Sistemas Distribuídos

Transcrição

1 Sistemas Distribuídos Serviço de Nomes Gustavo Reis 1

2 - Serviço de Nomes Em sistemas distribuídos são usados nomes para fazer referência a uma ampla variedade de recursos (computadores, serviços, objetos remotos e arquivos, como usuários) Os nomes facilitam a comunicação e o compartilhamento de recursos Os processos não podem compartilhar recursos em particular a não ser que possam atribuir nomes a eles de forma consistente Os usuários não podem se comunicar por meio de um sistema distribuído, a menos que possam dar nomes uns aos outros, por exemplo, como endereços de 2

3 - Serviço de Nomes Ex. de nomeação URL Pesquisa DNS ID do recurso (nº IP, nº porta, nome do caminho) WebExamples/earth.html Servidor WEB 2:60:8c:b0:5a Endereço físico de rede Arquivo Socket Composição de um nome de domínio para identificar um recurso a partir de um URL 3

4 - Serviço de Nomes DNS (Domain Name System) Serviço de nomes cujo banco de dados de distribuição de nomes é usado na Internet Nenhum servidor DNS isolado tem todos os mapeamentos para todos os computadores da Internet Em vez disso, os mapeamentos são distribuídos pelos servidores 4

5 - Serviço de Nomes DNS (Domain Name System) Parte da hierarquia de servidores DNS 5

6 - Serviço de Nomes DNS (Domain Name System) Servidores DNS Raiz 6

7 - Serviço de Nomes DNS (Domain Name System) Consulta DNS Interativa Consulta DNS Recursiva 7

8 O serviços de nomes armazenam conjuntos de pares <nome, atributo> e seus atributos são pesquisados de uma forma hierárquica. É natural considerar a dualidade dessa organização, na qual os atributos são usados como os valores a serem pesquisados. Às vezes, os usuários desejam encontrar uma pessoa, ou um recurso em particular, mas não sabem seu nome, apenas alguns de seus outros atributos. Ex.: Qual é o nome do usuário com número de telefone ? 8

9 Às vezes, os usuários exigem um serviço, mas não estão preocupados com qual entidade do sistema fornece esse serviço, desde que ele esteja convenientemente acessível. Ex.: Quais computadores da empresa são Macintosh executando o sistema operacional Mac OS X? ou Onde imprimir um imagem colorida de alta-resolução? Um serviço que armazena conjuntos de vínculos entre nomes e atributos e que pesquisa entradas que correspondem a especificações baseadas no atributo é chamado de serviço de diretório. Exemplos: Active Directory Services da Microsoft, X.500, LDAP, Univers e Profile. 9

10 Um serviço de diretório retorna os conjuntos de atributos de todos os objetos encontrados que correspondam a alguns atributos especificados. Portanto, o pedido 'TelephoneNumber = ' poderia retornar {'Name=John Smith, 'TelephoneNumber= ', address=john@dcs.gormenghast.ac.uk', }, por exemplo. O cliente pode especificar que apenas um subconjunto dos atributos tem interesse por exemplo, apenas os endereços de dos objetos correspondentes. O X.500 e alguns outros serviços de diretórios, também permitem que objetos sejam pesquisados por nomes textuais hierárquicos convencionais. 10

11 Os atributos são claramente mais poderosos do que os nomes, como designadores de objetos: podem ser escritos programas para selecionar objetos de acordo com especificações de que atributo precisa, onde os nomes podem não ser conhecidos. Outra vantagem dos atributos é que eles não expõem a estrutura das organizações para o mundo exterior, como acontece com os nomes particionados em termos de organização. 11

12 Estudo de caso: Global Name Service Projetado e implementado por Lampson e colegas, no DEC Systems Research Center [Lampson 1986], para fornecer facilidades para a localização de recursos, endereços de e autenticação. O objetivo do projeto GNS é refletir o fato de que um serviço de nomes para uso em uma rede interligada deve suportar um banco de dados de atribuição de nomes que possa ser ampliado para incluir os nomes de milhões de computadores e (eventualmente) endereços de de bilhões de usuários. Os projetistas do GNS também consideraram que o banco de dados de atribuição de nomes provavelmente terá um longo tempo de vida, e que ele deve continuar a operar eficientemente, enquanto cresce de pequena para grande escala, e a rede em que é baseado também evolui. 12

