云计算身份管理标准有望加快云的应用

　　云计算身份管理标准小组宣称将确保在云供应商和他们的客户之间开放和安全的身份交换。

　　为建立云计算身份管理标准付诸最大努力之一的是InCommon，其参与者包括116个以上的高等教育机构、41个服务提供商、6个联邦机构和非赢利团体。该小组为身份提供者(如高等教育机构)和云服务供应商之间的安全、隐私和数据交换达成共同的定义和准则，以验证双方承诺的身份并善意行事。

　　然后这些信息将封装在包含证书的元数据中，以允许身份提供商和服务提供商共享信息。InCommon目前使用两个社区开发的产品用于交换信息：安全断言标记语言(Security Assertion Markup Language, SAML)和Shibboleth。SAML基于XML标准，用于组织之间交换身份信息。Shibboleth是基于Web的单点登录服务，支持远程服务请求的认证。

　　马萨诸塞州众议院和参议院临时首席信息官、ING Americas美国金融服务部门前任部门级首席信息官Ed Bell预言，确保身份管理的安全和互操作性的标准将受到欢迎。他说：“在内部，标准已经变得如此强大，它是任何CIO的核心部分。他们将在外部采纳[用于身份管理的]标准。”

　　在可信任云计算中

　　另一个标准组织，称为可信任云端运算计划(Trusted Cloud Initiative, TCI)，旨在帮助云提供商开发业界建议的、安全的和可互操作的解决方案。TCI声称自己是一个由Novell公司和云安全联盟(Cloud Security Alliance, CSA)成立的厂商中立的运算计划。TCI希望在今年年底发布业界首个云安全证书。

　　ING Americas IT战略与企业架构高级副总裁、CSA董事会成员Alan Boehme说：“如何管理身份信息，或者在云端，或者和云联合，这是企业采用云服务的重大障碍。通过建立一个共识的安全参考指南和认证路线图……我们期望加快云应用。”

　　关于在云环境中配置身份、认证、联盟和授权，CSA最近表示，TCI将建立在云计算上的最佳实践准则。这些建议被极大地调整以符合开放的标准。例如，CSA建议：使用云供应商提供的标准连接器，最好是建立在服务配置标记语言(Service Provisioning Markup Language, SPML)模式之上。如果云提供商目前不提供SPML，CSA建议企业提出要求。

　　评估软件即服务(Software as a Service, SaaS)和平台即服务(Platform as a Service, PaaS)供应商所使用的专有的认证模式，例如，共享加密的cookie。一般应优先使用开放标准。

　　确保应用程序的设计支持SAML或WS-Federation格式，WS-Federation格式详细说明了允许不同安全领域代理身份、属性和认证的信息。

　　检查由云供应商实现的任何本地认证服务与开放认证(Open Authentication, OATH)实现兼容，OATH是设备、平台和应用厂商的联合，希望促进跨网络、设备和应用的强认证的使用。云供应商应该也可以委托认证给企业，例如，通过SAML。

　　超越周边的保护

　　但另一个称为杰里科(Jericho)论坛的小组提出了一个云架构，该架构在设计中跨所有云层(基础设施、平台、软件、流程)使用安全和身份管理，它被称为面向协作构架(collaboration-oriented architecture, COA)。这个概念涉及一个计算机系统，该系统被设计使用超越“周边”或控制区域的第三方服务。COA以标准化的形式组织机构、个人和系统的身份识别、认证和授权证书，实现了跨云平台的有效性。

　　COA基于面向服务架构(service-oriented architecture, SOA)，而SOA是用于在基于Web的环境中集成分布广泛、涉及多个不同平台的应用。SOA不使用具体的应用程序编程接口，它根据协议和功能(包括XML)定义接口。SOA的目标是允许用户“编排”相当大的功能块以形成专门的应用，该应用几乎完全从现有的软件服务进行构建。

　　根据Burton Group Inc.分析师，鉴于云空间处于初始阶段和不同的标准化努力，并不期待所有这些标准能够生存下来或取得成果。特别是SPML，因为它的复杂性和置于连接上的性能负担，已经陷入困境。OASIS配置服务技术委员会曾试图在第2版改善SPML，但其成员未能达成一个标准的用户模式。

　　另一个配置选项可能是使用“拉”模式，该模式使用基于轻量目录访问协议(Lightweight Directory Access Protocol, LDAP)、由虚拟目录支持的目录服务。值得注意的是，Salesforce.com公司和谷歌公司都提供了一个通过LDAP的拉能力，可以在其应用程序中，查询现有的企业目录以发现认证和身份信息。