GM/T 0032-2014 基于角色的授权与访问控制技术规范

ICS35.040

L80

备案号:—

446332014

中华人民共和国密码行业标准

/—

GMT00322014

基于角色的授权与访问控制技术规范

Secificationsforrolebasedrivileemanaementandaccesscontrol

ppgg

2014-02-13发布2014-02-13实施

国家密码管理局发布

/—

GMT00322014

目次

前言…………………………Ⅰ

1范围………………………1

2规范性引用文件…………………………1

3术语和定义………………1

4缩略语……………………2

5授权与访问控制框架……………………2

5.1授权与访问控制在公钥密码基础设施应用技术体系框架中的位置……………2

5.2授权与访问控制框架概述…………2

5.3属性管理系统………………………3

访问控制执行部件()…………

5.4AEF3

访问控制决策部件()…………

5.5ADF3

6访问控制策略描述语言…………………5

6.1模型…………………5

6.2语法…………………7

7授权策略描述语言………………………10

7.1模型…………………10

7.2授权策略描述语言语法……………10

8访问控制协议……………13

8.1概述…………………13

8.2访问控制请求消息…………………14

8.3访问控制响应消息…………………17

9对应用系统的要求………………………19

9.1AEF实现…………………………19

9.2角色的表达…………………………19

9.3授权过程……………20

9.4访问控制策略的描述………………20

9.5身份鉴别……………20

()……………

附录规范性附录访问控制判定状态代码定义和说明

A21

参考文献……………………22

/—

GMT00322014

前言

本标准按照/—给出的规则起草。

GBT1.12009

。。

请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别这些专利的责任

本标准由密码行业标准化技术委员会提出并归口。

:、、

本标准起草单位长春吉大正元信息技术股份有限公司无锡江南信息安全工程技术中心成都卫

、、、

士通信息产业股份有限公司山东得安信息技术有限公司上海格尔软件股份有限公司北京数字证书

、、、

认证中心有限公司上海市数字证书认证中心有限公司万达信息股份有限公司兴唐通信科技有限

公司。

:、、、、、、、、、、、

本标准起草人刘平李伟平赵丽丽何长龙徐强李元正高志权谭武征李述胜崔久强周栋

王妮娜。

Ⅰ

/—

GMT00322014

基于角色的授权与访问控制技术规范

1范围

,

本标准规定了基于角色的授权与访问控制框架结构及框架内各组成部分的逻辑关系定义了各组

、,、

成部分的功能操作流程及操作协议定义了访问控制策略描述语言授权策略描述语言的统一格式和

访问控制协议的标准接口。

,

本标准适用于公钥密码技术体系下基于角色的授权与访问控制系统的研制并可指导对该类系统

的检测及相关应用的开发。

2规范性引用文件

。,

下列文件对于本文件的应用是必不可少的凡是注日期的引用文件仅注日期的版本适用于本文

,,()。

件凡是不注日期的引用文件其最新版本包括所有的修改单适用于本文件

/信息安全技术公钥基础设施特定权限管理中心技术规范

GBT20519

/通用密码服务接口规范

GMT0019

3术语和定义

以下术语和定义仅适用于本文件。

3.1

访问控制判定accesscontroldecision

访问控制决策部件对访问请求的评估结果。

3.2

访问控制决策部件accesscontroldecisionfunction

负责对访问请求做出判定功能的部件。

3.3

访问控制执行部件accesscontrolenforcementfunction

执行访问控制策略功能的部件。

3.4

访问控制策略accesscontrololic

py

由应用确定的角色与资源的绑定关系。

3.5

访问控制策略证书accesscontrololiccertificate

py

承载应用访问控制策略的属性证书。

3.6

上下文信息contextualinformation

访问发生时与访问判定结果相关的环境信息。

3.7

授权管理rivileemanaement

pgg

对主体与角色间的分配关系的管理。

1