集成 Custos 安全服务的实践经验

科学网关是面向用户的网络基础设施，为研究人员和教育工作者提供基于 Web 的科学软件、计算与数据资源访问。管理用户身份、账户和权限是科学网关的核心任务，网关同样必须管理其中间件与远程资源之间的安全连接。Custos 项目旨在构建开源软件，可作为多租户服务运行，提供科学网关常见网络安全需求的可靠实现，包括联合认证、身份管理、组与授权管理以及资源凭证管理。Custos 进一步旨在通过上述能力提供集成解决方案，为若干科学网关使用场景提供端到端支持。本文考察了使用 Custos 及此前未描述过的关联扩展的四种部署场景。这些场景阐明的第一项能力是 Custos 需要提供分层租户管理，以允许多个网关部署相互联合，并支持整合的托管式科学网关平台服务。这些场景阐明的第二项能力是需要支持服务账户，以支撑非浏览器应用以及可代表用户在边缘资源上行动的代理应用。我们展示了如何利用 Web 安全标准结合 Custos 权限管理机制构建后者。