Ролевое управление доступом

При большом количестве пользователей традиционные подсистемы упр доступом становятся крайне сложными для админ-вания. Число связей в них произведению кол-ва пользователей на кол-во объектов.

Решением явл ролевое упр доступом (РУД): между польз и их привилегиями появляются промежуточные сущности – роли. Для каждого польз одновременно может быть активными несколько ролей, каждая из которых дает ему определенные права.

Ролевой доступ нейтрален по отношению к конкретным видам прав и способам их проверки; его м рассматривать как объектно-ориентированный каркас, облегчающий администрирование, поскольку он позволяет сделать подсистему разграничения доступа управляемой при сколь угодно большом числе польз, за счет установления между ролями связей, аналогичных наследованию в объектно-ориентированных системах. Кроме того, ролей д б значительно < чем польз ® число администрируемых связей становится сумме (а не произведению) количества пользователей и объектов, что по порядку величины уменьшить уже невозможно.

РУД оперирует след основными понятиями: пользователь (человек, интеллектуальный автономный агент и т.п.); сеанс работы польз; роль (обычно определяется в соответ с организационной структурой); объект (сущность, доступ к которой разграничивается; например, файл ОС, таблица СУБД); операция (зависит от объекта; для файлов ОС – чтение, запись, выполнение ...; для таблиц СУБД – вставка, удаление ..., для прикладных объектов операции м б более сложными); право доступа (разрешение выполнять опред операции над определ объектами).

Ролям приписываются пользователи и права доступа: роли именуют отношения "многие ко многим" между пользователями и правами. Роли м б приписаны многим польз-ям; 1 польз м б приписан нескольким ролям. Во время сеанса работы пользователя активизируется подмножество ролей, которым он приписан, в результате чего он становится обладателем объединения прав, приписанных активным ролям. Одновременно пользователь м открыть несколько сеансов.

Между ролями может быть определено отношение частичного порядка, называемое наследованием. Если роль r2 является наследницей r1, то все права r1 приписываются r2, а все пользователи r2 приписываются r1. Очевидно, что наследование ролей соответствует наследованию классов в объектно-ориентированном программировании, только правам доступа соответствуют методы классов, а пользователям – объекты (экземпляры) классов. Отношение наследования является иерархическим, причем права доступа и пользователи распространяются по уровням иерархии навстречу друг другу. В общем случае наследование является множественным, то есть у одной роли может быть несколько предшественниц (и, естественно, несколько наследниц, которых мы будем называть также преемницами).

Можно представить себе формирование иерархии ролей, начиная с минимума прав (и максимума пользователей), приписываемых роли "сотрудник", с постепенным уточнением состава пользователей и добавлением прав (роли "системный администратор", "бухгалтер" и т.п.), вплоть до роли "руководитель" (что, впрочем, не значит, что руководителю предоставляются неогранич права; как и др ролям, в соответствии с принципом минимизации привилегий, этой роли целесообразно разрешить только то, что необходимо для выполнения служебных обязанностей).

Введём понятие разделения обязанностей, причем в двух видах: статическом и динамическом.

Статич разделение обязанностей налагает ограничения на приписывание пользователей ролям: если польз приписан роли "бухгалтер", то он не может быть приписан роли "архивариус".

Динамическое разделение обязанностей отличается от статического только тем, что рассматриваются роли, одновременно активные для данного пользователя. Например, один пользователь может играть роль и кассира, и контролера, но не одновременно; чтобы стать контролером, он должен сначала закрыть кассу. Тем самым реализуется так называемое временное ограничение доверия, являющееся аспектом минимизации привилегий.

Проект стандарта содержит спецификации трех категорий функций, необходимых для администрирования РУД:

- Административные функции (создание и сопровождение ролей и др атрибутов ролевого доступа): создать/удалить роль/пользователя, приписать пользователя/право роли или ликвидировать существующую ассоциацию, создать/удалить отношение наследования между существующими ролями, создать новую роль и сделать ее наследницей/предшественницей существующей роли, создать/удалить ограничения для статического / динамич разделения обязанностей.

