18、生产网格的实施与部署

生产网格的实施与部署

1. 建立运营证书颁发机构（CA）

1.1 基本步骤

• 选择CA软件 ：选择或识别一个证书颁发机构（CA），为用户和主机颁发Grid X.509身份证书。IPG和DOE Science Grids都使用Netscape CMS软件作为其运营CA，因为它是一个成熟的产品，具有可扩展的使用模型，能很好地满足科学虚拟组织（VO）的需求。
• 理解CA的证书实践声明（CP） ：确保理解与CA的CP相关的问题。CP决定了颁发证书所需的身份验证性质，这是决定谁愿意接受你的证书作为资源访问的充分身份验证的主要因素。更改CP的这方面内容可能意味着不仅要重新颁发所有证书，还要求所有用户重新申请证书。
• 参考标准CP ：不要试图自己创建CP。全球网格论坛（GGF）正在制定一套标准的CP作为模板，DOE Science Grid也开发了支持国际合作的CP。
• 明确证书颁发对象 ：仔细考虑需要颁发证书的实体范围，通常包括人类用户、主机（系统）、服务（如GridFTP）和可能的安全域网关（如PKI到Kerberos网关KX509）。每个实体都必须在CA的CP/CPS中有明确的政策和程序描述。
• 与其他CA互操作 ：如果计划与其他CA互操作，应尽快开始讨论统一CP和证书实践声明（CPS），因为这可能是一个漫长的过程。
• 建立并发布Grid CP ：尽快建立并发