Службы управления доступом (контроля доступа) Access Control Services
Простыми словами
Это исполнение решения в момент обращения, а не раздача прав заранее — тем и отличается от службы управления доступом (access management), которая права назначает и сопровождает. Внутри распадается надвое: аутентификация отвечает, кто перед нами, авторизация — что этому кому-то позволено; O-ESA держит их одной службой, потому что обе работают на связке точки решения и точки исполнения. Первая частая путаница — с защитой границ: та тоже пускает или не пускает, но решает по трафику, а не по личности инициатора, и стандарт прямо противопоставляет эти два вида управления доступом. Вторая — думать, что служба сама знает права. Своих данных у неё нет: она пользуется тем, что заранее положили в репозиторий политики управление идентичностью и управление доступом, и потому её решения ровно настолько верны, насколько свежи эти данные.
Примеры
Раздел помечает управление доступом как ту самую классическую реализацию: «This is the classic PDP-PEP implementation where information provided by identity management and access management is used to determine access authorizations.» То есть служба не хранит прав, а спрашивает решение.
Open Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security (The Open Group Guide, April 2011, G112), разд. 4.6.3 — упра…
Защита границ у O-ESA решает по трафику: «Thus, it might also be referred to as traffic-based access control, as opposed to identity-based access control.» Управление доступом, наоборот, опирается на идентичность инициатора и его привилегии, поэтому сводить их в один слой нельзя.
Open Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security (The Open Group Guide, April 2011, G112), разд. 4.5.1 — защи…
«A provisioning function can be used to automate the process of updating the policy repository in a timely fashion, so that runtime policy decisions are accurate within an acceptable timeframe.» Провижининг стоит рядом не для удобства: без него служба будет исполнять устаревшее.
Open Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security (The Open Group Guide, April 2011, G112), разд. 4.3 — назнач…
Определение из первоисточника
дословная выпискаAccess control services are responsible for controlling user access to the enterprise computing environment based on the user’s identity (authentication services) and controlling access to specific resources within the environment based on the user’s entitlements or privileges (authorization services). This is the classic PDP-PEP implementation where information provided by identity management and access management is used to determine access authorizations.
Службы контроля доступа отвечают за управление доступом пользователя к вычислительной среде предприятия на основе идентичности пользователя (службы аутентификации) и за управление доступом к конкретным ресурсам внутри среды на основе прав или привилегий пользователя (службы авторизации). Это классическая реализация PDP-PEP, где сведения, предоставленные управлением идентичностью и управлением доступом, используются для определения полномочий доступа.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- То же определение почти дословно повторено в разд. 4.3. Раскладывается на две службы: аутентификации (кто пользователь) и авторизации (что ему позволено).
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийГраф связей реестраРеестр процессов