Объединенная группа по безопасности (Joint Security Policy Group)

Объединенная группа по безопасности

(Joint Security Policy Group)

Общие правила и процедура регистрации сайтов

1  Введение

Политика оперативной безопасности проекта LCG/EGEE возлагает ответственность за безопасность на всех участников. Данный документ, описывающий общие правила и процедуру регистрации сайтов, направлен на то, чтобы провайдеры имели полное понимание круга своих обязанностей и чтобы они обладали всей информацией для надлежащего выполнения этих обязанностей. Данная процедура также имеет целью хранение на уровне Операционного центра Грид (Grid Operation Centre – GOC)[1] информации о действующих администраторах ресурсов (Resource Administrators) и представителях сайта по безопасности (Site Security Contacts), так что Центр базовых грид сервисов (Core Infrastructure Center – CIC)[2] и Региональный операционный центр (Regional Operations Centre)[3] могли бы оперативно принять меры в случае появления изменений в предоставлении сервисов или возникновения проблем.

Настоящий документ не имеет отношения к вопросам разрешения споров и исключения сайта из Грид-инфраструктуры.

2  Определения

Грид сервис (Grid Service) - компьютерное оборудование и программное обеспечение, предоставляемое пользователям Грид через интернет. Грид сервис включает в себя (но не ограничивается ими) интерфейсы пользователя (User Interfaces), элементы компьютинга (Computing Elements), информационные сервисы (Information Services), протоколирование и учет (Logging and Bookkeeping service), ресурс-брокеры (Resource Brokers), каталоги реплик (Replica Catalogues), элементы хранения данных (Storage Elements) и сервисы управления виртуальными организациями (Virtual Organization Management Services).

Сайт (Site) - набор Грид-сервисов, предоставляемых организацией.

Представитель сайта по безопасности (Site Security Contact) - человек, действующий в качестве контактного лица в случаях инцидентов, относящихся к вопросам компьютерной или сетевой безопасности[4].

Ресурсы Грид (Grid Resources) сайта - оборудование, программное обеспечение, данные и вспомогательная инфраструктура, необходимые для осуществления Грид сервисов на сайте.

Администратор ресурсов (Resource Administrator) Грид сервиса - лицо, ответственное за предоставление и поддержку Грид сервисов на сайте.

Менеджер Регионального операционного центра (ROC manager) оказывает содействие сайтам при развертывании промежуточного программного обеспечения и при внедрении оперативных процедур. Он/она обеспечивает надлежащую поддержку сайтам в процессе развертывания и функционирования, а также соблюдение оперативных процедур и регламента в регионе.

Менеджер сайта (Site Manager) - лицо, несущее общую ответственность за работу сайта.

Представитель организации (Institute Representative)[5]- лицо в организации-работодателе пользователя, могущее подтвердить информацию о пользователе, идентифицировать пользователя, а также подтвердить его (ее) право стать (либо оставаться) членом Виртуальной организации.

3  Общие требования при регистрации сайта

Регистрационная информация

До того, как сайт-кандидат сможет принять участие в работе Грид, ДОЛЖНЫ быть представлены следующие данные:

1)  Полное название организации.

2)  Сокращенное название сайта для публикации в информационной системе.

3)  Имя, электронный адрес и номер телефона менеджера сайта.

4)  Имя, электронный адрес и номер телефона представителя сайта по безопасности.

5)  Электронный адрес списка рассылки для связи с администраторами ресурсов сайта.

6)  Электронный адрес списка рассылки для связи с группой обеспечения безопасности сайта.

7)  Название Регионального оперативного центра, обеспечивающего поддержку сайта.

Информация в пунктах 4 и 6 данного списка будет известна лишь менеджеру сайта, сотрудникам группы безопасности Грид, соотвествующему Региональному операционному центру (ROC) и Операционному центру Грид (GOC). Остальная информация хранится в базе данных GOC в открытом доступе[6].

В пунктах 3 и 4 списка, может быть указано несколько человек, тем не менее лица, указанные первыми, являются отвественными исполнителями.

Для менеджера ROC (либо лица, его заменяющего) должно быть достаточно факта, что назначенный менеджер сайта-кандидата имеет достаточные полномочия руководить сайтом. Последний должен будет подтвердить информацию о сайте-кандидате (именя, элктронные адреса и номера телефонов).

Менеджер ROC имеет право запросить письменное подтверждение полномочий менеджера сайта от главы организации/института.

Соглашение о соблюдении правил.

