2018訪問控制系統(tǒng)的屬性注意事項(xiàng)NIST.SP.800-205

NIST特別出版物800?205屬性注意事項(xiàng)門禁系統(tǒng)計(jì)算機(jī)安全NISTSP800?205NISTSP800?205計(jì)算機(jī)系統(tǒng)技術(shù)報(bào)告(NIST(ITLITLITL800系列報(bào)ITL抽象的關(guān)鍵詞（ABAC）執(zhí)行摘要（（需要確定的主要興趣領(lǐng)域：（）四號(hào)NISTSP800?205NISTSP800?205vv（）。T))[1NISTNISTSP800?205六六目錄要 iv1簡介. 11.1的. 11.2范圍 21.3受眾. 21.4結(jié)構(gòu) 22素. 43事項(xiàng). 63.1準(zhǔn)備考慮73.1.1主題屬性準(zhǔn)備..73.1.2對(duì)象屬性準(zhǔn)備83.1.3屬性粒度93.1.4環(huán)境條件準(zhǔn)備103.1.5考慮示例. 103.2考慮103.2.1屬性可信度103.2.2屬性準(zhǔn)確度113.2.3考慮示例. 123.3考慮123.3.1存儲(chǔ)屬性133.3.2傳輸屬133.3.3例. 143.4考慮143.4.1刷新143.4.2同步143.4.3緩存..153.4.4備份153.4.5考慮示例. 153.5因素153.5.1組屬性使用元數(shù)據(jù)153.5.2屬性權(quán)限層次結(jié)構(gòu)173.5.3屬性轉(zhuǎn)換..173.5.4與身份驗(yàn)證集成183.5.5授183.5.6193.5.7志193.5.8注意事項(xiàng)例. 194架. 215方案 265.1例. 265.2說明 286論 29NISTNISTSP800?205七七附錄清單錄A表10和11的XACML現(xiàn)30錄B文獻(xiàn) 32圖列表圖統(tǒng) 5圖據(jù). 圖體)體)構(gòu). 圖)))略. 22圖B6和B6文 圖B6和B6例. 表格列表表例. 表例. 表例. 表例. 表例. 表例 表例. 表稱例. 表例. 表6射. 表6HRD表者. 26表者. 27NISTSP800?205NISTSP800?205事實(shí)上，所有授權(quán)系統(tǒng)都依賴于屬性來呈現(xiàn)訪問控制決策并最終對(duì)系統(tǒng)對(duì)象的主體訪問請(qǐng)求實(shí)施策略。（RBAC）（RBAC(ABAC)PDP策略和屬性通過一個(gè)或多個(gè)策略管理點(diǎn)進(jìn)行管理。無論部署哪種類型的授權(quán)方案，訪問控制決策的可信度都取決于屬性的準(zhǔn)確性、完整性和及時(shí)可用性。如果一個(gè)主題值滿誤意的 態(tài)。PDP)CP(XACML)（XML（）P由于涉及相對(duì)風(fēng)險(xiǎn)因素，用于存儲(chǔ)、管理和檢索屬性的方法非常重要。具有本地屬性的授權(quán)系統(tǒng)提供封閉的保護(hù)1NISTSP800?205NISTSP800?205PAGEPAGE11屬性永遠(yuǎn)不需要暴露給外界的邊界。在部署中屬性是從遠(yuǎn)程系統(tǒng)存儲(chǔ)、管理和檢索的，屬性容易受到這些系統(tǒng)的管理和保護(hù)策略以及用于傳輸屬性的網(wǎng)絡(luò)的影響。由于訪問控制系統(tǒng)類型和部署的可變性，本文檔一般側(cè)重于屬性屬性準(zhǔn)備、準(zhǔn)確性、安全性、就緒性和管理本文檔擴(kuò)展了1)NIST機(jī)構(gòu)間或內(nèi)部報(bào)告(NISTIR)8112中的信息，；)T))CC)R)RTP)L和本文檔的目標(biāo)受眾是實(shí)施訪問控制的組織實(shí)體應(yīng)用于組織的訪問控制實(shí)施。（(IT（本文檔中的章節(jié)和附錄如下：123準(zhǔn)確性、安全性、就緒性和管理。45評(píng)估方案包含不同應(yīng)用的示例，并解釋了屬性實(shí)踐聲明的使用。(OMBM?07?16XACML使用屬性的訪問控制系統(tǒng)可以實(shí)施廣泛的訪問控制策略。（NIST[1OMBM?04?04[7它建議應(yīng)用于ABAC系統(tǒng)內(nèi)的主體和客體以及環(huán)境條件的屬性實(shí)現(xiàn)，需要根據(jù)以下定義來解決一般屬性考慮因素。（XACML）（PDP）（PEP）（PAP（PIP織)6（（（遞（）（）（例）。1圖屬性必須標(biāo)識(shí)、定義和描述一組可用于確定用于訪問決策的屬性的準(zhǔn)則和標(biāo)準(zhǔn)。一旦權(quán)威來源定義了適當(dāng)?shù)膶傩院驮试S的值，就需要建立方法來為主體和客體提供適當(dāng)?shù)膶傩灾涤糜谕ㄐ?、存?chǔ)、檢索、更新或撤銷屬性的框架。此外，必須開發(fā)或采用接口和機(jī)制來實(shí)現(xiàn)這些屬性的共享。最后，需要建立一個(gè)屬性評(píng)估方案，以基于五個(gè)主要興趣領(lǐng)域帶來信心：安全性考慮用于安全傳輸和存儲(chǔ)庫的不同標(biāo)準(zhǔn)和協(xié)議（）需要考慮屬性存儲(chǔ)庫的數(shù)量。（））。應(yīng)確?？缃M織共享的屬性適用于所有用途，包括解決方案可能會(huì)受益于在參與屬性準(zhǔn)備的組織所有利益相關(guān)者之間建立密切的工作關(guān)系。屬性機(jī)構(gòu)通常為通過訪問控制功能或?qū)傩蕴峁┱咛峁┖凸芾淼膶傩灶愋吞峁┲黝}屬性，非個(gè)人實(shí)體除外AB1表主題屬性名稱屬性值政策應(yīng)用公司編號(hào)身份證號(hào)碼（例如，主題和管理員組織A)對(duì)象訪問分配部門名稱（例如，軟件開發(fā)部）團(tuán)體組名稱（例如，測試組）姓名人名（例如JoeSmith）授權(quán)（使用權(quán)角色培訓(xùn)ID（））培訓(xùn)標(biāo)簽（例如，最低要求）管理員對(duì)象使用權(quán)管理員對(duì)象使用權(quán)（（APS）（2表對(duì)象屬性姓名對(duì)象ID

