1、計算機和網(wǎng)絡(luò)技術(shù)的飛速發(fā)展極大地推動了分布式存儲技術(shù)的進步，從早期以遠程文件訪問為目的客戶機/服務(wù)器模式到今天提供數(shù)據(jù)存儲和業(yè)務(wù)訪問功能的云服務(wù)模式，分布式存儲系統(tǒng)在體系結(jié)構(gòu)、系統(tǒng)規(guī)模、性能以及可靠性等方面經(jīng)歷了較大變化，同時也面臨著更大的挑戰(zhàn)，日益增加的用戶數(shù)量，更加廣闊的數(shù)據(jù)分布空間，爆炸性增長的數(shù)據(jù)存儲量以及越來越高的數(shù)據(jù)可靠性要求等，未來的分布式存儲系統(tǒng)需滿足大容量、高性能、可擴展、高可用、易管理、高安全和低能耗的需求。由于在滿

2、足大容量存儲空間、跨平臺數(shù)據(jù)共享以及高性能I/O等方面具有明顯的優(yōu)勢，并行文件系統(tǒng)在各種存儲架構(gòu)的分布式系統(tǒng)中得到了廣泛應用，當前，并行文件系統(tǒng)已成為超級計算機提高I/O 帶寬最常用的方法之一，并將成為未來高性能計算、海量信息存儲的理想選擇。而大規(guī)模高性能的并行文件系統(tǒng)需要可擴展和高性能的訪問控制方法和加密存儲方案。
　　 網(wǎng)絡(luò)環(huán)境下的并行文件系統(tǒng)面對來自不同組織的大量用戶，并為這些用戶提供并發(fā)和突發(fā)的服務(wù)，因此，并行文件系統(tǒng)的

3、認證機制必須能夠為成千上萬的用戶提供可擴展的簡單高效的認證方式。身份認證與文件服務(wù)相分離的兩階段分布式認證機制將認證過程分為身份認證和I/O 認證兩個階段，系統(tǒng)使用若干個專用認證服務(wù)器并行地認證用戶，經(jīng)過認證的用戶從認證服務(wù)器獲取一個簡單的身份證書，存儲節(jié)點依據(jù)用戶身份證書確認用戶身份。兩階段分布式認證機制支持現(xiàn)有網(wǎng)絡(luò)認證機制并實現(xiàn)了用戶身份認證的可擴展性，存儲節(jié)點認證I/O 請求只需進行兩次低開銷的散列計算，實現(xiàn)了I/O 認證的簡單高

4、效，從而，合理地解決了網(wǎng)絡(luò)環(huán)境下并行文件系統(tǒng)在不同階段對認證的不同需求。
　　 當前的并行文件系統(tǒng)采用集中式的訪問控制，即基于權(quán)能證書的訪問控制，客戶在訪問存儲設(shè)備前必須向元數(shù)據(jù)服務(wù)器請求一個權(quán)能證書，存儲設(shè)備依據(jù)客戶提交的權(quán)能證書確認用戶的權(quán)限，在擁有大量用戶的并行文件系統(tǒng)中，請求證書操作易造成元數(shù)據(jù)服務(wù)器的性能瓶頸。具有中心決策支持的非集中式訪問控制機制在一個中心決策服務(wù)器上存儲全局訪問控制列表，而將決策服務(wù)器的決策結(jié)果以預

5、授權(quán)列表的形式預存儲在存儲設(shè)備上。從而，非集中式訪問控制允許用戶對全局訪問控制列表設(shè)置任意訪問控制策略甚至改變?nèi)衷L問控制列表的設(shè)計而不需要升級或改變存儲設(shè)備上的安全實現(xiàn)。通過本地存儲的預授權(quán)列表，非集中式訪問控制允許存儲設(shè)備直接對I/O 請求授權(quán)，而不是要求客戶在進行關(guān)鍵的I/O時向集中的授權(quán)服務(wù)請求授權(quán)證書。
　　 傳統(tǒng)共享加密文件系統(tǒng)使用在線或離線的方式將共享密鑰分發(fā)給共享用戶，并使用密碼技術(shù)對存儲和傳送中的共享密鑰加以保

6、護，由于共享密鑰被暴露給多個共享用戶，該方案存在著共享開銷高、密鑰回收困難的缺點。加密文件的高效共享方法使用專用密鑰服務(wù)器生成和存儲文件密鑰，使用多臺加密機并行加解密文件，用戶可以使用密鑰服務(wù)器和加密機提供的加解密服務(wù)而不需要知道文件密鑰，從而，避免了回收共享密鑰造成的數(shù)據(jù)重加密和共享密鑰的重發(fā)布。共享和撤銷用戶只需在組服務(wù)器上加以指定，避免了共享密鑰的分發(fā)，實現(xiàn)了密鑰的高效共享。
　　 作為最有希望的大規(guī)模和高性能存儲或下一代

7、存儲的解決方案，對象存儲技術(shù)在過去的幾年得到了廣泛關(guān)注和研究，而對象存儲的標準化為對象存儲技術(shù)的推廣和應用起到了不可替代的推動作用。當前T10OSD 標準支持基于權(quán)能證書的集中式訪問控制，而T10OSD 標準的安全擴展以最小的改動使當前標準支持非集中式的訪問控制，即只需要增加一個擴展的身份證書、一個安全屬性頁和一個集合對象。采用擴展后的標準實現(xiàn)的非集中式的安全系統(tǒng)支持當前標準定義的NOSEC、CAPKEY、CMDRSP和ALLDATA