13 Estudo de caso: Global Name Service O banco de dados de atribuição de nomes potencialmente grande e a escala do ambiente distribuído em que o GNS é feito para operar tornam fundamental o uso de cache. Entretanto, fica extremamente difícil manter a consistência completa entre todas as cópias de uma entrada do banco de dados. A estratégia de consistência de cache adotada conta com a suposição de que as atualizações no banco de dados serão raras e que uma disseminação lenta das atualizações é aceitável, pois os clientes podem detectar e se recuperar do uso de dados de atribuição de nomes desatualizados. 13

14 Estudo de caso: Global Name Service O GNS gerencia um banco de dados de atribuição de nomes composto de uma árvore de diretórios contendo nomes e valores. Os diretórios são nomeados por nomes de caminho de várias partes que se referem a raiz, ou relativos a um diretório de trabalho, de forma muito parecida com os nomes de arquivo em um sistema de arquivos UNIX. Cada diretório também recebe um valor inteiro, que serve como identificador de diretório (DI) exclusivo. Um diretório contém uma lista de nomes e referências. Os valores armazenados nas folhas da árvore de diretório são organizados em árvores de valores, para que os atributos associados aos nomes possam ser valores estruturados. 14

15 Estudo de caso: Global Name Service No GNS, os nomes têm duas partes: <nome do diretório, nome do valor>. A primeira parte identifica um diretório; a segunda se refere a uma árvore de valores, ou a alguma parte de uma árvore de valores. DI: 599 (EC) DI: 543 (UK) DI: 574 (FR) DI: 437 (AC) DI: 322 (QMUL) Peter.Smith Caixas de correio Alfa Beta Gamma senha Os atributos de um usuário Peter.Smith no diretório QMUL são armazenados na árvore de valores nomeada <EC/UK/AC/QMUL,Peter.Smith>. A árvore de valores inclui uma senha, a qual pode ser referenciada com <EC/UK/AC/QMUL,Peter.Smith/senha>, e vários endereços de correspondência <EC/UK/AC/QMUAL,Peter.Smith/Caixas de correio> 15

16 Estudo de caso: Global Name Service A árvore de diretório é particionada e armazenada em muitos servidores, com cada partição replicada em vários servidores. A consistência da árvore é mantida em face de duas ou mais atualizações concorrentes por exemplo, dois usuários podem tentar criar, simultaneamente, entradas com o mesmo nome e apenas um deve ter êxito. Os diretórios replicados apresentam um segundo problema de consistência; este é tratado por um algoritmo de distribuição de atualização assíncrono que garante a consistência final, mas sem garantia de que todas as cópias sejam sempre atuais. Esse nível de consistência é considerado satisfatório para o objetivo. 16

17 Estudo de caso: Global Name Service DI: 599 (EC) DI: 543 (UK) DI: 574 (FR) DI: 437 (AC) DI: 322 (QMUL) Peter.Smith Caixas de correio Alfa Beta Gamma senha Como adicionar uma árvore existente chamada América do Norte? 17

18 Estudo de caso: Global Name Service Diretórios bem-conhecidos #599 = #633/EC #642 = #633/AMÉRICA DO NORTE DI: 633 (MUNDO) DI: 599 (EC) DI: 642 (AN) DI: 543 (UK) DI: 574 (FR) DI: 732 (US) DI: 457 (CA) 18

19 Estudo de caso: Global Name Service Diretórios bem-conhecidos #599 = #633/EC #642 = #633/AMÉRICA DO NORTE DI: 633 (MUNDO) DI: 599 (EC) DI: 642 (AN) DI: 543 (UK) DI: 574 (FR) DI: 732 (US) #633/EC/US DI: 457 (CA) US pertence a EC. 19

