Wybór technologii OpenStack Keystone jako centralnego komponentu zarządzania tożsamością
W ramach kolejnej fazy koncepcyjno-analitycznej Zadania 4 w projekcie Next Gen Cloud (inicjatywa IPCEI-CIS), zespół Oktawave realizował prace związane z przebudową architektury zarządzania tożsamością. Wnioski z opracowania prototypowego modelu integracyjnego przesądziły o wyborze nowej technologii bazowej dla warstwy IAM (Identity and Access Management).
Główny cel projektowy to przygotowanie architektury pod budowę uniwersalnej, federacyjnej bramy autoryzacyjnej. Rozwiązanie ma zapewnić obsługę środowisk multi-cloud oraz integrację z zewnętrznymi dostawcami infrastruktury.
Analiza porównawcza i decyzja architektoniczna: OpenStack Keystone
Zespół B+R przeprowadził analizę architektoniczną dotychczasowego systemu tożsamości pod kątem wydawania i walidacji tokenów, obsługi federacji oraz zgodności z wymogami wysokiej dostępności (HA). Równolegle wykonano analizę porównawczą dostępnych rozwiązań open source klasy Identity Service. Kryteriami wyboru były: pełna zgodność ze standardami OAuth 2.0, OpenID Connect (OIDC) i SAML 2.0, a także elastyczność wdrażania modeli kontroli dostępu (RBAC i ABAC).
Analizy wykazały, że optymalnym rozwiązaniem dla warstwy tożsamości jest implementacja technologii OpenStack Keystone. Główne wyróżniki tej technologii to:
- Natywne wsparcie dla federacji tożsamości: umożliwia bezproblemową integrację z zewnętrznymi dostawcami tożsamości (IdP) w oparciu o protokoły SAML 2.0 i OIDC.
- Wielodomenowe zarządzanie tenantami: umożliwia logiczne, w pełni izolowane modelowanie struktur organizacyjnych w chmurze.
- Architektura separacji warstw: spełnia kryteria projektowanej bramy autoryzacyjnej typu proxy/broker, rozdzielając procesy autoryzacji od bezpośredniego przetwarzania danych.
- Szeroka adopcja w UE: powszechna obecność Keystone w ekosystemie europejskich dostawców chmurowych minimalizuje ryzyko technologiczne i znacząco zwiększa interoperacyjność systemu.
Koncepcja bezprzerwowej migracji i modelowanie bezpieczeństwa
W oparciu o OpenStack Keystone zespół opracował koncepcję migracji z dotychczasowego mechanizmu uwierzytelniania do nowej architektury. Celem było zachowanie ciągłości działania usług w trakcie procesu migracji. Przeanalizowano również wpływ rekonfiguracji warstwy tożsamości na procesy replikacji danych między centrami danych (realizowane w ramach Zadania 1).
W efekcie powstał wstępny projekt architektury referencyjnej federacyjnej bramy tożsamości z wykorzystaniem Keystone. Zdefiniowano kluczowe wymagania bezpieczeństwa (w tym mechanizmy MFA, zasady rotacji kluczy i zarządzania tokenami) oraz przygotowano analizę potencjalnych ryzyk wdrożeniowych wraz ze scenariuszami testowymi.esty potwierdziły możliwość ich poprawnej integracji oraz działania w środowisku systemu.
Podsumowanie etapu i kolejne kroki
Zrealizowane prace analityczno-badawcze potwierdziły zasadność wyboru nowej technologii bazowej. Dalsze działania w ramach Zadania 4 obejmują:
- Opracowanie i zatwierdzenie docelowego projektu architektury systemu IAM.
- Zaprojektowanie szczegółowego modelu tożsamości i autoryzacji (RBAC/ABAC) oraz integracji z zewnętrznymi dostawcami IdP.
- Przygotowanie środowiska testowego Proof of Concept (PoC) i wstępną instalację komponentów Keystone w celu walidacji przyjętych założeń.
- Opracowanie szczegółowej metodyki testów integracyjnych i weryfikacyjnych.
O projekcie
Projekt Next Gen Cloud realizowany jest w ramach europejskiej inicjatywy IPCEI (Important Projects of Common European Interest), której celem jest rozwój nowoczesnej, interoperacyjnej i suwerennej infrastruktury chmurowej w Europie.
Ostatnie wpisy
Może zainteresują Cię także…
