تنفيذ رموز Kerberos في أنظمة الحوسبة الموزعة بمعهد فيزياء الطاقة العالي

جدول المحتويات

1. المقدمة

أصبحت طرق المصادقة القائمة على الرموز شائعة بشكل متزايد في أنظمة الحوسبة الموزعة لأبحاث فيزياء الطاقة العالية. قام شبكة الحوسبة العالمية لمصادم الهادرونات الكبير (WLCG) بترقية جميع الخدمات لدعم رموز WLCG، مما يعكس هذا الاتجاه في المجال. في معهد فيزياء الطاقة العالي (IHEP) في الصين، تم إنشاء رموز Kerberos كآلية المصادقة الأساسية داخل مجموعات الحوسبة المحلية ويتم الآن توسيع نطاقها لتشمل بيئات الحوسبة الموزعة.

2. الخلفية والدافع

يعمل معهد فيزياء الطاقة العالي على تطوير منصة حوسبة موزعة لدمج مواقع البحث الصينية المتعددة. ومع ذلك، فإن العديد من التجارب طويلة الأمد في المعهد، وخاصة تجربة BES، مرتبطة ارتباطاً وثيقاً ببيئات المجموعات المحلية بما في ذلك أنظمة قواعد البيانات وخدمات التخزين وموارد الحوسبة. لمعالجة هذا التحدي، نفذ المعهد نهج "توسيع المجموعة" الذي يمتد بشفافية قدرات المجموعة المحلية إلى بيئات الحوسبة الموزعة، مما يمكن وظائف BES من الانتقال إلى المواقع البعيدة بأقل قدر من التعطيل.

3. التحديات التقنية

التحدي الرئيسي في تنفيذ رموز Kerberos هو إدارة عمر الرمز عبر البيئات الموزعة. عادةً ما يكون لرموز Kerberos في المعهد فترة صلاحية مدتها يومين مع حد تجديد لمدة 7 أيام. يجب ضمان تجديد الرمز في ثلاث نقاط حرجة:

• مرحلة إرسال الوظيفة
• فترة انتظار الوظيفة
• مرحلة تنفيذ الوظيفة

4. هندسة النظام

يتكون نظام رموز Kerberos في المعهد من أربعة مكونات مترابطة تعمل معاً لتوفير مصادقة سلسة عبر موارد الحوسبة الموزعة.

4.1 منتج الرمز

ينتج منتج الرمز رموز Kerberos عندما يسجل المستخدمون في عقد المرسل وينشر هذه الرموز في مستودع الرموز. يتعامل هذا المكون مع إنشاء الرمز الأولي بمعلمات الصلاحية والتجديد المناسبة.

4.2 مستودع الرمز

نظام التخزين المركزي هذا يحافظ على جميع ملفات الرموز الحالية ويتضمن خدمة تجديد تقوم بتجديد أعمار الرموز بشكل دوري لمنع انتهاء صلاحيتها أثناء وظائف الحوسبة طويلة الأمد.

4.3 نقل الرمز

تقوم آلية النقل بنقل ملفات الرموز بأمان من المستودع إلى عقد العمل عبر المواقع الموزعة، مما يضمن توفر الرموز حيثما تكون هناك حاجة لها لتنفيذ الوظيفة.

4.4 محرك عميل الرمز

يقوم هذا المكون بتهيئة بيئة الرمز على عقد العمل ويدير تجديد عمر الرمز أثناء تنفيذ الوظيفة، مما يوفر قدرة مصادقة مستمرة.

5. تفاصيل التنفيذ

5.1 الأساس الرياضي

تعتمد مصادقة Kerberos على التشفير بالمفتاح المتماثل والتحقق القائم على الطابع الزمني. يمكن تمثيل صلاحية الرمز على النحو التالي:

$V(t) = \begin{cases} 1 & \text{if } t_{current} \leq t_{creation} + t_{valid} \\ 0 & \text{otherwise} \end{cases}$

حيث يمثل $t_{valid}$ فترة الصلاحية (عادةً يومين في المعهد) ويُسمح بالتجديد حتى $t_{creation} + t_{renew}$ (عادةً 7 أيام).

5.2 تنفيذ الكود

تطبق خدمة تجديد الرمز المنطق التالي:

class TokenRenewalService:
    def renew_token_if_needed(self, token, current_time):
        """تجديد الرمز إذا كان يقترب من انتهاء الصلاحية"""
        if token.is_expiring_within(threshold=3600):  # عتبة ساعة واحدة
            if current_time <= token.created_time + token.renewal_period:
                new_token = self.kinit_renew(token.principal)
                self.repository.update(token.principal, new_token)
                return new_token
        return token
    
    def kinit_renew(self, principal):
        """تنفيذ أمر تجديد Kerberos"""
        import subprocess
        result = subprocess.run(['kinit', '-R', principal], 
                              capture_output=True, text=True)
        if result.returncode == 0:
            return self.extract_current_token(principal)
        else:
            raise TokenRenewalError(f"فشل في تجديد الرمز: {result.stderr}")

6. النتائج التجريبية

تم نشر نظام رموز Kerberos بنجاح عبر البنية التحتية للحوسبة الموزعة في المعهد. تستخدم ثلاث تجارب رئيسية حالياً إطار العمل هذا للمصادقة:

• LHAASO (مرصد الحمام الهوائي على ارتفاعات عالية)
• BES (تجربة المطياف في بكين)
• HERD (كشف الإشعاع الكوني عالي الطاقة)

تستخدم هذه التجارب رموز Kerberos للوصول عن بُعد إلى البيانات المخزنة في أنظمة الملفات EOS وLustre عبر المواقع الموزعة. أظهر التنفيذ مصادقة موثوقة مع حد أدنى من فشل الوظائف بسبب انتهاء صلاحية الرمز.

