ГОСТ ISO/TS 22600-3—2013
производительность в ситуации, когда в течение данного периода делается много актов доступа и значительная их
часть используетодинаковые атрибуты запроса на доступ.
При принятии решения об использовании такого сервиса необходимо учитыватьследующее:
- извлекаемые данные состоят из комплексных или кратных элементов;
- требуется обработка кратных элементов;
- необходима поддержка сложных языков описания политик (например, языка XACML);
- пониженная скорость реакции сервиса допустима.
Если необходима быстрая реакция и решение об авторизации может быть принято на основе обладания
определенной ролью, в первую очередь структурной, то следуетрассмотреть возможность использования сервиса
на базе каталога LDAP.
Сервисы обработки политик пригодны для ситуаций, когда принятие решенияосновано на участии в рабочем
процессе, особенно на обладании функциональными ролями (см. А.11.1). В базовой инфраструктуре управления
привилегиями можетиспользоваться сочетаниесервиса набазекаталога LDAP исервисов обработки политик|16|.
А.6.4 Точки принятия решений о политике
Точки принятия решений о политике могут быть реализованы многими способами в зависимости от использо
ванной модели инфраструктуры (см. профиль SAML 2.0для утверждений на языке XACML). Ониотвечаютза приня
тие решения, может ли запрос контроля доступа быть удовлетворен или должен быть отвергнут. Решение должно
бытьосновано на политиках, которые точка принятия решений ополитике может получить от одного или нескольких
хранилищ политик. При принятия решения может использоваться также дополнительная информация контроля
доступа. Принятое решение возвращается заявителю непосредственно через точку применения политикиличерез
промежуточное программное обеспечение, например, обработчик контекста.
При реализации точки принятия решений о политике необходимо учитывать следующее.
- точка должна размещаться таким образом, чтобы ею можно было централизованно управлять;
- дпя описания передаваемых запросов контроля доступа и решений о доступе используйте язык XACML;
- обеспечьте безопасность точки принятия решений о политике и коммуникаций междупроцессами;
- рассмотрите варианты размещения точки в приложении (местное принятие решений), в сети (централизо
ванное принятие решений) или смешанный вариант;
- рассмотрите способы гарантирования выполнения решений, переданных точке применения политик.
- дпя улучшения производительности точки принятия решений о политике используйте аппаратные ускори
тели.
Существует большое число архитектурных решений, повышающих безопасность и гибкость инфраструкту
ры. основанной на применении точек принятия решений о политиках (17].
А.7 Системы управления идентификацией
Для некоторых функциональных областей инфраструктуры управления привилегиями необходима защи
щенная подсистема управления идентификацией IdM (identitymanagement subsystem), отвечающая за безопасное
предоставление идентифицирующей информации и функций управления идентификацией. К этим функциям отно
сятся:
- административные функции (регистрация пользователей, управление паролями);
- функции контроля идентифицирующих данных (метаданные, содержание данных);
- функциидоступа (запросы аутентификации, конфиденциальность);
- управление жизненным циклом (настройка, применение обновлений, аварийное восстановление);
- функции резервного копирования, аудита, ведения журналов, выдачи отчетов.
В подсистеме управления идентификацией должны быть обеспечены защищенные механизмы запросов и
передачи идентифицирующей информации, обычно с использованием взаимной аутентификации. Доступ к этой
подсистеме надо рассматривать каксервис,доступныйво всей организации. Такая подсистема может быть развер
нута в организации различными способами:
- как авторитарный источник, интегрированный в базовую инфраструктуру управления привилегиями;
- как административная функция,доступная этой инфраструктуре по мере необходимости:
- как отдельное специализированное решение.
Реализацияподсистемы управления идентификацией в виде сервиса имеетопределенные преимущества по
сравнению с реализацией в виде местного специализированного приложения. По своей природе сервисы предла
гают сетевые интерфейсы, использующиестандартные протоколы, чтообеспечиваетбольше гибкости при измене
ниях архитектуры организации. Сервис управления идентификацией может управляться централизованно, что
позволяет обеспечить согласованное применение политик безопасности и политикделовых процессов.
А.8 Аудит
Основным назначением подсистемы аудита является обеспечение учета действий, совершаемых агентами
вычислительной сети. Аудит не является инструментом использования привилегий для разрешения доступа или
отказа в доступе к защищаемому ресурсу. Однако подсистема аудита должна взаимодействовать с инфраструкту
рой управления привилегиями, с тем чтобы можно было проверить правильность ее функционирования. Обсужде
ние использования аудита в информационных системах здравоохранения см. в документе RFC 3881 (51).
34