ГОСТ Р ИСО/ТС 22600-2—2009
Контролер наделяет объект, известный как поставщик полномочий, глобальным полномочием,
распространяющимся на делегирование. Поставщик полномочий является уполномоченным лицом по
атрибутам. Он делегирует полномочия заявителям путем выдачи сертификатов атрибутов. Заявитель
предъявляет делегированное ему полномочие, демонстрируя свою подлинность. Это может быть
сделано путем доказательства обладания секретным ключом, открытая часть которого содержится в
сертификате открытого ключа, на который ссылается сертификат атрибутов, содержащий заявленное
полномочие.
В некоторых случаях один заявитель может делегировать свое полномочие другому заявителю.
Контролердолжен подтвердить, что все объекты на пути делегирования обладаютдостаточными полномо
чиями для доступа к цели, затребованной непосредственным заявителем.
Поставщик полномочий может также отреагировать на запрос объекта наделегирование его полно
мочий выдачей сертификата атрибутов другому объекту. Однако описание этого процесса выходит за
область применения настоящего стандарта.
Заявитель и контролер могут быть объектами из разных зон безопасности. В этом случае поставщик
полномочий может располагаться в зоне контролера, а непрерывная часть пути делегирования, включаю
щая непосредственного заявителя, должна находиться в другой зоне безопасности.
Путьделегирования отличается от пути проверки достоверности сертификатов, используемого для
удостоверения подлинности сертификатов открытого ключа объектов, вовлеченных впроцессделегирова
ния. Однако качество аутентичности, обеспечиваемое процессом удостоверения подлинности сертифика
та открытого ключа, должно быть соразмерно с важностью защищаемой цели.
Определяя функциональную совместимость между распределенными объектами или компонента
ми. группа управления объектами (OMG) создала альтернативную модель делегирования в рамках своей
спецификации сервисов безопасности CORBA. В объектной системе клиент вызывает объектдля выполне
ния некоторого действия, но этот объект нередко не может выполнить это действие сам и вызывает для
этогодругие объекты. Результатом этого обычно является цепочка вызовов других объектов {более под
робно см. на сайте wv/w.omg.org).
При делегировании полномочий информация о правахдоступа принципала (т.е. атрибуты безопас
ности). инициировавшего запрос, может бытьделегирована другим объектам в цепочке, чтобы при опреде
ленных обстоятельствах ее получатель имел право действовать от имени этого принципала.
Другая схема авторизации использует ссылочное делегирование, при котором права на использова
ние объекта при заданных условиях передаются получателю как часть ссылки на объект. Ссылочное
делегирование не рассматривается в настоящем стандарте.
При описании возможностей делегирования, предложенных группой по управлению объектами (OMG),
применяют следующие термины:
- инициатор (initiator): Первый клиент в цепочке вызовов.
- конечная цель (final target): Конечный получатель в цепочке вызовов.
- посредник (intermediate): Объект в цепочке вызовов, который не является ни инициатором, ни ко
нечной целью.
- непосредственно вызывающий (immediate invoker): Объект или клиент, от которого объект полу
чает вызов.
Обмен медицинской информацией нередко связан с цепочкой поставщиков, реализующих этот обмен
(в котором, например, участвуют секретари, медрегистраторы, вспомогательные отделения, а также
любые другие принципалы). Данная модель делегирования должна использоваться для любой
такой цепочки услуг. См. таблицу 5.
4.9 Модель контроля доступа
Использование ролей может значительно упроститьадминистрирование информационной безопас
ности. Кроме того, может потребоваться введение административных ограничений. Например,достаточно
широко используется ограничение авторизации по принципу разделения обязанностей.
Базовыми элементами управления контролем доступа являются принципалы, роли, разрешения,
операции и объекты. Управление контролем доступа включает в себя следующие аспекты:
- определение ролей и ограничений ролей:
- назначение роли пользователю:
- назначение разрешений роли;
- задание ограничений для активизации ролей, назначенных пользователю.
14