Данные инициатора Initiator Data
Простыми словами
Это один из четырёх входов решения, а не профиль пользователя. Чтобы вынести решение, точка принятия решения сводит вместе данные инициатора, данные цели, данные среды и саму политику; выкинув любой из четырёх, получаешь не упрощение, а другое решение. Данные инициатора — самый обжитый из входов: они лежат в каталоге и наполняются службами управления идентичностью. Ошибаются обычно на нечеловеческих инициаторах: у службы или приложения понятие идентичности размыто, и руководство честно это признаёт — чаще всего служба выступает посредником за конечного пользователя, и тогда в решение идут данные именно пользователя, а собственный идентификатор службы годится лишь там, где она работает сама по себе. Контраст с соседним входом резкий: «Maintenance and retrieval of target data are among the most difficult functions of policy-driven security architecture».
Примеры
Разд. 4.3.1 перечисляет ровно четыре вещи, которые могут понадобиться PDP: данные инициатора, данные цели, данные среды и формулировка политики. Реестр держит их отдельными строками одного класса именно потому, что источники и трудности у них разные, а решение без любого из них получается другим.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.3.1 — перечень сведений, которые PDP может затребовать для решен…
Для приложения или службы данные идентичности определены хуже, чем для человека: «In many cases, the service or application is simply a proxy on behalf of some end user, so the identity data will probably be that of the end user». Собственный идентификатор службы — запасной случай.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.3.1 — оговорка про идентичность служб и приложений
Строка про хранение не деталь реализации, а указание на владельца: каталог LDAP наполняют службы управления идентичностью. Значит качество решений PDP упирается в дисциплину заведения и удаления учётных записей, а не в саму логику авторизации.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.3.1 и 4.4 — Initiator Data и архитектура управления идентичностью
Определение из первоисточника
дословная выпискаThis is data about the user, application, or service making the request. In the case of a human user, this is known as identity data and could include such things as company affiliation, job function, security clearance, roles, etc. For a service or application, identity data is less clear. In many cases, the service or application is simply a proxy on behalf of some end user, so the identity data will probably be that of the end user. If the application or service is working independently of a specific end user, service identity data might only be a company-defined service ID. In a more soph…
Это данные о пользователе, приложении или службе, делающей запрос. В случае пользователя-человека они называются данными идентичности и могут включать такие вещи, как принадлежность к компании, должностная функция, уровень допуска, роли и т. п. Для службы или приложения данные идентичности определены менее ясно. Во многих случаях служба или приложение — просто посредник от имени конечного пользователя, так что данными идентичности, вероятно, будут данные конечного пользователя. Если приложение или служба работает независимо от конкретного конечного пользователя, данными идентичности службы мо…
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Для человека это данные идентичности: принадлежность к компании, должностная функция, уровень допуска, роли. Для службы или приложения — чаще идентификатор службы, заданный компанией; в более развитой модели службам могут назначаться атрибуты разрешений. Хранятся, как правило, в LDAP-каталоге, создаются и поддерживаются службами управления идентичностью.
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийГраф связей реестраРеестр процессов