- Вспомогательные функции (обслуживание сеансов работы пользователей): открыть сеанс работы польз с активацией подразумеваемого набора ролей; активировать новую роль, деактивировать роль; проверить правомерность доступа.

- Информационные функции (получение сведений о текущей конфигурации с учетом отношения наследования). Здесь проводится разделение на обязательные и необязательные функции. К числу первых принадлежат получение списка польз-ей, приписанных роли, и списка ролей, которым приписан пользователь. Все остальные функции отнесены к разряду необяз-ых: получение инф о правах, приписанных роли, о правах заданного пользователя (которыми он обладает как член множества ролей), об активных в данный момент сеанса ролях и правах, об операциях, которые роль/пользователь правомочны совершить над заданным объектом, о статическом/динамическом разделении обязанностей.

Протокол OSPF.

OSPF - протокол кратчайшего пути (маршрута) – алгоритм Дейкстры. OSPF относится к протоколам отслеживания состояния каналов (в качестве метрики используется - коэффициент качества обслуживания). Качество м характеризоваться: пропускной способностью канала; задержкой (t распространения пакета); числом дейтограмм, стоящих в очереди для передачи; загрузкой канала; требованиями безопасности; числом шагов до цели; возможностями промежуточных связей (например, многовариантность достижения адресата).

Для того чтобы начать обмен маршрутной инф между
маршр-ами, необх установить связь между соседними
маршр-ами.

OSPF был спроектирован как протокол работы внутри сетевой области - AS (Autonomous System), которая представляет собой группу маршрутизаторов и сетей, объединенных по иерархическому принципу и находящихся под единым управлением и совместно использующих общую стратегию маршрутизации. Для транспортных целей OSPF исп IP непосредственно, т.е. не привлекает протоколы UDP или TCP.

OSPF поддерживает механизм, позволяющий работать с несколькими равноправными маршрутами между двумя объектами сети. Это позволяет существенно уменьшить время передачи данных и более эффективно использовать каналы связи. OSPF-протокол поддерживает аутентификацию изменений маршрутов. Это означает, что только те маршрутизаторы, которые имеют определенные права, могут осуществлять маршрутизацию пакетов. Это позволяет, при соответствующей настройке прав системы маршрутизаторов, передавать по сети конфиденциальные сообщения, зная заранее, что они проходят только по определенным маршрутам.

Каждый роутер периодически, в зависимости от настройки системы, отправляет сообщ о состоянии канала (LSA - messages). Каждое такое сообщение рассылается маршрутизаторам всей области. Из LSA-сообщений всех объектов формируется топологическая БД (дерево маршрутов). + сообщ LSA отправляются в том случае, когда ∆ состояние какого-нибудь роутера. Сообщения об ∆маршрутов м б вызваны: 1. Возраст маршрута достиг предельного значения (lsrefreshtime). 2. Изменилось состояние интерфейса. 3. Произошли изменения в маршрутизаторе сети. 4. Произошло изменение состояния одного из соседних маршрутизаторов. 5. Изменилось состояние одного из внутренних маршрутов (появление нового, исчезновение старого и т.д.) 6. Изменение состояния межзонного маршрута. 7. Появление нового маршрутизатора, подключенного к сети. 8. Вариация виртуального маршрута одним из маршрутизаторов. 9. Возникли изменения одного из внешних маршрутов. 10. Маршрутизатор перестал быть пограничным для данной as (напр, перезагрузился).

+ OSPF: при существовании эквивалентных маршрутов OSFP распределяет поток равномерно по этим маршрутам; поддерживается адресация субсетей (разные маски для разных маршрутов); при связи точка-точка не требуется IP-адрес для каждого из концов. (Экономия адресов!)

-: трудно получить инф о предпочтительности каналов для узлов, поддерживающих другие протоколы, или со статической маршрутизацией.