Точка обеспечения исполнения политики (PEP) Policy Enforcement Point (PEP)
Простыми словами
Сторожевая функция перед ресурсом: «The guard function that enforces policy decisions for target resources». В отличие от точки решения она ничего не вычисляет по политике — она перехватывает запрос, спрашивает и исполняет ответ. Главная практическая трудность в том, что на местности она почти никогда не выглядит отдельным элементом: в файловой системе, базе данных или межсетевом экране она встроена в сам продукт, а у веб-доступа это агент или подключаемый модуль сервера. Отсюда ошибка при инвентаризации — искать PEP как изделие и не находить, хотя он есть в каждом продукте. Руководство предупреждает об этом дважды: «Again, the level of integration between PEPs and services and between PEPs and PDPs may vary widely».
Примеры
«Requests are intercepted by PEPs, packaged into a decision request, and forwarded to a PDP to determine whether a particular request should be granted or denied». Инициатор при этом обращается к цели и о существовании сторожа обычно не знает.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.3.1 — основной ход работы модели
Соотношение задано намеренно: исполнителей много, потому что они стоят у каждого ресурса, а точек решения меньше, чтобы сократить администрирование политики и снять с исполнителей сложную логику. Обратная пропорция — признак того, что политика размазана по местам.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.2 — определение Policy Decision Point, оговорка о числе PDP и PEP
Сегодня, пишет руководство, часть логики решения приходится встраивать в само приложение, чтобы работать с данными цели. Будущее решение видится иначе: «a more generalized solution will provide mechanisms for the PDP to query the PEP for target attributes required in the decision-making process» — то есть сторож станет ещё и поставщиком сведений.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.3.1 — Target Data, признание трудности и заявленное направление
Определение из первоисточника
дословная выпискаThe PEP enforces policy at runtime, based on the policy decisions made by the PDP. PEP functionality may be tightly integrated with the security service, as in the case of typical file system, database, or firewall product implementations. Alternatively, it may be a separate agent or plug-in that extends a service implementation to provide policy enforcement, as in the case of web access management agents or web server plug-ins that control access to web pages.
PEP обеспечивает исполнение политики во время выполнения на основе решений по политике, принятых PDP. Функциональность PEP может быть тесно интегрирована со службой безопасности, как это бывает в типичных реализациях файловой системы, базы данных или межсетевого экрана. Либо это может быть отдельный агент или подключаемый модуль, расширяющий реализацию службы до обеспечения исполнения политики, — как у агентов управления веб-доступом или подключаемых модулей веб-сервера, управляющих доступом к веб-страницам.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Разд. 4.3.1 добавляет определение той же точки как участника модели
«The guard function that enforces policy decisions for target resources». Документ оговаривает соотношение количеств: «There may be multiple PDPs and PEPs, but overall there should be fewer PDPs than PEPs».
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийГраф связей реестраРеестр процессов