Назначенный менеджер сайта-кандидата ДОЛЖЕН представить заявление (подписав его с использованием личного сертификата), что все пользователи, администраторы и другие сотрудники сайта будут проинформированы и согласны соблюдать все соответствующие правила пользования Грид[7].

Представитель сайта по безопасности и члены группы безопасности будут проинформированы и согласны соблюдать Правила реагирования на инциденты, связанные с безопасностью проекта LCG/EGEE (LCG/EGEE Security Incident Response procedures)4 и соответствующее Руководство по использованию Грид (Open Source Grid (OSG) Guide)[8].

Оперативные требования

Сайты ДОЛЖНЫ поддерживать виртуальную организацию DTEAM.

4  Процедура регистрации

Шаги:

Администратор ресурсов и менеджер сайта-кандидата должны получить персональные сертификаты, выданные уполномоченным Органом сертификации (Certification Authority - CA). Указанные сертификаты будут использоваться для доступа к базе данных Операционного центра Грид (GOC), регистрации в виртуальной организации DTEAM и запуска задач в Грид для тестирования конфигурации сайта. Менеджер сайта-кандидата должен связаться с соответствующим Региональным оперативным центром (ROC)[9], представив информацию, требуемую в п. п. 1-3 регистрационных данных, и заявление о соблюдении правил. В случае соответствия кандидата-сайта требованиям, менеджер Регионального оперативного центра (ROC) может создать записи для нового сайта в базе данных GOC. В случае отсутствия Регионального оперативного центра запрос менеджеру GOC приходит от оперативного менеджера проекта. Права на изменение записи будут даны менеджеру сайта, администратору ресурсов и менеджеру ROC. На данном этапе статус сайта будет отмечен как "кандидат" ("candidate"). Администратор ресурсов сайта-кандидата вводит недостающую информацию в базу данных GOC и запрашивает подтверждение Регионального операционного центра. В случае наличия всей требуемой информации менеджер ROC (или менеджер GOC в случае отсутствия ROC) изменяет статус сайта на "несертифицированный" ("uncertified")

5  Процедура сертификации сайта

По завершении процедуры регистрации, описанной выше, администраторы ресурсов сайта ДОЛЖНЫ:

Зарегистрироваться в виртуальной организации DTEAM с целью запуска тестовых задач, проверяющих правильность установки программного обеспечения на сайте. Связаться с соответствующим Региональным операционным центром и запросить полноценное тестирование установки программного обеспечения. Запросить дежурный Центр базовых Грид-сервисов (CIC-on-duty) провести дальнейшие тесты[10] до включения нового сайта в Информационную систему. Включение в Информационную систему повлечет за собой появление записи о сайте в соответствующем конфигурационном файле[11]. Региональный операционный центр изменяет статус сайта в базе данных GOC на "сертифицированный" ("certified"). С этого момента сайт появляется на странице ежедневного обзора функциональных тестов[12].

 

[1] См. определение Операционного центра Грид в http://goc. grid-support. ac. uk/gridsite/gocmain/whatisGOC. html

[2] http://cic. in2p3.fr

[3] Полное определение Регионального операционного центра см. вhttp://cern. ch/egee-sa1/Organisation. htm#roc

[4] Соглашение о реагировании на инциденты: http://edms. cern. ch/document/428035

[5] Цитируется по документу "Регистрация пользователей и требования к управлению членством в виртуальных организациях": http://edms. cern. ch/document/428034 .

[6] Адрес базы данных Операционного центра Грид (GOC) (доступ по личному сертификату, загруженному в браузер): https://goc. grid-support. ac. uk/gridsite/db/index. php.

[7] http://cern. ch/proj-lcg-security/sites/for_sites. htm и http://cern. ch/proj-lcg-security/documents. html.

[8] http://computing. fnal. gov/cgi-bin/docdb/osg_public/ShowDocument? docid=19

[9] Вы можете найти соответствующий Региональный операционный центр по адресу: http://cern. ch/egee-sa1/ROC-support. htm

[10] Оперативное руководство (Operations' Manual) описывает процедуру мониторироваия сайтов и набор функциональных тестов. См. http://lcgdeploy. cvs. cern. ch/cgi-bin/lcgdeploy. cgi/lcg-docs/EGEE-CIC-Operational-Manual/opMan. pdf

[11] BDII для всех сайтов находится по адресу: http://cern. ch/grid-deplyment/gid/lcg2-bdii/dteam/lcg2-all-sites. conf

[12] http://cern. ch/lcg-testzone-reports/cgi-bin/lastreport. cgi