FESR Trinacria Grid Virtual Laboratory Esercitazione sulla Security Dario Russo INFN Catania Catania, 14 Marzo 2006

Catania, Primo Workshop TriGrid VL, Accesso alla griglia Per accedere alla griglia di gilda: 1.Scaricare un UI virtuale sul proprio pc da eseguire con VMPlayer 2.Accedere remotamente con ssh alla UI su glite-tutor.ct.infn.it

Catania, Primo Workshop TriGrid VL, Metodo d’accesso 1 Download GILDA USER INTERFACE COMBINED VIRTUAL utilizzando il seguente link e leggere il file README (GILDA UI VM Combined )GILDA UI VM Combined

Catania, Primo Workshop TriGrid VL, Estrazione UI virtuale Decomprimere il file GILDAVM_Comb.tar.bz2: Linux: accedere alla directory dove volete decomprimere la macchina virtuale e digitate: Windows: Utilizzando winrar decomprimere il file nella directory di gradimento >tar xjvf GILDAVM_Comb.tar.bz2

Catania, Primo Workshop TriGrid VL, Accesso alla UI virtuale Eseguite VMPlayer e selezionate “otherlinux.vmx” situato nella cartella UIVM Accedete utilizzando il seguente account username = gildauser password = gildauser I tutor vi assegneranno un identificativo da 1 a 40 che dovrete usare per tutta la durata della sessione

Catania, Primo Workshop TriGrid VL, Copia delle credenziali Copiare i certificati personali di GILDA sulla UICombined Virtuale, digitando i seguenti comandi sulla vmplayer: (dove XX=01,….,50 and Passwd: GridCATXX) (PEM PASSPHRASE: CATANIA) >cd.globus >scp –p

Catania, Primo Workshop TriGrid VL, Metodo d’accesso 2 Alternativamente e’ stata predisposta una UI remota con 40 account di prova da accedere con un client ssh: Login : dove XX=01,..40 Passwd : GridCATXX XX=01,..,50 PEM PASSPHRASE PEM : CATANIA (usare ssh su unix oppure putty per windows: download oppurehttp://

Catania, Primo Workshop TriGrid VL, Premessa Creazione del proxy VOMS Utilizzo MyProxy

Catania, Primo Workshop TriGrid VL, Verifica sicurezza credenziali La directory nascosta “.globus” contiene le vostre chiavi personali publiche e private [glite-tutor] /home/russod > ls -la.globus total 16 drwxr-xr-x 2 russod users 4096 Jan 25 12:39. drwx russod users 4096 Mar rw-r--r-- 1 russod users 1593 Jan 25 02:24 usercert.pem -r russod users 1916 Jan 25 02:24 userkey.pem [glite-tutor] /home/russod > Controllate i permessi!!

Catania, Primo Workshop TriGrid VL, voms-proxy-init: opzioni Sintassi: voms-proxy-init --voms [:command] Dove command è: /Role=rolename per ottenere privilegi differenti rispetto al default (NULL) e /gilda/ (se il server permette questi comandi) voms-proxy-init –-voms gilda:/Role=VO-Admin voms-proxy-init --voms gilda:/gilda/ -hours [x], crea un proxy valido per x ore (default 12) -vomslife x, crea un proxy esteso valido per x ore (default: same of proxy) -cert Certificato utente in locazione non-standard -key Chiave utente in locazione non-standard -out Nuovo Certificato in locazione non-standard -userconf Servers Voms user-defined Default file per Servers Voms for voms server address file: /opt/glite/etc/vomses oppure ~/.glite/vomses. Sintassi: \

Catania, Primo Workshop TriGrid VL, Autenticarsi su Grid: esercizio Esercizio 1: Ottenere accesso sulla griglia: Ottenere una shell su glite-tutor.ct.infn.it Autenticarsi sulla griglia tramite voms-proxy-init

Catania, Primo Workshop TriGrid VL, Creazione proxy VOMS [glite-tutor] /home/russod > voms-proxy-init --voms gilda Your identity: /C=IT/O=GILDA/OU=Personal Certificate/L=INFN/CN=Dario Enter GRID pass phrase: [Inserire grid passfrase] Your proxy is valid until Tue Mar 7 00:18: Creating temporary proxy Done Contacting voms.ct.infn.it:15001 [/C=IT/O=GILDA/OU=Host/L=INFN "gilda" Done Creating proxy Done Your proxy is valid until Tue Mar 7 00:18: [glite-tutor] /home/russod > _ Soluzione esercizio 1

Catania, Primo Workshop TriGrid VL, Verificare le credenziali: voms-proxy-info voms-proxy-info Options principali: -all Visualizza tutte le informazioni del proxy -file Specifica una differente posizione del proxy Esercizio 2 : verificate le vostre credenziali

Catania, Primo Workshop TriGrid VL, Verifica delle credenziali [glite-tutor] /home/russod > voms-proxy-info --all subject : /C=IT/O=GILDA/OU=Personal Certificate/L=INFN/CN=Dario issuer : /C=IT/O=GILDA/OU=Personal Certificate/L=INFN/CN=Dario identity : /C=IT/O=GILDA/OU=Personal Certificate/L=INFN/CN=Dario type : proxy strength : 512 bits path : /tmp/x509up_u3018 timeleft : 11:59:52 === VO gilda extension information === VO : gilda subject : /C=IT/O=GILDA/OU=Personal Certificate/L=INFN/CN=Dario issuer : /C=IT/O=GILDA/OU=Host/L=INFN attribute : /gilda/Role=NULL/Capability=NULL timeleft : 11:59:52

