1. INFN AAI
Verso una AAI in ambito
nazionale
Enrico M.V. Fasanelli
Francesco M. Taurino
Gennaro Tortone

2. INFN AAI - Verso una AAI in ambito nazionale Agenda
 Perché una AAI INFN
 Il preinstallato
 Armonizzazione delle AAI di sede
 Il progetto AAI

3. INFN AAI - Verso una AAI in ambito nazionale Perché una AAI INFN
 INFN vs INFN
 Omogeneità di accesso ai dati (almeno quelli
pubblicabili) degli utenti e degli host
 Web applications/Web Tools centralizzati
 Accesso autenticato ed autorizzato ai servizi di rete
di sedi differenti da quella di appartenenza
 INFN vs “resto del mondo”
 Interfaccia unica verso realtà esterne (Labs & Co.)

4. INFN AAI - Verso una AAI in ambito nazionale Requisiti
 AAI gerarchica
 Autonomia amministrativa e gestionale delle
sedi
 Accesso “sicuro”
 Compatibile con i sistemi di Autenticazione in
uso nelle sedi (o almeno con quelli “sicuri”)
 Kerberos5
 Certificati X.509

5. INFN AAI - Verso una AAI in ambito nazionale
In una parola…
LDAP

6. INFN AAI - Verso una AAI in ambito nazionale Pianificazione
 Se potessimo partire da zero…
infn
lecce bari napoli catania

7. INFN AAI - Verso una AAI in ambito nazionale Il preinstallato
“Dio riuscì a completare la creazione in soli sette giorni perché non dovette gestire il
preinstallato. (?)”
 Un Directory Service, almeno due possilibi scelte per la
definizione del baseDN:
 C=IT, O=INFN, L=Lecce
• Country, Organization, Locality (default in Lotus Domino, Sun Java
DS, Novell eDirectory)
 DC=le, DC=infn, DC=it
• Domain Component (default in Tivoli DS, AD, OpenLDAP, Fedora
DS)
 Un naming schema, diverse soluzioni
 Active Directory
• sAMAccountName
 OpenLdap/Fedora DS
• uid

8. INFN AAI - Verso una AAI in ambito nazionale Schemi adottati fino ad ora I
 INFN Certification Authority
 C=IT, O=INFN, CN=INFN CA
 Certificati personali ed Host
 C=IT, O=INFN, OU=Personal Certificate, L=Lecce, CN=Enrico
M. V. Fasanelli
 C=IT, O=INFN, OU=Host, CN=web.le.infn.it
 CNAF
 C=IT, O=INFN,
• OpenLDAP, inetOrgPerson, posixAccount schema
 BA
 DC=ba, DC=infn, DC=it
• OpenLDAP, inetOrgPerson, posixAccount schema

9. INFN AAI - Verso una AAI in ambito nazionale Schemi adottati fino ad ora II
 FI (Active Directory)
 DC=fi, DC=infn, DC=it
• AD schema
 TS
 DC=ts, DC=infn.it
• OpenLDAP, inetOrgPerson, posixAccount + OID privati
 FE
 DC=fisica, DC=ferrara
• OpenLDAP, inetOrgPerson, posixAccount
 LE, NA
 C=IT, O=INFN, L=Lecce (L=Napoli)
• Fedora DS, inetOrgPerson, posixAccount ( + OID privati?)

10. INFN AAI - Verso una AAI in ambito nazionale Problemi operativi
 Tutto “standard” ma scarsa interoperabilità
 Configurazione complessa dei clients
dc=ts,dc=infn.it,ou=people/sub/uid=?
C=IT,OU=INFN,L=Lecce,ou=People/sub/uid=?

11. INFN AAI - Verso una AAI in ambito nazionale Armonizzazione
 Evidente la necessità di unificare le interfacce
 Si definisce uno “standard” e tutti si adeguano
(fattibile in linea di principio, ma di fatto
improponibile)
 Si usa uno “strato” che riesca a “mascherare”
opportunamente i differenti formati e li presenti in un
unico modo.

12. INFN AAI - Verso una AAI in ambito nazionale Directory Virtuale
 Sistema SW che permette di presentare,
attraverso una interfaccia unica (e quindi in
modo omogeneo) i dati offerti da Directory
Servers (ed eventualmente altri sistemi, come
NIS o DB)

13. INFN AAI - Verso una AAI in ambito nazionale Il progetto
 Due fasi
 Consolidamento delle AAI di sede
 Costituzione della AAI INFN
Start +6 mesi +12 mesi

14. INFN AAI - Verso una AAI in ambito nazionale AAI di sede
 Armonizzazione dei DIT nascenti
 Definizione di un naming comune
• C=IT, O=INFN
 Eventuale definizione di OID privati
• Prefix: iso.org.dod.internet.private.enterprise (1.3.6.1.4.1)
• 10403 Istituto Nazionale di Fisica Nucleare
• infnPerson, infnRole, ecc.
 Supporto alla implementazione
• Documentazione, corsi, ecc.

15. INFN AAI - Verso una AAI in ambito nazionale AAI INFN
 Valutazione di alcuni Virtual Directory Server
 Pubblico Dominio
• Penrose Virtual Directory Server
 A pagamento
• Oracle VDiS, Tivoli VDiS, …
 Definizione dell’architettura del servizio
 Ridondato, fault-tolerant
 Aggancio del VDS alle AAI di sede

16. INFN AAI - Verso una AAI in ambito nazionale
?