Fine-Grain Authorization for Resource Management in the Grid Environment
K. Keahey, V. Welch
在本文档中，我们描述了我们正在进行的工作，以实现资源管理的细粒度授权。特别是，我们解决了虚拟组织（VO）的需求，以执行自己的政策，除了那些资源所有者。
In this document we describe our work-in-progress for enabling fine-grain authorization of resource management. In particular, we address the needs of Virtual Organizations (VOs) to enforce their own policies in addition to those of the resource owners.
机构、总结、中文摘要均由AI分析而来，可能存在错误，请以论文正文为准。
继续探索
Fine-Grained Authorization for Job and Resource Management Using Akenti and the Globus Toolkit
随着网格范式被采用作为跨组织域共享远程资源的标准方式，对这些资源的细粒度访问控制的需求也在增加。本文提出了一种授权的解决方案，作业提交和控制，开发的一部分，国家融合协作实验室，使用Globus工具包2和Akenti授权服务，以执行细粒度的授权作业和资源管理请求在网格环境中。在作业启动时，它允许系统根据资源使用的授权策略评估用户的资源规约语言请求（确定用户可以在给定资源上使用多少CPU或内存，或者用户可以运行哪些可执行文件）。此外，基于授权策略，它允许其他虚拟组织成员管理用户的作业。
Fine-Grained Authorization for Job Execution in the Grid: Design and Implementation
在本文中，我们描述了我们的工作，使细粒度的授权资源的使用和管理。我们解决的需要，虚拟组织执行自己的政策，除了那些资源所有者，在资源消耗和作业管理。为了实现这一设计，我们提出了Globus Toolkit的版本2的资源管理机制的变化和扩展。我们描述的原型和政策语言，我们设计来表达细粒度的政策，我们提出了我们的解决方案的分析。
Authorization of Knowledge-base Agents in an Intent-based Management Function
针对6G下基于意图的管理系统中智能体细粒度授权难的问题，提出融合上下文、功能属性与智能体角色的增强授权框架，实现对知识图谱的最小权限动态策略访问控制。
Identity Management for Agentic AI: The new frontier of authorization, authentication, and security for an AI agent world
本OpenID Foundation白皮书探讨了AI代理在认证、授权和身份管理方面的紧迫挑战，概述了现有安全资源并提出战略议程，以解决未来自主系统的身份与访问控制基础问题。
Multi-party authorization and conflict mediation for decentralized configuration management processes
在具有最高安全性要求的网络中，配置管理不能仅依赖于一个管理员及其设备。否则，问题可能是由管理员的错误或恶意行为引起的，或者当她的计算机受到损害时，这允许攻击者滥用管理员的广泛权限。相反，我们建议使用由配置管理系统（CMS）编排的可靠且有弹性的配置管理过程。这可以通过关注点分离（建议配置与授权配置）、采用多方授权（MPA）以及强制执行仅可部署授权配置来实现。这导致配置管理过程分散在人的决策层和技术设备层。然而，由于不同的意见或敌对的干扰，MPA过程的结果可能会以冲突告终。这就提出了一个问题，即如何能够以比仅仅采用多数表决更好的方式调解这种冲突，因为在某些情况下，多数表决是不够的。作为一种替代方案，本文介绍了可定制的冲突调解策略，我们集成到我们的CMS TANCS的积木。冲突调解功能以及初始TANCS实现运行在分布式账本和智能合约框架Hyperledger Fabric之上，这使得所有流程都具有弹性和防篡改性。
A Community Authorization Service for Group Collaboration