7. التحليل والمناقشة

يمثل تنفيذ رموز Kerberos في بيئة الحوسبة الموزعة بالمعهد تقدماً كبيراً في آليات المصادقة لأبحاث فيزياء الطاقة العالية. يعالج هذا النهج التحديات الحرجة في الأمان عبر المواقع مع الحفاظ على التوافق مع البنية التحتية الحالية. مقارنة بالمصادقة التقليدية القائمة على الشهادات المستخدمة في العديد من بيئات الحوسبة الشبكية (كما هو موثق في التقارير التقنية لـ WLCG)، تقدم الطرق القائمة على الرموز تحسيناً في سهولة الاستخدام وتقليل عبء الإدارة.

تكمن المساهمة التقنية لعمل المعهد في مجموعة الأدوات الشاملة التي تدير دورة حياة الرمز بالكامل عبر البيئات الموزعة. تشبه هذه الهندسة إدارة الرموز في OAuth 2.0 في خدمات الويب ولكنها محسنة خصيصاً لأحمال العمل الحسابية العلمية. تعالج قدرة النظام على تجديد الرموز تلقائياً قيداً أساسياً في Kerberos - اعتماده على اتصال الشبكة المستمر بمراكز توزيع المفاتيح (KDCs).

وفقاً لورقة CycleGAN الأصلية بواسطة Zhu وآخرون (2017)، يتطلب التكيف الناجح بين المجالات تمثيلاً قوياً للميزات عبر البيئات. وبالمثل، يمكن نظام الرموز في المعهد من تمثيل الهوية بشكل آمن عبر مواقع الحوسبة غير المتجانسة. يوفر الأساس الرياضي لـ Kerberos، المستند إلى اختلافات بروتوكول Needham-Schroeder، أماناً تشفيرياً مثبتاً بينما يضيف التنفيذ هندسة أنظمة موزعة عملية.

يُظهر النشر عبر ثلاث تجارب رئيسية قابلية النظام للتوسع وموثوقيته. هذا الإنجاز ملحوظ بشكل خاص نظراً لكثافة الحوسبة لأحمال عمل فيزياء الطاقة العالية، التي غالباً ما تتضمن معالجة بيتابايتات من البيانات عبر آلاف عقد الحوسبة. يشير النجاح في المعهد إلى أن النهج المماثل القائم على الرموز يمكن أن يفيد مجتمعات الحوسبة العلمية الأخرى التي تواجه تحديات المصادقة الموزعة.

8. التطبيقات المستقبلية

يحتوي إطار عمل رموز Kerberos في المعهد على عدة اتجاهات واعدة للتطوير المستقبلي:

• الاتحاد مع الشبكات العالمية: توسيع قابلية التشغيل البيني للرموز مع WLCG وشبكات البحث الدولية الأخرى
• التكامل مع السحابة: تكييف نظام الرموز لبيانات السحابة الهجينة ومزودي السحابة التجارية
• تعزيز البلوك تشين: استكشاف إدارة الرموز القائمة على البلوك تشين لتحسين القابلية للتدقيق واللامركزية
• أحمال عمل التعلم الآلي: توسيع الدعم لأطر التعلم الآلي الموزعة التي تتطلب مصادقة آمنة
• التشفير المقاوم للكم: الاستعداد لخوارزميات التشفير ما بعد الكم في أمان الرموز

9. المراجع

1. تقرير التصميم التقني لـ WLCG، شبكة الحوسبة العالمية لمصادم الهادرونات الكبير، 2021
2. Neuman, B. C., & Ts'o, T. (1994). Kerberos: An Authentication Service for Computer Networks. IEEE Communications
3. توثيق نظام تخزين EOS، CERN، 2022
4. توثيق XRootD، 2023
5. تعاون LHAASO. (2020). مرصد الحمام الهوائي على ارتفاعات عالية
6. تعاون BES III. (2022). التقرير التقني لتجربة المطياف في بكين
7. تعاون HERD. (2021). نظرة عامة على مهمة كشف الإشعاع الكوني عالي الطاقة
8. توثيق نظام ملفات Lustre، 2023
9. توثيق AFS، IBM، 2022
10. توثيق XCache، 2023
11. Zhu, J. Y., Park, T., Isola, P., & Efros, A. A. (2017). Unpaired Image-to-Image Translation using Cycle-Consistent Adversarial Networks. IEEE ICCV