Онлайновые (подключённые) службы авторизации Online (Connected) Authorization Services
Простыми словами
Обратите внимание на последнее слово определения: служба приходит «to arrive at a permission recommendation», то есть рекомендует разрешение, а не выносит приговор. Это прямое следствие разделения ролей — решение принимает точка принятия решения, исполняет точка обеспечения исполнения, и служба авторизации сама ничего не перекрывает. Второе, что стоит заметить, — три группы атрибутов на входе: идентичность, среда и активы. Это ровно те же входы, что перечислены для PDP, только названные со стороны службы. Ошибка, которую делают чаще всего, — путать авторизацию с управлением доступом: второе назначает и отзывает привилегии заранее, первое применяет их в момент запроса. Руководство описывает эту связку прямо: «This is the classic PDP-PEP implementation where information provided by identity management and access management is used to determine access authorizations».
Примеры
Службы контроля доступа делятся надвое: аутентификация пускает в среду по идентичности, авторизация управляет доступом к конкретным ресурсам по правам. Обе опираются на сведения, заведённые управлением идентичностью и управлением доступом заранее.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.6.3 — Access Control Services как связка двух служб
«This process includes the use of distributed, on-demand authorization services» — то есть служба не обязана быть одним центральным механизмом. Соотношение количеств задано отдельно: точек принятия решения в целом должно быть меньше, чем точек исполнения.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.6.5 и 4.2 — определение онлайновой авторизации и оговорка о числ…
Атрибуты активов в определении названы метками (tags). Их наполнение — задача политико-управляемой части: замысел руководства в том, чтобы определять политику шифрования централизованно и применять её по меткам содержимого, привязанным прямо к целям.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.3 и 4.6.10 — замысел политико-управляемого применения по меткам…
Определение из первоисточника
дословная выпискаOnline authorization services evaluate identity, environment, and asset attributes (tags) against policies (sets of rules) to arrive at a permission recommendation. This process includes the use of distributed, on-demand authorization services.
Онлайновые службы авторизации оценивают атрибуты идентичности, среды и активов (метки) относительно политик (наборов правил), чтобы прийти к рекомендации о разрешении. Этот процесс включает использование распределённых служб авторизации по требованию.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийГраф связей реестраРеестр процессов