Catania, Primo Workshop TriGrid VL, Esercizio 3: Creazione proxy voms Esercizio 3 : create un proxy voms richiedendo l’appartenenza al gruppo generic-users e verificate il proxy

Catania, Primo Workshop TriGrid VL, Esercizio 3: soluzione [glite-tutor] > voms-proxy-init --voms gilda:/gilda/generic-users Your identity: /C=IT/O=GILDA/OU=Personal Enter GRID pass phrase: [Inserire grid passfrase] Your proxy is valid until Tue Mar 7 04:40: Creating temporary proxy Done Contacting voms.ct.infn.it:15001 [/C=IT/O=GILDA/OU=Host/L=INFN "gilda" Creating proxy Done Your proxy is valid until Tue Mar 7 04:40: [glite-tutor] > _ Soluzione esercizio 3:

Catania, Primo Workshop TriGrid VL, Esercizio 3: verifica gruppo [glite-tutor] > voms-proxy-info --all subject : /C=IT/O=GILDA/OU=Personal issuer : /C=IT/O=GILDA/OU=Personal identity : /C=IT/O=GILDA/OU=Personal type : proxy strength : 512 bits path : /tmp/x509up_u3373 timeleft : 11:50:24 === VO gilda extension information === VO : gilda subject : /C=IT/O=GILDA/OU=Personal issuer : /C=IT/O=GILDA/OU=Host/L=INFN attribute : /gilda/generic-users/Role=NULL/Capability=NULL attribute : /gilda/Role=NULL/Capability=NULL timeleft : 11:50:24 [glite-tutor] > _

Catania, Primo Workshop TriGrid VL, Proxy di lungo termine: MyProxy myproxy server: –myproxy-init  Permette di creare e memorizzare un proxy a lungo termine –myproxy-info  Ottiene informazioni di un proxy a lungo termine –myproxy-get-delegation  Ottiene un nuovo proxy dal server MyProxy –myproxy-destroy  Elimina il proxy dal server –Ogni comando myproxy-XXX ha la corrispondente pagina di man e lo switch –help per approfondite informazioni sulle opzioni Un servizio dedicato sul Resource Broker può rinnovare automaticamente il proxy contattando il server MyProxy

Catania, Primo Workshop TriGrid VL, Creazione di un proxy di lungo termine Esercizio 4: Creare un proxy sul MyProxy server grid001.ct.infn.it Opzioni principali di myproxy-init: -c Specifica la durata delle credenziali -s Specifica l’hostname del server MyProxy TIP: Utilizzate export MYPROXY_SERVER=grid001.ct.infn.it in.bashrc per evitare di dover ripetere –s su ogni comando myproxy-xxx -d Memorizza le credenziale con un nome differente rispetto all’user name nel proxy (obbligatorio per alcuni servizi di data management services e per il rinnovo automatico del proxy) Per il rinnovo automatico del proxy è inoltre obbligatorio l’uso di – n (no passphrase).

Catania, Primo Workshop TriGrid VL, Esercizio 4: soluzione [glite-tutor] /home/russod > myproxy-init --voms gilda –s grid001.ct.infn.it Your identity: /C=IT/O=GILDA/OU=Personal Certificate/L=INFN/CN=Dario Enter GRID pass phrase for this identity: [Inserire grid passfrase] Creating proxy Done Proxy Verify OK Your proxy is valid until: Mon Mar 13 13:05: Enter MyProxy pass phrase: [Inserire nuova passfrase] Verifying password - Enter MyProxy pass phrase: [Reinserire passfrase] A proxy valid for 168 hours (7.0 days) for user russod now exists on grid001.ct.infn.it. [glite-tutor] /home/russod > Soluzione esercizio 4 Nota: Se state utilizzando la VM appendete l’opzione -d

Catania, Primo Workshop TriGrid VL, My-proxy-info Utile per verificare le informazione sul proxy Necessita di credenziali locali per essere utilizzato Se le credenziali sono state create con –d quest’opzione deve essere usata con my-proxy-info [glite-tutor] /home/russod > myproxy-info –s grid001.ct.infn.it username: russod owner: /C=IT/O=GILDA/OU=Personal Certificate/L=INFN/CN=Dario timeleft: 167:59:49 (7.0 days) [glite-tutor] /home/russod > myproxy-info –d –s grid001.ct.infn.it username: /C=IT/O=GILDA/OU=Personal Certificate/L=INFN/CN=Dario owner: /C=IT/O=GILDA/OU=Personal Certificate/L=INFN/CN=Dario timeleft: 167:59:49 (7.0 days)

Catania, Primo Workshop TriGrid VL, Myproxy-get-delegation Utilizzato per ottenere una delega per un proxy di lungo termine memorizzato sul server myproxy Se le credenziali sono state inizializzate con l’opzione – d e’ necessario ripetere l’opzione Nota: il comando non permette il rinnovo per di un proxy generato con –n (senza passphrase) [glite-tutor] /home/russod > myproxy-get-delegation -d -s grid001.ct.infn.it Enter MyProxy pass phrase: A proxy has been received for user /C=IT/O=GILDA/OU=Personal Certificate/L=INFN/CN=Dario in /tmp/x509up_u3018 [glite-tutor] /home/russod >

Catania, Primo Workshop TriGrid VL, Myproxy-destroy Elimina il proxy sul server my proxy (se esiste) [glite-tutor] /home/russod > myproxy-destroy -d -s grid001.ct.infn.it Default MyProxy credential for user /C=IT/O=GILDA/OU=Personal Certificate/L=INFN/CN=Dario was successfully removed.

Catania, Primo Workshop TriGrid VL, Domande