РАЗРЕШАТЬ

PERMIS на основе политик (Стандарты инфраструктуры управления привилегиями и ролями) — это сложная система авторизации ) Национального института стандартов и технологий США ( NIST , которая реализует расширенную версию стандартной модели управления доступом на основе ролей ( RBAC ) . PERMIS поддерживает распределенное назначение ролей и атрибутов пользователям несколькими распределенными органами по атрибутам, в отличие от модели NIST, которая предполагает централизованное назначение ролей пользователям. PERMIS предоставляет криптографически безопасную инфраструктуру управления привилегиями ( PMI ) с использованием технологий шифрования с открытым ключом и X.509 сертификатов атрибутов для хранения атрибутов пользователей. PERMIS не предоставляет никакого механизма аутентификации, но оставляет приложению право определять, что использовать. Сила PERMIS заключается в его способности интегрироваться практически в любое приложение и любую схему аутентификации, такую как Shibboleth (Internet2) , Kerberos , имя пользователя/пароли, сертификаты Grid -прокси и инфраструктуру открытых ключей ( ПКИ ).

В качестве стандартной системы RBAC основными объектами PERMIS являются:

политика авторизации,
набор пользователей,
набор администраторов (полномочий по атрибутам), которые назначают роли/атрибуты пользователям,
набор ресурсов, которые необходимо защитить,
набор действий над ресурсами,
набор правил контроля доступа,
и факультативные обязательства и ограничения.

Политика PERMIS основана на расширяемом языке разметки ( XML ) и содержит правила для назначения ролей пользователя и назначения ролей, причем последнее содержит дополнительные обязательства, которые возвращаются приложению, когда пользователю предоставляется доступ к ресурсу. Политика PERMIS может храниться либо в виде простого текстового XML-файла, либо в виде атрибута в подписанном сертификате атрибута X.509 для обеспечения защиты целостности и обнаружения несанкционированного доступа. Роли и атрибуты пользователей могут храниться в безопасных подписанных сертификатах атрибутов X.509 и храниться в каталогах протокола облегченного доступа к каталогам ( LDAP ) или в репозиториях распределенной разработки и управления версиями через Интернет ( WebDAV ), или они могут создаваться по требованию в качестве утверждения безопасности. Утверждения атрибутов языка разметки ( SAML ).

Механизм авторизации PERMIS состоит из двух компонентов: службы проверки учетных данных, которая проверяет роли пользователей в соответствии с правилами назначения ролей пользователей, и точки принятия решения о политике (PDP), которая оценивает запросы пользователей на доступ в соответствии с правилами назначения ролей и разрешений (или правила контроля доступа). Доступ к ресурсу зависит от ролей/атрибутов, назначенных пользователю, а также от назначений ролей и разрешений, которые могут содержать ограничения, основанные на запросе доступа пользователя (например, «распечатать менее 10 страниц») и среде (например, время суток). ). PERMIS может работать либо в режиме push (назначения пользовательских атрибутов отправляются приложением в PERMIS), либо в режиме pull (PERMIS сам извлекает назначения атрибутов из репозиториев LDAP/WebDAV или органов атрибутирования SAML).

PERMIS уникален своей поддержкой криптографической защиты атрибутов/ролей пользователей и политикой, которая гарантирует их целостность и защищает их от несанкционированного доступа. К нему постоянно добавляются новые функции, такие как стандартный интерфейс расширяемого языка разметки контроля доступа ( XACML ), который позволяет беспрепятственно обмениваться PDP PERMIS и XACML, возможность принимать утверждения атрибутов SAML , поддержку динамического делегирования полномочий и разделения обязанностей. политики, а также недавнее добавление контролируемого интерфейса на естественном языке (на английском языке) для написания простых политик PERMIS. ^[1]

См. также

Авторизация
Управление идентификацией
Служба аутентификации и авторизации Java (JAAS)
Облегченный протокол доступа к каталогам (LDAP)
RBAC (ролевое управление доступом)
Х.509
Шибболет
SAML (язык разметки утверждений безопасности)
Керберос
XACML (расширяемый язык разметки контроля доступа)
PKI (инфраструктура открытых ключей)

Ссылки

^ «Модульный проект ПЕРМИС» .

Внешние ссылки

[1] «Модульный проект ПЕРМИС» .

[1]