Entwicklung und Implementierung einer ... - GeoBranchen

70
4.2.2 Varianten zur Weiterleitung der globalen Zugriffsentscheidungsanfrage
zu einer hierarchischen Ressource durch den Context Handler
an den PDP
Der Context Handler, der den vom PEP erzeugten globalen XACML Request Context entgegennimmt,
kann die Zugriffsentscheidungsanfrage auf mehrere Arten an den PDP weiterleiten.
Nachfolgend werden zwei sinnvolle Alternativen diskutiert.
Variante A:
Der Context Handler erzeugt auf Basis des globalen XACML Request Contexts für die durch
resource-id und scope spezifizierten Knoten individuelle Zugriffsentscheidungsanfragen
(eine je Knoten), die einzeln an den PDP geschickt werden.
Der PDP kann durch das scope Attribut ermitteln, für welche Knoten eine individuelle
Zugriffsanfrage erzeugt werden soll. Dies geschieht relativ zu dem Knoten, der durch das
resource-id Attribut der globalen Zugriffsentscheidungsanfrage selektiert wird. Mögliche
scope Werte sind descendants, entire hierarchie und children 25 .
Bei descendants wird für jeden Knoten unterhalb des durch resource-id bestimmten
Knotens eine individuelle Zugriffsentscheidungsanfrage an den PDP übergeben. Nach Behandlung
der individuellen Zugriffsentscheidungsanfragen (diese beziehen sich auf genau einen
Knoten) werden die individuellen Zugriffsentscheidungsantworten (entspricht der
Zugriffsentscheidung für diesen Knoten) einzeln vom PDP an den Context Handler gesendet
und unverändert an den PEP weitergeleitet.
Bei entire hierarchie wird ebenfalls je Knoten eine individuelle Zugriffsentscheidungsanfrage
an den PDP übergeben. Im Unterschied zum scope Wert descendants
merkt sich der Context Handler die Ergebnisse der individuellen Zugriffsentscheidungsantworten
und übergibt nur ein Gesamtergebnis für alle individuellen Knotenanfragen an den
PEP. Dieses lautet nur dann permit, wenn alle Antworten auf die individuellen Request Contexts
permit ergaben. Der entire hierarchie Attributwert impliziert eine Zugriffskontrolle
nach dem „alles oder nichts“ Prinzip. Grundstein für eine Zugriffskontrolle nach dem
„so viel wie geht“ Prinzip ist daher ein scope Wert von descendants, da dadurch je Knoten
im angeforderten Dokument eine individuelle Zugriffsentscheidungsantwort generiert
wird.
Zu erwähnen ist, dass die Erzeugung individueller Zugriffsentscheidungsanfragen nicht im
PEP geschehen sollte, da die PEPs und PDPs räumlich verteilt liegen können und diese Vorgehensweise
daher zu einem enormen Mehraufwand an Kommunikation führen würde. Die
25 Der Wert children wird für die Ausführungen in dieser Arbeit nicht benötigt und wird daher nicht weiter
erläutert, da alle Knoten des XML Dokumentes auf Zugriffsrechte überprüft werden müssen.