Introduction
L’intergiciel (middleware) utilisé par le service de calcul à haut débit (grille de calcul) de la plateforme SCIGNE repose sur un ensemble d’outils utilisant un certficat X509 pour s’authentifier auprès des différents services (calcul, stockage). Ce certificat permet de simplifier et de sécuriser l’authentification aux différentes ressources constituant la grille de calcul internationale.
Ce document détaille l’obtention et la gestion de ce certificat dans le cadre de l’utilisation des ressources de grille, que ce soit celle de la plateforme SCIGNE ou des infrastructures EGI et WLCG.
Les certificats électroniques
Le certificat électronique est une carte d’identité numérique qui permet :
- d’indiquer la qualité du possesseur du certificat (utilisateur, service ou machine) et la limite de validité des informations contenues ;
- de s’authentifier et d’obtenir un certain nombre de privilèges sur un ensemble de services de la grille ;
- d’assurer la confidentialité des échanges grâce au chiffrement des données ;
- d’assurer la non-répudiation et l’intégrité des données grâce à la signature numérique.
Le certificat est délivré par une autorité de certification qui fait foi de tiers de confiance. Pour les personnels issus des établissements français (CEA, CNRS, INRA, INRIA, INSERM, Universités, …) les certificats sont délivrés par l’Infrastructure de Gestion de Clés (IGC) hébergée Ministère de l’Education nationale, de l’Enseignement supérieur et de la Recherche, à travers un service administré par RENATER.
Obtention d’un certificat
Pour obtenir un certificat utilisable avec le service de calcul à haut débit, deux étapes sont nécessaires. Tout d’abord, il faut en faire la demande auprès de l’autorité de certification, puis il faut s’enregistrer avec le certificat délivré auprès de l’organisation virtuelle (VO) vo.scigne.fr (et également vo.sbg.in2p3.fr pour les utilisateurs de l’IPHC).
Demande de certificat
La demande du certificat se fait en six étapes.
- Vérifier les consignes d’obtention de certificat GRID-FR
- Récupérer le certificat de l’autorité de certification (AC) pour qu’elles soient reconnues par votre navigateur en se connectant sur la page des ACs GRID2-FR (si vous ne l’avez pas encore fait). En effet, les navigateurs comme Firefox, Internet Explorer ou Safari n’intégrent pas par défaut les certificats de l’AC du ministère. Il faut donc les charger manuellement et indiquer à son navigateur qu’ils sont de confiance.
- Demander un certificat utilisateur par l’onglet Request a Certificate en remplissant le formulaire en ligne. Les personnes des laboratoires CNRS (UMR, …) doivent effectuer leur demande en renseignant leur adresse e-mail. Si c’est votre première demande, contactez l’équipe support de la plateforme SCIGNE pour vous accompagner.
- Une fois la demande effectuée, vous allez recevoir une demande de confirmation par messagerie. Il es nécessaire de confirmer votre demande en répondant à ce courrier électronique.
- Une fois votre demande confirmée, elle sera validée par l’autorité d’enregistrement. Un message électronique vous préviendra de cette validation, de la création de votre certificat et de la marche à suivre pour le récupérer.
- Récupérer et sauvegarder votre certificat en suivant la procédure décrite dans la section.
Enregistrement auprès de la VO régionale
Afin de pouvoir effectuer des calculs sur la grille régionale, il est nécessaire d’enregistrer votre certificat auprès de la VO vo.scigne.fr en vous rendant sur la page d’enregistrement. L’enregistrement au sein de la VO permet de vous attribuer un ensemble de droits sur la grille régionale de calcul. Une fois le formulaire rempli, vous recevrez un message électronique vous demandant de confirmer votre demande. Il est important de répondre à ce message pour pouvoir rejoindre la VO régionale.
Pour les utilisateurs de l’IPHC, la VO vo.sbg.in2p3.fr est également disponible. Pour vous inscrire à cette VO, rendez-vous sur la page d’enregistrement de cette VO.
Une fois que votre demande est validée, vous pouvez utiliser votre certificat pour accéder aux ressources de la grille régionale et effectuer des calculs.
Enregistrement auprès d’autres VOs
D’autres VOs sont disponibles et permettent d’accéder à des ressources de calcul et de stockage plus importantes. N’hésitez pas à contacter l’équipe support de la plateforme SCIGNE pour obtenir plus d’informations pour y accéder.
Vous trouverez ci-dessous la liste des VOs supportées et le lien pour s’incrire :
- alice : http://wlcg.web.cern.ch/getting-started/VO ;
- belle : https://voms.cc.kek.jp:8443/voms/belle ;
- biomed : https://cclcgvomsli01.in2p3.fr:8443/voms/biomed/register/start.action ;
- cms : http://wlcg.web.cern.ch/getting-started/VO ;
- esr : https://voms.grid.sara.nl:8443/voms/esr ;
- vo.agata.org : https://www.agata.org/grid/avo ;
- vo.complex-system.eu : https://voms.hellasgrid.gr:8443/voms/vo.complex-systems.eu/ ;
- vo.france-grilles.fr : https://cclcgvomsli01.in2p3.fr:8443/voms/vo.france-grilles.fr/register/start.action ;
La liste globale des VOs existantes est disponible sur le portail des VOs. Si vous souhaitez que la plateforme supporte d’autres VOs, n’hésitez pas à contacter les administrateurs !
Renouvellement du certificat
Chaque année, vous allez recevoir un message électronique vous invitant à renouveler votre certificat, deux mois avant son expiration. Cette étape est réalisée en se connectant sur le site indiqué dans le message. Le certificat renouvelé n’a pas besoin d’être ré-enregistré auprès de la VO régionale.
Gestion du certificat en ligne de commande
L’utilisation des logiciels pour accéder à la grille de calcul (gestion des calculs et du stockage) nécessite un certificat électronique de type X509. Ce certificat se compose des fichiers userkey.pem (clé privée) et usercert.pem (clé publique) qui doivent être placés dans le répertoire $HOME/.globus. Ils sont générés à partir du fichier PKCS12 sauvegardé depuis le navigateur en utilisant l’outil en ligne de commande openssl. Dans l’exemple ci-dessous, nous supposons que le certificat a été enregistré sous le nom cert.p12. La génération de la clé privée et de la clé publique est réalisée avec les commandes suivantes :
$ openssl pkcs12 -nocerts -in cert.p12 -out ~/.globus/userkey.pem $ openssl pkcs12 -clcerts -nokeys -in cert.p12 -out ~/.globus/usercert.pem $ chmod 400 ~/.globus/userkey.pem $ chmod 400 ~/.globus/usercert.pem $ ls ~/.globus -r-------- 1 user group 1935 Feb 16 2010 usercert.pem -r-------- 1 user group 1920 Feb 16 2010 userkey.pem
La commande chmod est utilisée pour restreindre l’accès aux certificats au seul utilisateur.
Documentation complémentaire
Les documentations suivantes peuvent être consultées pour approfondir le sujet :