Le contrôle d'accès d'une mémoire virtuelle répartie dans les systèmes à espace d'adressage uniforme est souvent réalisée par capacités logicielles à mot de passe. Ceci permet à l'utilisateur de manipuler les capacités comme des données banalisées. Cette thèse reprend l'idée de protection par capacités logicielles, mais en les cachant à l'utilisateur. On est alors capable d'ajouter la protection à une application répartie existante sans toucher au code de cette application. Les résultats sont étayés par la réalisation et l'évaluation d'un prototype.

Cette thèse décrit la conception et la mise en oeuvre d'un service de stockage fiable et extensible. Les travaux ont été faits dans le cadre de Sirac, un système réparti à objets persistants. L'objectif de Sirac est de fournir des services pour le support d'objets persistants répartis et pour la construction d'applications réparties. Les deux idées qui ont dirigé cette étude sont la souplesse des services offerts et la coopération entre les sous-systèmes. La souplesse, rendue possible par la conception modulaire du système, améliore les performances, étant donné que les applications doivent seulement payer le prix des services qu'elles utilisent. La coopération (par exemple entre le stockage et la pagination) permet aux différents modules de prendre des décisions en connaissance de cause. La thèse présente dans le second chapitre un état de l'art en trois parties. La première partie s'attache à étudier la manière dont un grand espace de stockage unique peut être présenté aux applications. La deuxième partie analyse la mise en oeuvre du stockage fiable en étudiant notamment différentes réalisations de l'atomicité. La troisième partie enfin montre comment ces deux aspects sont mariés dans les systèmes modernes. Dans le troisième chapitre, nous faisons un rapide tour d'horizon d'Arias et de ses différents sous-systèmes~: protection, cohérence, synchronisation et stockage. Au sein des différents services, nous distinguons d'un côté des modules génériques de bas niveau, et d'un autre côté des modules spécifiques aux applications. Les modules génériques mettent en oeuvre les mécanismes tandis que les modules spécifiques définissent la politique. Certains sous-systèmes sont toujours présents, comme la gestion de la cohérence et de la synchronisation, alors que d'autres, comme par exemple la gestion de la protection ou la gestion de la permanence, sont optionnels. Dans les quatrième et cinquième chapitres, nous nous concentrons sur le service de stockage. Le service générique de stockage est subdivisé en deux parties~: d'abord un gestionnaire de volume, qui assure la pérennité des données, et puis un service de journalisation, qui assure l'atomicité des transactions. Ce système a été mis en oeuvre au dessus d'AIX, et la coopération entre les différents modules s'appuie sur le mécanisme des streams. Les performances de notre système sont bonnes, et s'approchent des limites imposées par le matériel dans les cas favorables. Les projets futurs incluent la fourniture d'un vaste éventail de protocoles de journalisation spécifiques, le support de volumes dupliqués ainsi que l'optimisation du gestionnaire du volume.

Un système à mémoire virtuelle répartie unique permet l'utilisation des adresses virtuelles comme identificateurs globaux uniques. Il faut donc séparer la résolution des adresses et le contrôle d'accès, parce qu'une adresse virtuelle est potentiellement visible par toute application dans le système. Nous proposons un modèle de contrôle d'accès pour une mémoire virtuelle répartie unique qui se base sur le modèle à capacités cachées. Le modèle se base sur les notions suivantes : la capacité (un droit d'accès simple), le domaine de protection (définit le contexte de protection par l'ensemble des capacités disponibles dans le domaine) et l'appel de changement de domaine (qui permet d'appeler une procédure désignée dans un autre domaine de protection). Deux principes de base sont très importants pour le modèle : l'utilisation des capacités confinées et la délégation contrôlée à travers des interfaces de protection. Les interfaces de protection permettent une séparation entre la spécification de la protection et le code de l'application. L'évaluation de notre modèle indique qu'il permet de réaliser la plupart des modèles de contrôle d'accès existants y compris le modèle mandataire de Bell & LaPadula. Le modèle à capacités cachées a été réalisé dans Arias, une mémoire virtuelle répartie unique conçue et développée au sein du projet SIRAC. Les expériences avec cette réalisation montrent que la séparation entre la spécification de la protection et le code de l'application facilite la réutilisation logicielle et l'évolution de l'application. L'efficacité d'un appel de changement de domaine correspond à celui d'un appel RPC standard.