断言标记语言（SAML）和OAuth（开放授权）协议当前在云环境中使用。 在SAML中，一旦认证成功，用户就可以无缝地访问服务，直到会话超时。由于没有与身份提供商的身份的交叉验证，这导致未经授权访问服务和安全违规[8]。在OAuth协议中，令牌旨在用于受保护资源的消费，并且故意对客户端（依赖方）不透明。主要缺点是依赖方无法从令牌中知道令牌是为它生成还是为另一个RP生成[14]，[15]。 表1显示了所提出的混合模型与各种验证模型的比较。

授权是基于经过身份验证的用户权限，授予对特定资源的访问权限的过程。授权由一个或多个属性定义。属性是用户的属性或特性。 大多数组织都遵循基于角色的授权模型。基于角色的访问控制（RBAC）涉及特定人员在组织中的角色。这通过将角色与资源映射来执行。 RBAC基于一组预定义的角色工作。即使定义了动态创建角色，但控制用户访问资源的限制也会受到阻碍[16]。该系统的主要缺点是缺乏对时间和位置约束的考虑，不能遵循委托原则（当特定的人缺席时，访问权限被交给其他人），在定义访问权限时没有灵活性，并且间接地取决于身份。

表1. 比较各种认证模型

此外，不同的组织正在遵循自己的角色结构。因此，难以将应用程序与多租户或多云环境和多标识系统集成。云网络服务被在多租户云环境中托管Web服务的不同组织使用。在某些情况下，不同的组织在云环境中访问相同的Web服务。在这种情况下，基于属性的访问控制是最合适的。在ABAC中，执行属性的评估，然后执行用户的授权。 它还消除了RBAC机制中角色映射要求的风险[17]，[18]。

提出的混合认证和授权的组合增强了云网络服务的安全性。组织倾向于更好地控制身份和访问机制，特别是在云环境中。基于属性的访问控制提供细粒度级别、细粒度的访问控制。由于提出的模型中的活动由独立的组件处理，它确保编码语言独立性。因此，基于所提出的概念，组织能够开发自己的组件来处理各种请求。验证这些所有约束有助于控制从云网络服务访问资源。所提出的模型的附加优点是责任制、灵活性和可扩展性。

1. 责任制

在具有ABAC机制的建议的授权模型中，很容易创建关于所执行的请求的完美日志。这有助于组织分析趋势并重新定义安全方法。

1. 灵活性和可扩展性

集成身份和基于属性的访问控制方法为利益相关者提供了最大的灵活性，而不会影响安全性。该模型是可扩展的，以将云环境中的多个身份系统和服务提供商应用集成到单个模块中。它还可以灵活地为云环境中的每个Web服务创建特定于组织的访问规则，确保完整的跨

剩余内容已隐藏，支付完成后下载完整资料

资料编号：[141393]，资料为PDF文档或Word文档，PDF文档可免费转换为Word