特权管理基础设施之应用结构

4.应用结构

PMI基于PKI建设，在应用中也和PKI-起为应用程序提供安全支撑，其中PKI可以很好地为应用解决用户身份认证的问题，而PMI则可以很好地解决应用访问控制的问题。两者和应用系统结合的逻辑结构如下图所示：

　　图中各部分说明如下：

1)访问者、目标

访问者是一个实体（该实体可能是人，也可能是其他计算机实体），它试图访问应用系统内的其他目标（资源）。

2)策略

授权策略展示了一个机构在信息安全和授权方面的顶层控制，授权遵循的原则和具体的授权信息。在一个机构的PMI应用中，策略应当包括一个机构将如何将它的人员和数据进行分类组织，这种组织方式必须考虑到具体应用的实际运行环境，如数据的敏感性，人员权限的明确划分，以及必须和相应人员层次相匹配的管理层次等因素。所以，策略的制定是需要根据具体的应用量身定做的。

策略包含着应用系统中的所有用户和资源信息以及用户和信息的组织管理方式；用户和资源之间的权限关系；保证安全的管理授权约束；保证系统安全的其他约束。一般采用基于角色的访问控制( Role-Based Access Control，RBAC)。

3)授权检查

授权检查，即访问控制执行点( Access Control Enforcement Function，AEF)，在应用系统中，介于访问者和目标（资源）之间，用在这里检查访问者是否具有适当的访问目标（资源）的权限。当访问者申请访问时，授权检查点向访问控制决策点申请授权，并根据授权决策的结果实施决策，即对目标执行访问或者拒绝访问。在具体的应用中，授权检查点可能是应用程序内部中进行访问控制的一段代码，也可能是安全的应用服务器（如在We堋艮务器上

增加一个访问控制插件），或者是进行访问控制的安全应用网关。

4)访问控制决策点

访问控制决策点( Access Control Decision Function，ADF)，接收和评价授权请求，根据具体策略做出不同的决策。它一般并不随具体的应用变化，是一个通用的处理判断逻辑。 当接收到一个授权请求时，根据授权的策略，访问者的安全属性以及当前条件进行决策，并决策结果返回给应用。对于不同应用的支持是通过解析不同的定制策略来完成的。