ГОСТ ISO/TS 22600-3—2013
Приложение А
(справочное)
Инфраструктура управления привилегиями
А.1 Гармомизация настоящего приложения со стандартом ASTM Е2595-07
В существующих стандартах, включая ANSI Х9.45 (46!. ISO/IEC 9594-8, IETF RFC 3280 Х.509 [47].
OASIS SPML. SAML.WS-* и XACML определен ряд механизмов, которые можно использоватьдля конструирования
инфраструктуры управления привилегиями, специфичнойдля здравоохранения. Книмотносятся описанныедалее
возможности.
Привилегии, необходимые для доступа к целевому объекту, обозначены в удостоверении авторизации зая
вителя. Таким удостоверением может быть сертификат авторизации, соответствующий стандарту ISO/IEC 9594-8
(частная форма сертификата атрибута), или описание набора политик, совместимое со стандартом XACML либо с
другими справочными стандартами авторизации.
Категория чувствительности или иные свойства целевого объекта, к которому требуется доступ, могут хра
ниться в местной базе данных или в подписанной структуре данных. Настоящее приложение не определяет стан
дартный способ представления этой информации, поскольку он оставлен на местное усмотрение. Он содержит
указания, как такая информация может быть представлена и обработана с помощью общих способов описания,
например, синтаксиса ASN.1 и языка XML. Если надданным целевым объектом может быть выполнено несколько
разных операций, то каждая такая операция может иметь свой набор атрибутов чувствительности.
Политика привилегий может храниться централизовано или локально либо передаваться в виде подписан
ной структуры данных. Различные операции над целевым объектом могут быть предметом разных политик приви
легий. В настоящем приложении описано несколько стандартных политик, и конкретные службы могут
использоватьдополнительные политики.
В парадигме авторизации документа требования равнозначных подписей могут быть ассоциированы с
пользователем или документом, например, подписанныйдокумент можетсчитаться авторизованным (юридически
значимым) только в том случае, когда к нему приложены все необходимые подписи.
Пользователи могутделегировать привилегиидругим пользователям.
Пользователям могут быть назначены роли, позволяющие передавать привилегии.
Некоторые авторизации могут быть настолько динамичными, что их включение в корпоративную структуру
авторизации будет нецелесообразным (вследствие того что стоимость их эксплуатации будет слишком велика, а
срок их жизни будет кратким либо они будут часто меняться). Такие авторизации могут храниться в базе данных
авторизации местного сервера и назначаться в форме переменных среды.
В оставшейся части настоящего приложения обсуждаются механизмы передачи привилегий, а также инфор
мации о чувствительности и политике в распределенной инфраструктуре управления привилегиями.
А.2 Базовая инфраструктура управления привилегиями
А.2.1 Сервисы инфраструктуры управления привилегиями
Базовая инфраструктура управления привилегиями описывает отношения между компонентами абстракт
ной системы ролей и компонентами нижележащей инфраструктуры безопасности.
Модель контролядоступа, описанная в стандарте ISO/TS 22600-1. расширяется до распределенной архитек
туры безопасности или сервис-ориентированной архитектуры в соответствии срисунком А.1.Контролер показан со
своими компонентами PDP/PEP (точкой принятия решения о политиках и точкой применения политик). В защищен
ной сервис-ориентированной архитектуре безопасная аутентификация и авторизация предоставляются приложе
ниям каксервисы. На рисунке А.1 показано абстрактное представление моделей контролядоступа, предложенных
в стандарте ISO/IEC 10181-3 (PDP/PEP в терминологии организации OASIS).
Если удалить внешнего (по отношению к целевомуобъекту)контролера, то получится традиционная модель
контроля доступа. Различные варианты реализации могут быть получены с помощью функциональных размеще
ний сервиса между уровнем приложения и уровнем сервис-ориентированной архитектуры. Информация контроля
доступа используется для информирования точки принятия решения о политиках POPодополнительных условиях,
влияющих на принятие решения.
А.2.2 Информация контроля доступа
Информация контроля доступа (ACI). определенная в стандарте ISO, включает в себя следующие данные.
а) Информация контроля доступа инициатора или пользователя:
- индивидуальная идентификация контроля доступа;
- идентификатор иерархической группы, в которой заявлено участие, например, должность в организации.
- идентификатор функциональной группы, в которой заявлено участие, например, идентификатор проекта
или рабочей группы;
- роль, которая может быть принята;
19