文档介绍：PMI
技术白皮书
总部:中国·长春前进大街2266号
电话:86-0431-5173333传真:86-0431-5172696
吉大正元信息技术股份有限公司
目录
产品相应技术 2
PMI概览 2
权限管理基础设施 4
PMI的定义 4
为什么不是PKI 5
PKI和PMI的关系 6
属性权威 7
权限管理 8
属性证书的特点 8
PMI模型 9
访问控制框架 10
访问控制抽象模型 10
策略规则 12
授权策略 12
基于PMI建立安全应用 13
PMI应用结构 13
应用方式 14
建立访问控制系统 15
访问控制流程 15
PMI中技术的应用 15
系统简介 16
需求背景 16
产品简介 17
产品功能 17
实施接口 17
身份信息获取 17
访问实施接口(AEF API) 18
决策服务 18
策略决策点(PDP) 18
策略管理功能 18
资源管理 18
角色管理 18
用户管理 18
授权策略的管理 19
委托管理 19
系统管理功能 19
系统运行环境信息的管理 19
首席用户 19
管理员 19
产品特点 19
系统结构 20
硬件设施结构 20
软件系统结构 20
系统工作过程 21
支持环境 21
硬件设备 21
支持软件 21
专用技术词汇 22
产品相应技术
PMI概览
计算机网络能有效地实现资源共享,但资源共享和信息安全是一对矛盾体。随着资源共享的进一步加强,随之而来的信息安全问题也日益突出,而身份认证,权限和访问控制又是网络应用安全的两个重要内容,因此它们也成为了当前信息安全领域中的研究热点。许多应用系统都需要分别在这两个方面采取了相应的安全措施。
但是,对一些大型的组织机构来说,其网络结构比较复杂,应用系统比较多,如果分别对不同的应用系统采用不同的安全策略,则管理将变得越来越复杂,甚至难以控制。不同的用户对应不同的应用系统,由于机构的网络结构比较复杂,应用系统和用户都是分散分布的,因此对用户的访问控制和权限管理就显得非常的复杂和凌乱。而机构必须要能够控制:有“谁”能够访问机构的信息,用户访问的是“什么信息”,哪个用户被授予什么样的“权限”。一旦机构确定了权限管理和发布的方式,访问控制系统就可以根据机构发放的权限以及定义的安全策略控制用户访问,保护应用系统。然而,过去在权限生命周期管理,权限的表达和权限管理方式方面没有更成熟更实用的成果,权限管理方案发展相对滞后。
相反,访问控制,或者说授权服务,已经十分成熟,在过去的研究和应用中已经获得了很多的成果,建立了我们目前主要使用的DAC,ACL,MAC,RBAC访问控制模型,其中ACL和MAC得到了最普遍的应用。目前,RBAC模型也已经比较成熟,支持了最新的应用。
传统的应用系统通常是通过使用用户名和口令的方式来实现对用户的访问控制的,而对权限的控制是每个应用系统分别进行的,不同的应用系统分别针对保护的资源进行权限的管理和控制,这种方式存在一些缺点。同时,又因为不同系统的设计和实施策略不同,导致了同一机构内存在多种权限管理的现状。目前,缺乏有效的权限管理带来了以下问题:
权限管理混乱
对一个机构而言,数据和人力资源都是统一的。但是由于系统设计的原因,可能同时对相同的人员采用不同的管理方式,对机构内的共享数据采用了不同的权限分配策略,这显然不合理,也不利于对机构资源的管理。
带来系统的不安全因素
不同的权限管理策略产生的安全强度是不同的。这就可能造成机构信息安全管理的漏洞,因此入侵者就有可能瞄准那些权限管理相对不安全的系统进行集中攻击,这就给机构资源的安全性带来极大的危害。
权限管理依赖于访问控制应用
权限的赋予和撤销往往都是在访问控制应用中产生的,不同的访问控制应用之间尽管有相同的用户和授权策略却往往不能互相使用对方产生的权限。每个应用都要维护自己的用户信息和授权方法,权限无法在分布的应用中和远程应用中使用。
资源所有者没有权限
应用系统负责权限的发放和使用,造成权限真正的拥有者不能有效,及时的更改,发布实时的权限信息。比如机构内一个人职务或业务的变化必须通知相关的不同应用中进行更新。而从本质上讲,权限的发放和权限的鉴别使用是完全不同的两个过程,完全可以分开,权限的拥有者发放权限,而由资源的保护者验证权限。
增加了系统管理员的负担
由于不同的系统采用的是不同的权限管理策略,系统管理员不得不熟悉和操作不同的权限管理模式,这无疑增加了系统管理员的负担。另外,大多数老系统都采用的是权限访问控制列表的方式,但是对于大型复杂应用用这种方式来分配权限,给系统管理员带来巨大负担且易出错。
开发复杂费用高
设计一个新的安全