Federating ID for R&D Services Jinyong JO, jinyong.jo@gmail.com, KREONET/KISTI 8. Oct. 2015 Korea Supercomputing Conference
Background Resource Challenges 경쟁력향상을위해기관간연구자원의공동활용과협업이필요 Resource 공유를위한선결조건은사용자인증및인가 - 관리해야하는사용자계정이증가 - 하나의계정만유지하는것이바람직 Resource share with one account
Scenario Kim, 독도대학교의전자과대학원생 빅데이터분석을위해 256 개의가상머신 (VM) 이필요함 하지만, 독도대학교에서지원가능한 VM 은총 56 개 Park, Kim 과연구협력, 마라도대학교소속 100 개의가상머신을 Kim 에게제공가능함 Lee, Kim 과연구협력, 백령도대학교소속 100 개의가상머신을 Kim 에게제공가능함 Kim s Univ. 56 VMs Access, AuthN & AuthZ require Park s Univ. 100 VMs Need to get 256 VMs Lee s Univ. 100 VMs
Solutions 1. Kim 의사용자계정을마라도대학교와백령도대학교에등록 - ( 사용자, 관리자측면 ) 계정관리의어려움 2. 독도대학교, 마라도대학교, 백령도대학교를 ID 연계 Kim 은독도대학교에만자신의디지털 ID 를등록 Kim 은독도대학교에등록된자신의사용자 ID 와비밀번호를이용해마라도대학교와백령도대학교에서제공하는가상머신서비스에로그인 Services and Materials (Kim s Univ.) Access with organizational username and password Services and Materials (Park s Univ.) Services and Materials (Lee s Univ.)
What is ID Federation? AKA, Federated Identity Management, Federated Access Management, etc. ID(Identity) management 사용자의디지털 ID 를생성하고디지털자원에대해접근권한을부여하는정책과기술들 Federated ID management 신뢰기관 (a trusted authority) 이다수의기관을대상으로 ID management 를확장하는개념예 ; 한 Federation 내에서서비스제공자가 ID 제공자가공급하는사용자인증과속성값을이용해보유자원을제공하는방식
Big Picture for ID Federation - Trusted relationship - 규정된정책에따라사용자속성 ( 예 ; 이름, 직책, 이메일등 ) 을회원기관과공유 사용자인증과접근권한에대한인가를용이하게함 Federation Service Provider(Trusted Authority) ID Providers Circle of Trust User attributes Service Providers A B C ㄱㄴㄷ Kim@A.Org. Park@B.Org.
Big Picture for ID Federation - System perspective - SAML(Security Assertion Markup Language) OASIS 국제표준, XML 기반으로서인증의사결정 (Assertion) 을전달 Metadata 접속 URL 주소, 공개키등의시스템정보를담고있는 XML 파일 A 1. Entity metadata 등록 Federation Service B 1. Entity metadata 등록 C Provider(Trusted Authority) A B C ㄱㄴㄷ A B C metadata metadata ㄱㄴㄷ 2. Federation metadata 등록 A B C ㄱㄴㄷ ㄱㄴㄷ ID 제공자 3. SAML request/response 서비스제공자
A SAML Profile - Web SSO - ID Federation 은일반적으로 Web SSO profile 을따름 Web SSO profile 은총 12 개가존재가능 < 이미지소스 : PingFederate.com>
How does it work? - User perspective - 1. Kim( 독도대학교 ) 이연합멤버인마라도대학교의보호자원 ( 서비스 ) 을요청 2. Kim은자신의소속기관을선택하고자원접근을요청 3. Kim의요청은독도대학교로전송, 독도대학교에서사용자인증을수행 4. Kim이정보제공에동의할경우, 사용자속성값 (e.g., 이름, 이메일등 ) 이마라도대학교의서비스로전달 5. 마라도대학교의서비스는속성값등을이용해접근허가또는거부를결정 2 독도대학교 1 5 Kim@ 독도대학교 서비스 @ 마라도대학교 3 4 독도대학교
Who is doing it? History Shibboleth project 시작 [1999] Attributes shared between institutions 처음으로 ID federation 시작 ( 유럽 )[2001] MS Passport vs Liberty Alliance (Open specification) 미국 e-government 의시스템구성요소로개발, a federated PKI bridge[2002] 선도국파일럿서비스개시 [2005-2008] 미정부 Privacy Green Paper 배포 [2010] 국가간 ID 연계 (edugain) 서비스제공중 [2015] Status[2015] 국가연구망중심으로 61 개페더레이션운영중 40 개페더레이션은국가간페더레이션에참여 Federation service provider Incommon/ Internet2 SURFconext/ SURFnet Gakunin/ NII ID providers Service providers Total users Etc. 500 member orgs. 204 Cloud services 7.5 million commercial 112 150 Cloud services 90% academic orgs. 170 100 Information services AAF 50 100 information and Cloud services 90% national universities commercial
How about us? KREONET/KISTI, 프로토타입검증 [2014] 1 ID 제공자, 4 서비스제공자 KAFE, 국가단위 ID 페더레이션연합체등록 [2015.4] KAFE 파일럿서비스개시 [2015.9] www.coreen.or.kr 2 ID 제공자, 8 서비스제공자 edugain 참가 [2016.3Q]
What federation applications? 온라인협업 화상회의, 파일저장및공유등 Globus online, HUBzero, Alfresco, OpenSocial framework Backend repository, Wiki, 교육및연구 E-journal Research 툴, 학습관리시스템 (LMS) 온라인공개강좌 (MOOC), 정보자원공유 의학데이터베이스, 법률정보공유, ELIXIR(European Life Science Infra. For Bio Info), 과학기술 고성능컴퓨팅, 생명과학가시화툴 (Indiana Univ.) TeraGrid, LHC Computing Grid, LIGO(Laser Interferometer Gravitational-wave Observatory) 기타 Medical billing syst.(aetna),
Why is it significant? ID 관리의효율성 하나의사용자 ID 와비밀번호로다수의응용을이용 사용자 DB 관리의간소화및자원접근에대한효율화 관리업무의효율성 외부기관과의 ( 서비스이용등을위한 ) 계약관련업무최소화 신규 IT 인프라구축의용이성 Play a key role in using cloud computing 보안및개인정보보호강화 사용자계정의중복 (DB) 관리불필요 개인정보보호법등법령준수용이 연구협업의효율화 자원공유를통한비용절감 97% SaaS 제공자가 Federation-ready( 미 )
Downside 신규시스템의구축또는기존응용의수정으로인한비용 기관내부정책수립및유지관리를위한비용 접근권한및규제준수와관련된내부정책수립필요 페더레이션서비스의느린확산 Chicken-and-egg conundrum IdP system Web-based service Organizational user database ID provider Service provider
Conclusion ID 페더레이션 ID 관리용이성및이용편의성제공 외부자원에대한공동활용 보안및개인정보보호의강화 국내 SW 산업육성에기여 For more information, Visit www.coreen.or.kr, or Contact coreen@kreonet.net
Reference EDUCAUSE, 7 things you should know about Federated Identity Management, 2009. C. Philips, et.al., The value proposition for Identity federations, 2015. S. Landau, et.al., Economic tussles in federated identity management, 2011.