10.3 T2/T3 站点间 x509 证书互访

在高能所 WLCG 网格体系中，T2（二级站点）和 T3（三级站点）存储之间可以通过 x509 网格证书实现双向文件访问。以下以 CMS 实验为例说明具体操作方法。

10.3.1 使用前提

• 已拥有有效的网格证书（参考 10.1 证书申请（新 CA 系统））
• 已将网格证书 DN 信息录入 INK Dashboard，在 X509 证书 标签页完成证书→用户的映射注册（T3 xrootd 代理 besproxy 需要此映射才能识别证书对应的集群用户）
• 已加入对应实验的 VO（参考 10.2 加入 VO）
• 具有有效的 x509 代理证书（通常为 x509up_<uid> 文件）

10.3.2 环境配置

在作业脚本中设置以下 x509 环境变量。各实验对应的 CVMFS 路径略有不同，以 CMS 为例：

export X509_USER_PROXY=${TMPDIR}/x509up_uid    # 代理证书路径（worker 节点上）
export XrdSecPROTOCOL=gsi,unix                  # xrootd 认证协议
export X509_VOMS_DIR=/cvmfs/cms.cern.ch/grid/etc/grid-security/vomsdir
export X509_CERT_DIR=/cvmfs/cms.cern.ch/grid/etc/grid-security/certificates
export X509_VOMSES=/cvmfs/cms.cern.ch/grid/etc/vomses

其他实验参考路径：

实验	证书/CVMFS 路径前缀
CMS	/cvmfs/cms.cern.ch/grid/etc/grid-security/（certificates、vomsdir）和 /cvmfs/cms.cern.ch/grid/etc/vomses
ATLAS	/cvmfs/atlas.cern.ch/repo/sw/ 下对应目录
LHCb	/cvmfs/lhcb.cern.ch/etc/grid-security/ 下的对应目录

10.3.3 提交作业

使用 hep_sub 命令的 -cert x509 参数提交需要证书认证的作业，并通过 -in 指定代理证书文件路径：

hep_sub job.sh -in /path/to/x509up_uid -cert x509

参数说明：

• -cert x509 ：指定使用 x509 证书认证模式，hep_sub 会将 +HepJob_CertType = "x509" 写入 HTCondor ClassAd，作业系统据此为作业配置证书环境
• -in /path/to/x509up_uid ：指定代理证书文件路径，hep_sub 会将其随作业传输到 worker 节点的 $TMPDIR 中

10.3.4 T3 → T2 文件访问

从 T3 站点（besproxy01.ihep.ac.cn，对应 /publicfs/cms/ 公共存储）访问 T2 站点（cceos.ihep.ac.cn，对应 EOS 存储）的文件：

# 列出 T2 EOS 目录
xrdfs root://cceos.ihep.ac.cn ls /eos/ihep/cms/store/user/<username>/

# 从 T3 worker 上传文件到 T2 EOS
xrdcp localfile root://cceos.ihep.ac.cn//eos/ihep/cms/store/user/<username>/

# 从 T2 EOS 下载文件到 T3 worker 节点
xrdcp root://cceos.ihep.ac.cn//eos/ihep/cms/store/user/<username>/remotefile .

10.3.5 T2 → T3 文件访问

从 T2 站点访问 T3 公共存储（besproxy01.ihep.ac.cn）：

# 列出 T3 公共存储目录
xrdfs root://besproxy01.ihep.ac.cn:2094/ ls /publicfs/cms/user/<username>/

# 从 T2 worker 上传文件到 T3
xrdcp localfile root://besproxy01.ihep.ac.cn:2094//publicfs/cms/user/<username>/

# 从 T3 下载文件到 T2 worker 节点
xrdcp root://besproxy01.ihep.ac.cn:2094//publicfs/cms/user/<username>/remotefile .

10.3.6 使用 gfal 工具

除 xrootd 客户端外，也可使用 gfal-* 系列命令。需确保 gfal 工具在 PATH 中（例如添加 /cvmfs/grid.cern.ch/alma9-ui-test/usr/bin）：

export PATH=$PATH:/cvmfs/grid.cern.ch/alma9-ui-test/usr/bin

# 列出目录
gfal-ls root://cceos.ihep.ac.cn//eos/ihep/cms/store/user/<username>/

# 复制文件
gfal-copy localfile root://cceos.ihep.ac.cn//eos/ihep/cms/store/user/<username>/

10.3.7 验证证书状态

在提交作业前，可在登录节点验证 x509 代理证书是否有效：

grid-proxy-info          # 查看代理证书基本信息
voms-proxy-info --all    # 查看 VOMS 扩展信息（含 VO、角色等）

如代理证书即将过期，使用以下命令重新生成：

grid-proxy-init -valid 72:0 -out /path/to/x509up_uid

常见问题（FAQ）

见常见问题。

🤖 AI 助手

💬 快速提问 ×

有问题？输入后跳转到对话页继续交流

发送 →