屬性值（234567)

政策應(yīng)用主題和管理員對(duì)象訪問對(duì)象所有者

（組織B)

（2015年5月26日）（2017年5月26日）授權(quán)級(jí)別（例如1）

主題和管理員對(duì)象訪問主題和管理員對(duì)象訪問管理員對(duì)象訪問

ID標(biāo)簽（例如，公共）管理員對(duì)象訪問對(duì)象屬性必須可用于訪問控制決策的檢索。創(chuàng)建對(duì)象屬性的其他注意事項(xiàng)包括：（）（GFIPM（NIEF（例Web表3顯示了屬性準(zhǔn)備注意事項(xiàng)的示例標(biāo)準(zhǔn)?？紤]屬性覆蓋范圍

表組織（即語義上完整）。

除了NPE之外擁有時(shí)的價(jià)值。影響準(zhǔn)確性的兩個(gè)特征包括：屬性可信度考慮屬性來源的驗(yàn)證、識(shí)別、（值可能令人不滿意，但屬性用戶可能相信它來自特定信用報(bào)告機(jī)構(gòu)。表4顯示了基于不同置信度的屬性可信度的示例。表平 于

自我報(bào)告（

第三方公共源經(jīng)過驗(yàn)證的來源的 （源

（者）

已驗(yàn)證來源服務(wù)等級(jí)協(xié)定（SLA）（）（（RP（（造（C生成屬性值，通常使用屬性信任來評(píng)估準(zhǔn)確性，如第2節(jié)中所述。3.2.1.表5顯示了考慮屬性準(zhǔn)確性標(biāo)準(zhǔn)的示例。表慮 準(zhǔn)認(rèn) 性。

應(yīng)用屬性主體、客體、環(huán)境標(biāo)準(zhǔn)應(yīng)用屬性值存在已記錄的規(guī)則或標(biāo)準(zhǔn)（）。

主體對(duì)象信任標(biāo)準(zhǔn)

主體對(duì)象遠(yuǎn)程訪問控制功能/屬性供應(yīng)商指南

主體對(duì)象R分?jǐn)?shù)。第4NLP存儲(chǔ)的屬性信息，以及其飛地內(nèi)的高水平保護(hù)。屬性安全（L]S23.2.2傳輸屬性安全性評(píng)估將屬性傳輸?shù)綄傩蕴峁┱呋蛟L問控制功能的安全程度。必須評(píng)估的因素或能力包括：（PKITLS）。（）（（表6顯示了屬性安全標(biāo)準(zhǔn)的注意事項(xiàng)示例。表慮 準(zhǔn)

