Korean Access Federation; 2018 Update Jinyong JO jiny92@kisti.re.kr 25 th Oct., 2018
Background 연합인증 (Federated Authentication) 보안도메인간사용자인증 / 인가체계및방법 계정연합 /ID 연합 (ID Federation) 동일한연합인증정책을준용하는보안도메인의집합 자세한내용은다음주소를참조 https://www.kafe.or.kr 소속기관의내 ID 로기관외부웹응용을이용
Background (Contd.) 소속기관의내 ID 로기관외부웹응용을이용 Identity provider (IdP) 소속기관 ( 인증 ) SAML over HTTP/SOAP ( 인증및속성정보전달 ) Service provider (SP) 외부기관 ( 인가 ) 상대방을어떻게믿을수있는가? Metadata 교환
GEANT Compendium https://compendiumdatabase.geant.org/reports/nrens_services
Korea Access Federation KAFE 국내계정연합 ( 국내연구 / 교육기관, 국내외산업체대상 ) 국가과학기술연구망 (KREONET) 운영 History 14 15 16 17 PoC 학습, 파일럿 정책수립 (1 main,2 profiles) edugain 정회원자격확보 (2016 년 12 월, 아시아 2 번째 ) 프로덕션서비스 FaaS 서비스개시 (Federation as a Service) edugain: 국가간연합인증을가능케하는서비스 (GEANT 운영 )
KAFE (Contd.) edugain map (2015) REFEDS (HORIZON 2020 AARC Project 일환 ) map SIRTFI adoption (2017) edugain map
Growth 18 년도서비스규모 (17 년도대비 ) 40 54 entities (edugain 포함 ) 25 35 entities (KAFE Production Fed.) 서울대, 천문연등참여 8 만 23 만 federated users Pilot Production
Available App/Services https://www.kafe.or.kr/collaboration#/
Interoperation/Compliance KAFE SW package 적용완료 (2018 배포판 ) Inter-federation Research and scholarship category SIRTFI category Name format: 우리는 CN 만, 저들은 GN 과 SN 을 Compliance 정보통신망법 / 개인정보보호법 전자적사용자동의기능 edugain import policy 적용 ( 필터링자동화 ) Policy profile (on-going) KAFE baseline LoA 자체속성정의 ( 한글속성 ) KAFE 부가속성을추가적으로정의함 (https://www.kafe.or.kr/attributemap 참조 )
Operation/Monitoring 40 VMs on 9 Physical Machines (app server 포함 ) Vmware ESXi hosts 이용 High availability Best effort or with HAproxy (vcenter HA 또는 Kubernetes 로전환계획중 ) Weekly VM backup Host/process monitoring Zabbix 이용 Security concern Physical + Software firewall/ips OSSEC 과 Elastic stack 을이용해모니터링 Entity monitoring SSL, NTP, availability Usage status monitoring
Organization Support ID 제공자 simplesamlphp SAML 소프트웨어 KAFE staff 직접지원 (1-2 일 * 완료가능 ) * https://www.kafe.or.kr/services 구비시 서비스제공자 (SAML Integration) KAFE staff 간접지원 (1-6 개월소요 ) Shibboleth Apache (WS) and/or Tomcat (WAS) simplesamlphp PHP app on Apache (WS) Spring security SAML extension KAFE manpower 30~40% 소비 향후, 직접지원비중을줄이고업체통한자가개발유도예정
KAFE for Data Content E-Journal IEEExplore (2018.5) Elsevier - ScienceDirect, Mendeley (2018.9) Web of Science, ACM, etc. (on-going) 문제점 edugain 메타데이터이용불가 (opt-in policy, 국내법등 ) Bi-lateral agreement, 시간이오래걸림 ( 최소 3~6 개월 ) 3 자 (ID 제공자, 서비스제공자, KAFE) 간모두연동필요 비상용응용의경우, ID 제공자와서비스제공자가직접연동되지않음 사용자별이용통계수집불가 edupersontargetedid 또는 edupersonentitlement 만수집 계획 KAFE IdP SW package 에이용통계수집 SW 추가예정