在“网格”和“协作”中，我们发现资源提供者和资源消费者的分布式社区，其中通常复杂和动态的政策管理谁可以使用哪些资源用于何种目的。我们提出了一种新的方法来表示，维护和执行这些政策，提供了一个可扩展的机制，指定和执行这些政策。我们的方法允许资源提供商将一些维护细粒度访问控制策略的权限下放给社区，同时仍然保持对资源的最终控制。我们还描述了这种方法的原型实现和应用程序中的数据管理上下文中。
ToolFence: Fine-Grained Authorization for Secure Tool-Using LLM Agents
ToolFence通过类型化授权蓝图和确定性监视器实现细粒度来源感知授权，有效防御工具内间接提示注入，在AgentDojo上将攻击成功率降至近零且仅轻微影响效用。
Risk-Aware Fine-Grained Access Control in Cyber-Physical Contexts
用户对资源的访问可能只需要在某些条件和背景下才能被允许，也许特别是在网络物理环境中。不幸的是，在动态环境中创建和修改上下文敏感的访问控制解决方案会给管理授权上下文带来持续的挑战。本文提出了RASA，上下文敏感的访问授权方法和机制，利用无监督机器学习自动推断基于风险的授权决策边界。我们在医疗保健使用环境中探索RASA，其中网络和物理条件为保护私人健康信息创造了特定于上下文的风险。风险级别与安全策略建议的访问控制决策相关联。一个耦合的方法被引入到使用频率和共存的持续时间的上下文中的对象的共存跟踪，这些被聚类，以揭示具有共同的风险级别的动作集，这些被用来创建授权决策边界。此外，我们提出了一种方法来评估风险水平和标签的集群相对于其相应的风险水平。我们评估的承诺RASA产生的政策对一个启发式的基于规则的政策。通过采用三种不同的耦合特征（基于频率，基于持续时间和组合特征），无监督方法和策略的决策一致性超过99%。
Attribute-based Encryption for Attribute-based Authentication, Authorization, Storage, and Transmission in Distributed Storage Systems
基于属性的加密是一种加密形式，它提供了加密数据的能力，使得只有持有令人满意的属性配置的个人才能访问数据。随着云和分布式计算在私有和公共领域变得越来越普遍，基于属性的加密有可能解决在这些环境中实现安全身份验证、授权和传输的问题，在这些环境中，性能必须与安全性一起扩展，同时还支持大量消费者之间的细粒度访问控制。有了这项工作，我们提供了一个通用的可配置的无状态协议的安全基于属性的身份验证，授权，存储和传输在分布式存储系统的基础上基于密文策略的基于属性的加密（CP-ABE），讨论实现分布式存储系统的经验，围绕这个协议，并提出未来的工作途径，使这样的协议。这项工作的主要贡献是说明的一种手段，通过这种手段，任何CP-ABE系统可以利用在一个黑盒子的方式为基于属性的身份验证和加密执行的基于属性的访问控制在分布式存储系统。
Automating the RMF: Lessons from the FedRAMP 20x Pilot
本案例研究基于 FedRAMP 20x 试点经验，探讨了利用 KSI、自动化证据和 DevSecOps 集成实现 RMF 自动化，以简化云系统授权并支持实时风险管理。
A Patient-Centric Blockchain Framework for Secure Electronic Health Record Management: Decoupling Data Storage from Access Control
本文提出了一种以患者为中心的区块链框架，通过解耦数据存储与访问控制，实现电子健康记录的安全管理，同时降低气体成本并提升访问效率。
Comparison of Access Control Approaches for Graph-Structured Data
本文针对图结构数据的细粒度访问控制，系统筛选并对比分析了多项保护属性图结构数据的研究，从基础模型、策略定义与执行等方面评估了它们的优势与局限。
None Shall Pass: A blockchain-based federated identity management system
