Druck Version

Beantragung eines signierten Grid-Zertifikats

Da die Authentifikation und Autorisierung der im Grid-Bereich tätigen Personen und Ressourcen über eine sog. Public Key Infrastructure (PKI) durchgeführt wird, werden für die Teilnahme am Grid Computing Zertifikate benötigt, die den Vorschriften der European Policy Management Authority for Grid Authentication in e-Science (EUGridPMA) genügen. Durch die Zusammenarbeit der EUGridPMA mit den entsprechenden Vereinigungen für den amerikanischen (TAGPMA) und asiatisch-pazifischen (APGridPMA) Raum werden diese Zertifikate im wissenschaftlichen Bereich weltweit akzeptiert.

Für Deutschland sind die DFN-Verein und das Forschungszentrum Karlsruhe (FZK) Mitglied der EUGridPMA. Diese betreiben eine sog. Certification Authority (CA), die berechtigt ist, eine Zertifizierung auf Grundlage der EUGridPMA-Vorgaben vorzunehmen. Um ein elektronisches Zertifikat verlässlich mit einer Person oder einer Ressource zu identifizieren, ist es notwendig, das der Zertifikatsinhaber bzw. ein Ressourcenverantwortlicher persönlich bei einer dieser CAs erscheint und sich mittels eines Ausweispapiers authentifiziert.
Um diesen Vorgang für die Nutzer zu vereinfachen, wurden sog. Registration Authorities (RA) eingerichtet, die diesen Vorgang im Auftrag der CAs übernehmen können. Das LRZ ist akkreditiert, eine RA in Rahmen der DFN-PKI zu betreiben, die neben dem LRZ auch für die drei Münchner Universitäten zuständig ist.

Neben diesen klassischen X.509 Zertifikaten können auch kurzlebige Zertifikate benutzt werden. Diese können vom "Short Lived Credential Service", SLCS, des DFN abgerufen werden, wenn Ihre Institution einen sog. Identity Provider beim DFN registriert hat. Der Vorteil ist, dass Sie dann die Zertifikate bequem vom Schreibtisch aus ordern können, ohne extra eine RA aufsuchen zu müssen. Der Nachteil liegt in der auf ca. 11 Tage begrenzten Gültigkeit der Zertifikate.

Beantragung von kurzlebigen Zertifikaten

Sie müssen nur zum SLCS des DFN surfen und den Anweisungen dort folgen. Viele Eingaben kann Ihr Web-Browser für Sie speichern, sodass Sie beim nächsten Aufruf kaum mehr etwas eingeben müssen. Dieser flash Film (mit englischer Tonspur!) erklärt, was hinter den Kulissen passiert.

Erzeugung eines Zertifikatsantrags

Um ein Zertifikat zu erhalten, muss zunächst ein Zertifikatsantrag erstellt werden. Am einfachsten wird dazu ein Browser verwendet, mit dem Zertifikate erzeugt werden können, wie etwa Firefox 3.0 or höher (3.5 empfohlen). Dazu sind die folgenden Schritten notwendig:

Das Zertifikat extrahieren

Um Ihr Zertifikat aus dem Browser zu extrahieren, führen Sie die folgenden Schritte aus:

Das Zertifikat mit Globus benutzen

Für diesen Schritt sollten Sie ein Terminal-Fenster öffnen und sicherstellen, dass Sie OpenSSL installiert haben, das Sie von der OpenSSL Website bekommen können. Gehen Sie zu dem Verzeichnis, in dem Sie die usercert.p12-Datei gespeichert haben und tippen Sie die folgenden Kommandos ein: Die Dateien usercert.pem und userkey.pem sollten im .globus-Verzeichnis in Ihrem Home-Verzeichnis abgelegt werden (UNIX-Maschine). Auf einer Windows-Maschine befindet sich das entsprechende Verzeichnis unter
\Documents and Settings\{Your Username}\.globus

p12 Datei von den pem Dateien:

openssl pkcs12 -export -inkey userkey.pem -out gsisshterm.p12 -name "Firstname Lastname" -in usercert.pem

Hinweise zum Umgang mit dem privaten Schlüssel eines persönlichen Zertifikats

Der private Schüssel ermöglicht Ihre Identifikation im Grid. Das bedeutet, dass eine Person, die in den Besitz Ihres privaten Schlüssels gelangt, sich für Sie ausgeben kann. Stellen Sie deshalb unbedingt sicher, dass der private Schlüssel ausschließlich Ihnen allein zugänglich ist. Auf Linux-Systemen etwa sind alle Zugriffsrechte für group oder other zu löschen. Geben Sie das Passwort für ihren privaten Schlüssel an keine anderen Personen weiter und sorgen Sie dafür, das es auch nicht aus Versehen in falsche Hände geraten kann.

Die Gültigkeitsdauer für DFN-Zertifikate beträgt standardmäßig ein Jahr und muss danach auf die beschriebene Weise erneuert werden. Falls das bereits vorgelegte Ausweisdokument noch gültig ist, ist ein nochmaliges Erscheinen am LRZ nicht notwendig.

Falls Sie weitere Fragen haben, wenden Sie sich bitte an das LRZ Grid Team.

Darüber hinaus ist es ratsam, sich mit der Funktionsweise einer PKI vertraut zu machen (Policies, CRLs, etc.). Allgemeine Informationen zu Zertifikaten und der Zertifizierung gibt es u.a. am LRZ (Verschlüsselung, digitale Signaturen, Zertifizierung) bzw. beim DFN.

Impressum, Anton Frank, Mon Sep 6 14:06:27 MEST 2010