KAFE for Data Science Open Data Platform( 가칭 ) OpenAIRE-like 데이터수집및분석플랫폼 Spring security SAML 연동및인증기능검증완료 당해년도 KAFE 등록기대 연구데이터플랫폼 ( 가칭 ) 연구도메인별특화된데이터 Repository(25 개연구원대상 ) 진행예정 NTIS( 과학기술지식정보서비스 ) 성과물등록서비스 성과물등록을위해최대 12 개응용서비스 ( 기관 ) 에사용자계정생성필요 연합인증 (NTIS 계정만사용 ) 을통해 ID/password fatigue 를줄이고자함 당해년도 2 개기관 (KISTI, KBSI) 연동완료기대 (11 월말예상 )
KAFE for Computational Science EDISON 계산과학플랫폼 (2018. 4) 계산과학시뮬레이션서비스 서비스접근성향상및타과학기술응용서비스와통합가능성제고목적 Shibboleth 와 Liferay plugin 제공 MathWorks MathWorks Korea 의요청에의해진행 연합인증을통한 Mathlab 이용환경제공 진행중
Problems of SAML integration 웹서비스제공환경의이질성 Apache Web Server + Tomcat WAS(Web Application Server) JEUS WAS WebtoB Web Server + JEUS WAS Tomcat only 전자정부프레임워크 (Java Spring Framework) 기존로컬인증체계 (SSO 등 ) 와충돌 개발자숙련도문제 통합방법 Shibboleth + mod_ajp( 상대적으로쉽지만적용가능대상이많지않음 ) Spring security SAML extensions
Architectural Change Full mesh to Hybrid Full mesh with hub-and-spoke 이유 (SP) 유관소프트웨어산업기술력낮음 (IDP) 기관 IT 부서의개발 / 구축능력편차심함 (TTF) 기술지원부하경감 방향 종단은가볍게, 중앙은무겁게 IdP Hub SP Full mesh Hub-and-spoke Hybrid architecture
Hub Development Research Collaboration Zone Hub 시스템의이름 3 년개발계획중 1 년완료 Reference model: NSF CILogon 프로젝트 User/Organization feedback OIDC adoption SAML 이너무어려워요. 시스템통합하는데시간이너무많이걸려요. 내년에도기관지원을해야하나요? Social login 우리는소셜로그인을이용할거에요. 그런데통합비용이비싸요. Attribute(group/entitlement) management Openstack group 관리하는방법이있나요? 상용서비스는이용권한제어가어렵네요 ( 이용권한을부여하고싶은데 all or nothing 이네요 ). Our need Non web browser apps (e.g., SSH)
Research Collaboration Zone Key challenging Token translation SAML OIDC/OAuth/REST Component interfacing/control Social login, IdP proxying, Attribute authority, SAML-OIDC proxying, User consent, Embedded discovery, etc
rzone Architecture
1 st year Output OIDC adoption OIDC provider: pilot ready Social Login Google (NIST LoA 0) Naver (LoA 문제발생시, ORCID 로변환계획 ) 회상회의 (Webmeet, Webinar) 서비스 Social login 허용예정 GRAM attribute management Entitlement-based access control Vidyo 서비스 ( 화상회의 ) 대상서비스적용 Attribute-based Access Control Attribute Authority (KAFE GRAM) OIDC client registration Social login support
rzone Next Non-web 환경지원 (-2020) X.509, SSHkey 예정 Oauth for Myproxy, SSH key management, ECP(Enhanced Client or Proxy) 대상기술분석중
Etc. KAFE portal update 연구협업응용서비스 계정연합서비스 회원기관등급별서비스이용기준차별화 개인화 도메인통합 중립성확보차원 {coreen, kafe}.kreonet.net kafe.or.kr
To-do E-journal/ 교육용온라인서비스수용확대 OIDC 관련기능프로덕션화 OIDC 및 GRAM 관련 Best Practices 확보 JupyterHub, Kubernetes, OpenStack 대상 Non-Web 지원시스템프로토타입개발 SSH Key and/or X509 PKI