20 LDAP Uma abordagem comum para tratar serviços distribuídos de diretório é combinar nomeação estruturada com nomeação baseada em atributos Ex.: Active Directory da Microsoft Muitos destes sistemas utilizam o protocolo leve de acesso a diretório (LDAP lightweight directory access protocol) Conceitualmente, um serviço de diretório LDAP consiste de vários registros, usualmente conhecidos como entradas de diretório. Uma entrada de diretório é comparável a um registro de recurso DNS 20

21 LDAP Atributo Abreviatura Valor Country C US State ST California Organization O Acme Organization al Unit Common Name OU CN Sales Barbara Jenson 21

22 CAFe (Infraestrutura de autenticação e autorização federada) Elementos principais Provedores de Identidade Provedores de Serviço O suporte à autenticação federada se dá da seguinte forma: ao acessar um determinado provedor de serviço, o usuário é redirecionado para uma página que lhe apresenta uma lista de provedores de identidade. O usuário escolhe então sua instituição de origem, e seu navegador é redirecionado para o provedor de identidade dessa instituição. Após autenticar o usuário, o provedor de identidade repassa o resultado dessa autenticação ao provedor de serviço e cria uma sessão de uso associada ao usuário, de forma que acessos a novos serviços dentro de um determinado intervalo de tempo não gerem novas requisições de autenticação (single sign-on). Para a federação CAFe, o esquema de dados utilizado é breduperson Atributos liberados pelos Provedores de Identidade: cn (Nome do usuário), sn (Sobrenome do usuário), mail (Endereço de do usuário), edupersonprincipalname (Identificador único do usuário dentro da federação. Formato: identificador@domínio), breduaffiliationtype (Tipo de vínculo do usuário com a instituição. Valores possíveis: faculty, student, position, scholarshipawardee, other) 22

23 CAFe (Infraestrutura de autenticação e autorização federada) Funcionamento: 1. O usuário direciona seu navegador para a página do serviço desejado. 2. O servidor redireciona o navegador para o serviço de descoberta da federação (WAYF). 3. O serviço de descoberta apresenta ao usuário as instituições que oferecem provedores de identidade para a federação. 4. O usuário seleciona uma instituição, e seu navegador envia ao serviço de descoberta os dados desssa seleção. 5. O serviço de descoberta redireciona o navegador para a instituição selecionada. 6. O provedor de identidade da instituição envia ao navegador a página de autenticação do usuário. 7. O usuário fornece suas credenciais e o navegador as envia ao provedor de identidade. 8. O provedor de identidade gera um handle e o envia ao navegador, que o encaminha ao provedor de serviço, que assim obtém a prova de autenticação do usuário. Para algumas aplicações, isso é suficiente para autorizar o acesso do usuário ao serviço. 9. Opcionalmente, o provedor de serviço pode enviar um pedido de atributos ao provedor de identidade/atributos, utilizando o handle para especificar o usuário em questão. 10. O provedor de identidade/atributos retorna os valores dos atributos requisitados. 23 Projeto gráfico: Diogo Martins Ilustrador: Tecnodesign

24 CAFe (Infraestrutura de autenticação e autorização federada) Funcionamento: 1. O usuário direciona seu navegador para a página do serviço desejado. 2. O servidor redireciona o navegador para o serviço de descoberta da federação (WAYF). 3. O serviço de descoberta apresenta ao usuário as instituições que oferecem provedores de identidade para a federação. 4. O usuário seleciona uma instituição, e seu navegador envia ao serviço de descoberta os dados desssa seleção. 5. O serviço de descoberta redireciona o navegador para a instituição selecionada. 6. O provedor de identidade da instituição envia ao navegador a página de autenticação do usuário. 7. O usuário fornece suas credenciais e o navegador as envia ao provedor de identidade. 8. O provedor de identidade gera um handle e o envia ao navegador, que o encaminha ao provedor de serviço, que assim obtém a prova de autenticação do usuário. Para algumas aplicações, isso é suficiente para autorizar o acesso do usuário ao serviço. 9. Opcionalmente, o provedor de serviço pode enviar um pedido de atributos ao provedor de identidade/atributos, utilizando o handle para especificar o usuário em questão. 10. O provedor de identidade/atributos retorna os valores dos atributos requisitados. 24