應(yīng)用屬性（共享屬性存儲(chǔ)庫）

主體、客體、環(huán)境溝通訪問控制功能和屬性提供者之間的安全通信（例如，加密）安全流程完整性訪問控制之間屬性的傳輸保護(hù)函數(shù)不被任何函數(shù)更改條件1不可否認(rèn)能力屬性傳輸?shù)牟豢煞裾J(rèn)性方法條件1屬性變更策略1訪問控制功能需要有關(guān)提取或獲取屬性值的頻率以及在需要時(shí)處理屬性值的安全程度的信息。準(zhǔn)備情況考慮（（例如，信息是否從另一個(gè)源推送到訪問控制功能或?qū)傩蕴峁┱?，或者主?dòng)按計(jì)劃拉?。?。按計(jì)劃或按需提供的屬性值可以保證屬性值的最新程度，從而確保屬性值的適用性。訪問控制功能之間屬性傳輸順序的同步必須根據(jù)訪問控制系統(tǒng)的處理方案或協(xié)議的順序進(jìn)行協(xié)調(diào)這樣屬性及其值的更新就不會(huì)導(dǎo)致錯(cuò)誤的訪問控制決策。XACML[12(PAP(PEP（）由于屬性是組織訪問控制系統(tǒng)的關(guān)鍵組件，因此它們應(yīng)該表7中的屬性就緒標(biāo)準(zhǔn)示例顯示了一組可用于幫助確定屬性就緒情況的考慮元素。表考慮

標(biāo)準(zhǔn)屬性刷新頻率滿足系統(tǒng)性能要求。

屬性緩存屬性流程順序備份能力

應(yīng)審查許多因素以確保屬性的效率和一致使用。[3]（）（（）。表8（表稱實(shí)體適用性

標(biāo)準(zhǔn)屬性值人名 斯分類置信度保證細(xì)節(jié)?刷新屬性來自

民眾1（自我報(bào)告）拉動(dòng)2015年3月8日美國就業(yè)網(wǎng)題（體圖2顯示了組層次結(jié)構(gòu)的示例，其中屬性Attribute_1的ID=UserGroup_AAttribute_2IDMetadata_1IDSupportSkillAdministrationMetadata_Metadata_Metadata_1Metadata_3。NISTSP800?205

屬性注意事項(xiàng)用于門禁系統(tǒng)3(aRoleProfessorRoleTA3(bTypeSecret還可以通過屬性Type=Classified訪問對(duì)象。主題屬性：角色=教授主題屬性：角色=助教（A）

對(duì)象屬性：類型=秘密對(duì)象屬性：類型=機(jī)密(二)))通常分配給大量主體和多種類型對(duì)象的屬性（（）NISTSP800?205NISTSP800?205PAGEPAGE2023.5.2[14]。（（（SSO）（）ID[5]。LSAML（XML）OAuthDL))P與P進(jìn)SPSP[15]。數(shù)據(jù)資源策略的正確實(shí)施取決于屬性管理策略的實(shí)施。在聯(lián)合或協(xié)作環(huán)境中尤其如此（（委）計(jì)是C屬性可能會(huì)阻止此類訪問。（（表9顯示了屬性管理標(biāo)準(zhǔn)的示例注意事項(xiàng)。考慮屬性結(jié)構(gòu)屬性元數(shù)據(jù)、層次結(jié)構(gòu)和繼承方案

準(zhǔn) 性（）屬性效率屬性委托

屬性已融入公司SSO

屬性審查可以審查屬性分配。

主體對(duì)象主體、客體、環(huán)境234NLP（（（GAF（（難以管理。(COTS（）GAF(NIEFNIEF[9]4NISTSP800?205NISTSP800?205圖)))GAFNLPF)FC22號(hào)NISTSP800?205NISTSP800?205PAGEPAGE27IF1>?..AND/1OR<環(huán)境條件n>THENALLOW

n>和作?.作 n用. 和性 1> n>GAFGAF圖5列出了OMBM?06?16[16]和OMBM?07?16法規(guī)[17]中隱私規(guī)則的部分原文。“對(duì)遠(yuǎn)程訪問個(gè)人身份信息實(shí)施保護(hù)”（步驟4）)T3（步4.1）施T3（???OMBM?06?161C???OMBM?07?16圖BM?06?16和BM?07?16圖6性”6（第3級(jí)I核規(guī)則計(jì)算機(jī)科目的屬性/值雇主=聯(lián)邦行動(dòng)允許閱讀目的屬性/值數(shù)據(jù)標(biāo)簽=PII審計(jì)M? 06?16機(jī)構(gòu)驗(yàn)證水平=雙因素（3級(jí)）部雇主=聯(lián)邦允許特別的（=M?06?16機(jī)構(gòu)到讀/寫特點(diǎn)=敏感數(shù)據(jù)（90內(nèi)刪除部M?07?16部雇主=聯(lián)邦機(jī)構(gòu)雇主=聯(lián)邦允許到讀/寫允許=N（=簽=I （改=M?07?16機(jī)構(gòu)到讀/寫更正或注釋機(jī)構(gòu)理由（=圖BM?06?16和BM?07?16BM?06?16F6（表（表F（）。OMBM?06?16GAF行中的通用屬性：（3）示例1：表BM?06?16屬性

主題屬性聯(lián)邦2因素?

