ICS35040

L80.

中華人民共和國國家標準

GB/T31501—2015

信息安全技術鑒別與授權

授權應用程序判定接口規范

Informationsecuritytechnology—Authenticationandauthorization—

Specificationforauthorizationapplicationprogrammingdecisioninterface

2015-05-15發布2016-01-01實施

中華人民共和國國家質量監督檢驗檢疫總局發布

中國國家標準化管理委員會

GB/T31501—2015

目次

前言

…………………………Ⅰ

引言

…………………………Ⅱ

范圍

1………………………1

規范性引用文件

2…………………………1

術語和定義

3………………1

縮略語

4……………………3

框架

5………………………3

訪問控制框架

5.1………………………3

訪問控制服務組件

5.2…………………4

訪問控制信息

5.3………………………5

授權使用模型

6API……………………10

系統結構

6.1……………10

支持的函數

6.2…………………………10

狀態機

6.3………………11

信任模型

6.4……………13

功能和可移植性要求

7……………………15

功能要求

7.1……………15

移植性要求

7.2…………………………15

常量和變量定義

8…………………………16

字符串與類字符串數據

8.1……………16

狀態值

8.2………………17

常量

8.3…………………18

授權和機制

8.4ID……………………20

附錄資料性附錄函數說明

A()…………22

參考文獻

……………………51

GB/T31501—2015

前言

本標準按照給出的規則起草

GB/T1.1—2009。

請注意本文件的某些內容可能涉及專利本文件的發布機構不承擔識別這些專利的責任

。。

本標準由全國信息安全標準化技術委員會提出并歸口

(SAC/TC260)。

本標準起草單位中國科學院軟件研究所北京數字證書鑒別中心有限公司中科正陽信息安全技

:、、

術有限公司

。

本標準主要起草人馮登國張立武李曉峰王雅哲高志剛徐震段美姣汪丹黃亮翟征德

:、、、、、、、、、、

詹榜華

。

Ⅰ

GB/T31501—2015

引言

訪問控制作為一種基本的安全措施在實際系統中得到廣泛的應用隨著訪問控制技術的日趨復雜

,,

訪問控制已成為一類安全基礎服務而廣泛的應用集成需求需要訪問控制安全服務能夠給應用程序提

,

供一個統一的編程接口使得應用程序能夠在不同的訪問控制服務之間具有可移植性而目前缺少這類

,,

國家標準為了解決這個問題本標準參考了的技術標準參考文獻等相關標準和規

。,OpenGroup([1])

范在保證適應多種應用場景的情況下定義了授權應用程序判定接口規范

,,。

本標準定義的授權應用程序判定接口規范可用于符合訪問控制框架的系統中盡

GB/T18794.3,

管本標準提供了允許主體控制哪些特權屬性可以被用于訪問控制授權請求判定中通常被稱為最小特

(

權但并不提供特權屬性管理

),。

本標準的設計目標如下

:

定義一個簡單靈活的安全組件提供者和需要安全保護的應用程序開發者可以通過調用

a)、API,

此來實現授權功能

API;

訪問判定時可以應用透明地進行策略規則的評估

b);

獨立于應用的策略集中管理

c);

透明地提供廣泛的策略規則詞法和語義如訪問控制列表能力標簽邏輯謂詞等

d)(、、、);

將鑒別和授權分離

e);

允許從鑒別數據中推導出授權屬性

f);

透明地支持任意合理的授權屬性類型如訪問標識組角色等

g)(、、);

易于在多層次結構的應用系統中提供授權服務

h);

在多層應用配置中允許使用外部授權屬性

i);

應用程序可以訪問應用于其資源的訪問控制策略

j);

的實現支持多種訪問控制機制

k)API;

單一程序可以同時使用多個鑒別和授權服務

l);

支持應用程序訪問與授權服務操作相關的審計數據

m)。

本標準不涉及以下內容

:

授權策略管理

a);

描述證書委托服務或語義

b);

描述一個審計服務

c)API;

描述授權服務如何以及何時生成審計事件

d);

在異構環境下定義用來交換證書信息的格式

e),PAC;

支持每一種可能的授權策略規則詞法和語義

f)。

Ⅱ

GB/T31501—2015

信息安全技術鑒別與授權

授權應用程序判定接口規范

1范圍

本標準定義了訪問控制服務為授權應用提供的授權判定編程應用接口并定義了與判定接口相關

,

的數據結構和語言形式的接口

C。

本標準適用于訪問控制服務中授權判定接口的設計和實現訪問控制服務的測試和產品采購亦可

,

參照使用

。

2規范性引用文件

下列文件對于本文件的應用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

信息技術開放系統互連開放系統安全框架第部分訪問控制框架

GB/T18794.3—20033:

信息安全技術術語

GB/T25069—2010

3術語和定義

界定的以及下列術語和定義適用于本文件

GB/T25069—2010。

31

.

訪問控制信息accesscontrolinformation

用于訪問控制目的的任何信息其中包括上下文信息

,。

定義

[GB/T18794.3—2003,3.4.5]

32

.

訪問控制判定功能accesscontroldecisionfunction

一種特定功能它通過對訪問請求發起者的目標的訪問請求的或