Entwurf einer anwendungsunabhängigen Zugriffskontrolle mittels ...

Entwurf: Policy-basierte Zugriffskontrolle
Der Benutzerdienst verwaltet beispielsweise einen Baum aus Benutzern und
Benutzergruppen, die Ressourcenverwaltung einen Baum aus geschützten
Anwendungsklassen (und deren Felder und Objekte) und die Aktions-Verwaltung eine
Liste von Aktionen pro geschützter Anwendungsklasse. Da auch das
Benutzerprogramm eine Benutzer- und Benutzergruppenverwaltung benötigt, wird
diese verwendet. Idealerweise gibt es aber eine zentrale Benutzeradministration, die von
mehreren Anwendungsprogrammen genutzt werden kann und mit der ein Single-Sign-
On möglich ist. Auf diese Weise müsste sich der Anwender nur einmal bei der zentralen
Benutzerverwaltung anmelden, anstatt sich bei jedem Anwendungsprogramm einzeln
anmelden zu müssen.
Aus Zeitgründen wird in dieser Arbeit jedoch darauf verzichtet, hierarchische Benutzerund
Ressourcengruppen zu realisieren. Stattdessen können Benutzer und Ressourcen
nur in eine Benutzer- bzw. Objekttypklasse eingeteilt werden. Würde eine hierarchische
Gruppenbildung unterstützt, so müssten einerseits zyklenfreie Graphen verwaltet
werden, andererseits würde die Rechteprüfung einen Suchalgorithmus zum Auffinden
von Rechtekombinationen in den Graphen benötigen (vgl. [Nor01] S. 14).
4.2.3 Die Benutzerschnittstelle für die Policy-Verwaltung
Der Benutzer kann über eine Benutzerschnittstelle auf die Daten der Zugriffskontrolle
zugreifen. In einem ersten Fenster sieht er eine Liste von „PolicySets“, die eine
Zusammenstellung von Zugriffsregeln zu einem Anwendungsobjekt darstellen. Damit
mehrere Anwendungsobjekte durch ein PolicySet geschützt werden können, kann der
Benutzer diese mittels einer selbstdefinierbaren Kategorie, wie z.B. „alle meine
Privatfahrten“ gruppieren. Wie „PolicySets“ erzeugt werden, wird im nächsten Kapitel
erläutert.
Abbildung 14: „PolicySet“ Fenster (eigene Darstellung)
41