動(dòng) 動(dòng)

當(dāng)?shù)氐氖褂?lt;遠(yuǎn)程登錄機(jī)構(gòu)聯(lián)邦3級(jí)電子的讀車輛年份車輛屬性ID>ID身份登記同樣，通過GAF可以實(shí)現(xiàn)ISE的如下訪問控制規(guī)則：ID>示例2：表BM?06?16HRD屬性

主題屬性聯(lián)邦2因素機(jī)構(gòu)ID

（3級(jí)）的 讀訪問密鑰

同樣，HRD的以下政策規(guī)則可以通過GAF實(shí)現(xiàn)：HRD上述示例的XACML[12]實(shí)現(xiàn)列于附錄中。GAF屬性評(píng)估方案應(yīng)根據(jù)組織的要求和能力來確定，同時(shí)還要考慮風(fēng)險(xiǎn)、績效和成本。本文檔無意屬性評(píng)估方案。表12高水平。表級(jí) 備1級(jí)屬性涵蓋所有

屬性是

安全安全屬性

管理屬性更改和訪問的日志（）

信

頻率滿足系統(tǒng)性能要求1

包括1級(jí)

包括1級(jí)

包括1級(jí)

包括1級(jí)管理;屬性與身份驗(yàn)證集成建新（略 求已定義、語義和記錄2

規(guī)則）包括2級(jí)可信度屬性

包括2級(jí)安全;加密的屬性值和通訊屬性之間

包括2級(jí)

不適用傳播等級(jí)準(zhǔn)備真實(shí)性安全準(zhǔn)備狀態(tài)管理4級(jí)不適用包括3級(jí)包括3級(jí)包括3級(jí)不適用真實(shí)性；遠(yuǎn)程訪問的性能指南和規(guī)范安全;訪問控制功能之間的屬性傳輸應(yīng)該是準(zhǔn)備情況；用于記錄屬性的控制功能或?qū)傩蕴峁┱叻乐贡蝗魏魏瘮?shù)更改13所示。表級(jí) 別1性

性 全

態(tài) 理（

驗(yàn)證屬性

安全屬性存儲(chǔ)庫

屬性日志變化和使用權(quán)1

包括1級(jí)

包括1級(jí)

包括1級(jí)

包括等級(jí)準(zhǔn)備;屬性標(biāo)準(zhǔn)

1管理;屬性（語）

與身份驗(yàn)證集成有記錄的

不適用

包括2級(jí)安全;訪問控

包括2級(jí)持；正式規(guī)則，

不適用應(yīng)該

屬性R探索元數(shù)據(jù)的準(zhǔn)確性，并為建立評(píng)分框架及其相關(guān)組件提供指南，以實(shí)現(xiàn)標(biāo)準(zhǔn)化屬性置信度評(píng)估。（APS）（RAPS6。結(jié)論（）PAGEPAGE31NISTSP800?205

屬性注意事項(xiàng)用于門禁系統(tǒng)附錄A表10和11的XACML實(shí)現(xiàn)附錄列出了OMBM?07?16隱私規(guī)則[17]的XACML翻譯。l>xmlns=urn:oasis:names:tc:xacml:2.0:policy:schema:os PolicyId=GAF?sample1RuleCombiningAlgId=urn:oasis:names:tc:xacml:1.0:rule?combining?法蓋><Description>OMBM?06?16隱私規(guī)則通用屬性的XACML示例</Description><目標(biāo)/>

<DescriptionPII2（3）</Description><SubjectMatchMatchId=urn:oasis:names:tc:xacml:1.0:function:boolean?equal><屬性值DataType=/2001/XMLSchema#boolean>True</AttributeValue><SubjectAttributeDesignatorAttributeId= IDDataType=/2001/XMLSchema#boolean MustBePresent=true /></主題匹配>?<SubjectMatchMatchId=urn:oasis:names:tc:xacml:1.0:function:boolean?equal><屬性值DataType=/2001/XMLSchema#boolean>True</AttributeValue><SubjectAttributeDesignatorAttributeId= DataType=/2001/XMLSchema#boolean MustBePresent=true /></主題匹配>?<SubjectMatchMatchId=urn:oasis:names:tc:xacml:1.0:function:boolean?equal><屬性值DataType=/2001/XMLSchema#boolean>True</AttributeValue><SubjectAttributeDesignatorAttributeId= （3）DataType=“/2001/XMLSchema#boolean”MustBePresen