用户身份的认证和授权通常由服务提供商或身份提供商完成。然而，这些集中式系统限制了用户对自己身份的控制，并且由于其集中式特性，容易发生大量数据泄漏。我们提出了一个基于区块链的身份管理系统，使用基于属性的访问控制策略和隐私保护算法对用户进行身份验证和授权，并最终将用户身份的控制权返回给用户。我们提出的系统将使用私有区块链，它将以安全、可验证的方式存储重新认证事件以及用户身份的数据访问和授权请求，从而确保数据的完整性。本文提出了一种机制，以验证诸如护照、驾驶执照、电费单等文件，由任何政府机构或其他机构以不可变和安全的方式发布。数据所有者负责在需要时使用OpenID Connect协议验证和传播用户的身份，以实现单点登录。我们使用高级加密算法向用户提供昵称，从而确保他们的隐私。这些算法还确保了交易在需要时的可重复性。我们提出的系统有助于减轻最近的隐私辩论中的一些问题。该项目适用于公民转移、国家间服务提供、银行、所有权转移等。通用框架也可扩展到银行、医院等联合体。
Enabling Multi-Client Authorization in Dynamic SSE
本文提出MASSE，一种动态多客户端可搜索加密方案，通过基于属性的访问控制实现细粒度授权，提升加密数据库的搜索效率和安全性。
TwinGridShield: Consequence-Aware Runtime Authorization for LLM Grid-Agent Actions
TwinGridShield是与模型无关的LLM网格智能体动作运行时授权层，通过确定性网络孪生体评估动作，在匹配模型实验中实现0次不安全发布，模型不匹配下鲁棒性存在一定风险。
SFDS: Selective File Disclosure System
针对网络资源访问控制难题，提出基于SD-JWT标准的架构，直接在共享资源中嵌入加密签名与完整性保护，无需复杂IAM设施，简化部署并确保只读文件安全共享。
Using CAS to Manage Role-Based VO Sub-Groups
LHC时代的HENP实验将产生大量的数据，并需要大量的计算资源。这些资源比社区内任何一个地点所能汇集的资源都要多。生产重建、分析和模拟需要使用网格计算范例提供的新功能来最大限度地利用这些分布式计算和存储资源。由于大规模的、协调的网格计算涉及到跨多个区域中心、国家和资金边界的用户访问，因此网格计算最关键的方面之一就是用户身份验证和授权。虽然像DOE Grids CA这样的项目在解决分布式身份验证问题方面已经走了很长的路，但授权问题在很大程度上仍然是开放的。我们已经开发和测试了一个原型VO角色管理系统使用社区授权服务（CAS）从Globus项目。CAS允许灵活地定义资源。在这个原型中，我们将角色定义为CAS数据库中的一个资源，并将VO中的个人分配给该资源，以指示他们断言角色的能力。个人对此VO角色资源的访问是用户CAS代理证书的注释。然后，本地资源管理器使用该注释来以既不基于VO也不基于个人的粒度授权对本地计算和存储资源的访问。我们在这里报告的CAS数据库和Globus的看门人的配置细节，以及如何这种一般的方法可以被正式化和扩展，以满足明确的需求，使用网格的LHC实验。
A Taxonomic Approach to Understanding Emerging Blockchain Identity Management Systems
身份管理系统（IDM）被广泛用于提供用户身份，同时管理组织内和Web上的身份验证、授权和数据共享。传统的身份系统通常存在单点故障、缺乏互操作性和隐私问题，例如启用大规模数据汇集和用户跟踪。区块链技术有可能缓解这些担忧：它可以支持用户控制自己的标识符和凭据的保管能力，从而实现具有内置控制和同意机制的新型数据所有权和治理模型。因此，可以使用户和企业受益的基于区块链的IDM开始激增。这项工作根据区块链架构、治理模型和其他显著特征的差异将这些系统分类。通过描述相关术语、新兴标准和用例，同时强调相关的安全性和隐私注意事项，为分类法提供了上下文。
Enabling Secure and Effective Biomedical Data Sharing through Cyberinfrastructure Gateways
Dynaswap项目报告了为网络基础设施开发一个连贯集成和值得信赖的整体安全工作流保护架构，该架构可用于通过JetStream等网络基础设施（CI）服务部署的虚拟机。该服务创建了一个用户友好的云环境，旨在让研究人员按需访问交互式计算和数据分析资源。Dynaswap网络安全架构支持角色、角色层次结构和数据层次结构，以及科学基础设施内角色和层次关系的动态变化。Dynaswap将现有的尖端安全框架（包括身份验证授权-会计框架，多因素身份验证，安全数字来源和区块链）与高级安全工具（例如，生物识别胶囊，基于密码的分层访问控制和双层密钥管理）。CI正在生命科学研究环境和健康信息学教育环境中进行验证。
扫码添加微信好友，提出您的宝贵建议 👇
💡 备注请填写：网站反馈
发表机构由 AI 从论文文本抽取，如发现错误，欢迎反馈修正建议。