Службы авторизации Authorization Services
Простыми словами
Вторая половина управления доступом: аутентификация установила, кто перед нами, авторизация решает, что этому кому-то позволено. Опора — принцип наименьших привилегий, причём стандарт настаивает, что он одинаково обязателен для людей и для процессов и приложений: программа, написанная с лишними правами, увеличивает ущерб от собственного использования во зло. Делится надвое, и деление это временнóе, а не техническое: онлайновая авторизация решает при наличии связи, оценивая атрибуты идентичности, среды и актива против правил, а офлайновая должна давать верный ответ без связи и во враждебном окружении — и в 2011 году она названа направлением, которое может не появиться и за ближайшие три-пять лет. Ошибка — думать, что решение выводится из одной роли: точке решения нужны четыре разных вида данных.
Примеры
«Online authorization services evaluate identity, environment, and asset attributes (tags) against policies (sets of rules) to arrive at a permission recommendation.» Обратите внимание на слово рекомендация: решение выдаётся точке исполнения, а не применяется само.
Open Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security (The Open Group Guide, April 2011, G112), разд. 4.6.5 — онла…
«Offline authorization services correctly determine permission in offline situations and in potentially hostile environments. This is a future direction that may not be realized in the next three to five years.» Планируя на этой строке, стоит помнить дату издания — 2011 год.
Open Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security (The Open Group Guide, April 2011, G112), разд. 4.6.5 — офла…
«Maintenance and retrieval of target data are among the most difficult functions of policy-driven security architecture.» Про инициатора известно многое, про среду тоже, а классификация цели чаще всего оказывается зашитой внутрь самого приложения.
Open Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security (The Open Group Guide, April 2011, G112), разд. 4.3.1 — данн…
Определение из первоисточника
дословная выпискаAuthorization services determine what a properly authenticated user is allowed to do. The authorization process ensures that users are allowed only the access they require to do their jobs. This is referred to as the principle of least privilege and is as important for electronic users (processes or applications) as it is for human users. As an example, adherence to the principle of least privilege in program design reduces the damage that can occur if a user attempts to exploit that program for mischievous or malicious purposes.
Службы авторизации определяют, ЧТО позволено делать надлежащим образом аутентифицированному пользователю. Процесс авторизации обеспечивает, чтобы пользователям предоставлялся только тот доступ, который нужен им для работы. Это называется принципом наименьших привилегий и настолько же важно для электронных пользователей (процессов или приложений), насколько и для людей. Например, соблюдение принципа наименьших привилегий при проектировании программы уменьшает ущерб, который может возникнуть, если пользователь попытается употребить эту программу во вред или со злым умыслом.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Разделяется на онлайновую (подключённую) и офлайновую авторизацию.
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийГраф связей реестраРеестр процессов