Certificats dans globus Pour les utilisateurs et pour les serveurs Par défaut : délivrés par l autorité de certification Globus (US) Logiciel Globus peut utiliser d autres autorités de certification Décisions réunions CERN et Milan Ne pas utiliser Globus comme autorité de certification : on (Europe) a aucun contrôle et les procédures sont trop laxistes Utiliser les autorités de certification de la communauté existantes dans les différents pays Vérifier que ces autorités ont des procédures sécurisées Actuellement en France Utilisation de l autorité de certification CNRS-Test C=FR O=CNRS OU=Labo CN=Prénom Nom Email=Adresse électronique Sophie Nicoud et Jean-Luc Archimbaud Meeting WP6 Lyon 31/01/01 1
Procédure actuelle Certificat personnel Formulaire sur marianne.in2p3.fr Mail à Sophie Nicoud (valide la demande) et la transmet à l autorité d enregistrement de CNRS-Test (UREC Grenoble ou Paris) Formulaire sur services.cnrs.fr Intégrer le certificat dans Globus Procédure actuelle Certificat serveur Posséder un certificat personnel Formulaire sur marianne.in2p3.fr Intégrer le certificat dans Globus Procédure actuelle Certificat de l autorité de certification Lien sur marianne.in2p3.fr Intégrer le certificat dans Globus Sophie Nicoud et Jean-Luc Archimbaud Meeting WP6 Lyon 31/01/01 2
En mars avril : DataGrid France : un des sites pilotes pour l autorité de certification CNRS Arborescences d autorités de certification CNRS-Pilote o CNRS-Pilote-Standard o CNRS-Pilote-Plus o CNRS-Pilote-Projets : sera utilisée pour DataGrid Autorité d enregistrement : Sophie Nicoud (ou?) Procédures pour délivrer les certificats pourront peut-être être adaptées à Globus Certificats : C=FR O=CNRS ou EXTERNE OU=CNRS-Projet-DataGrid OU=labo Avantages d utiliser les autorités existantes : Ne pas refaire tout le travail d autorité de certification Avoir des procédures pour délivrer les certificats fiables et sécurisées : l autorité devrait facilement être acceptée par les autres pays et le CERN Sophie Nicoud et Jean-Luc Archimbaud Meeting WP6 Lyon 31/01/01 3
Intégrer les certificats dans Globus Procédure actuelle Certificat personnel Convertir le certificat format PKCS#12 au format PEM Obtenir le certificat utilisateur dans ~utilisateur/.globus/usercert.pem openssl pkcs12 clcerts -nokeys -in cert.p12 -out usercert.pem Obtenir la clé privé dans ~utilisateur/.globus/userkey.pem openssl pkcs12 -nocerts -in cert.p12 -out userkey.pem Le propriétaire et les droits d accès Utilisateur 400 pour userkey.pem Utilisateur 644 pour usercert.pem Sophie Nicoud et Jean-Luc Archimbaud Meeting WP6 Lyon 31/01/01 4
Intégrer les certificats dans Globus Procédure actuelle Certificat serveur Cp serveur.domaine.pem /deploy-dir/etc/globus-gatekeeper.key Cp serveur.domaine.crt /deploy-dir/etc/globus-gatekeeper.cert Le propriétaire et les droits d accès root 400 globus-gatekeeper.key root 644 globus-gatekeeper.cert Certificat de l autorité de certification Cp certca.pem /deploy-dir/share/certificates/1a8dd2c6.0 Cp certca.pem /install-dir/share/certificates/1a8dd2c6.0 Le propriétaire et les droits d accès globus 644 Pénible mais provisoire Sophie Nicoud et Jean-Luc Archimbaud Meeting WP6 Lyon 31/01/01 5
ca-signing-policy.conf # EACL entry #1 access_id_ca X509 '/Email=ca-administrateur@urec.cnrs.fr/CN=CNRS-Test/OU=UREC/O=CNRS/C=FR' pos_rights globus CA:sign cond_subjects globus ' "/*/OU=UREC/O=CNRS/C=FR""/*/OU=ISN/O=CNRS/C=FR""/*/OU=LPC/O=CNRS/C=FR" ' grid-mapfile " /CN=Sophie Nicoud/Email=Sophie.Nicoud@urec.cnrs.fr/OU=UREC/O=CNRS/C=FR" griduser " /CN=Yannick Legre/Email=legre@clermont.in2p3.fr/OU=LPC/O=CNRS/C=FR" yannick Et la liste de révocation? Sophie Nicoud et Jean-Luc Archimbaud Meeting WP6 Lyon 31/01/01 6