[論文レビュー] A Service-Centric Approach to a Parameterized RBAC Service

Jonathan K. Adams|arXiv (Cornell University)|Mar 9, 2006

Access Control and Trust参考文献 18被引用数 3

ひとこと要約

本論文は、ロールと権限にパラメータを統合することで、アクセス制御の明確性を高めるサービス指向でパラメータ化された役割ベースアクセス制御（RBAC）モデルを提案する。標準的なRBAC基準に基づき、動的で文脈に適応したアクセス意思決定を管理するモジュラーなサービスアーキテクチャを採用しており、複雑なシステムにおけるポリシーの表現力とスケーラビリティを顕著に向上させる。

ABSTRACT

Significant research has been done in the area of Role Based Access Control [RBAC]. Within this research there has been a thread of work focusing on adding parameters to the role and permissions within RBAC. The primary benefit of parameter support in RBAC comes in the form of a significant increase in specificity in how permissions may be granted. This paper focuses on implementing a parameterized implementation based heavily upon existing standards.

研究の動機と目的

• 従来のRBACが細粒度で文脈に依存するアクセスポリシーを表現するのを制限する点を是正すること。
• ロールと権限にパラメータを統合することで、アクセス制御の表現力を向上させること。
• 動的でパラメータ化されたアクセス意思決定をサポートするスケーラブルでモジュラーなサービスアーキテクチャを設計すること。
• 相互運用性と実用的導入を確保するため、提案モデルを既存のRBAC基準と整合させること。
• パラメータ化されたロール管理を通じて、企業および分散システムにおけるセキュリティと保守性を向上させること。

提案手法

• アーキテクチャをサービス指向アーキテクチャ（SOA）として採用し、RBACコンponentsを再利用可能で合成可能なサービスとしてカプセル化する。
• 時間、場所、またはデータの機密性など、文脈に応じたアクセス意思決定を可能にするために、パラメータをロールと権限に導入する。
• 標準RBACを拡張し、パラメータ化されたロール割り当てと権限バインディングを定義することで、動的ポリシー評価を可能にする。
• アクセス要求を仲介し、パラメータを検証し、ポリシー規則に基づいてアクセス意思決定を強制するためのサービスインターフェースを設計する。
• 互換性を確保し複雑さを低減するため、既存のRBAC基準（例：NIST RBAC）を活用する。
• サービスの合成を通じて、実行時におけるポリシーの更新とアクセス制御論理のモジュラーな構成を支援する。

実験結果

リサーチクエスチョン

• RQ1 パラメータ化されたロールと権限は、従来のRBACモデルの表現力をどのように向上させるか？
• RQ2 スケーラブルで保守可能なパラメータ化アクセス制御の展開を可能にするアーキテクチャパターンは何か？
• RQ3 パラメータ化RBACは、セキュリティとモularityを保持したまま、既存の基準とどのように統合できるか？
• RQ4 パラメータ化は、アクセス制御ポリシー管理と実行時パフォーマンスにどのような影響を与えるか？
• RQ5 サービス指向の設計は、分散システムにおけるアクセス制御論理とアプリケーション論理の明確な分離を効果的に実現できるか？

主な発見

• サービス指向のモデルにより、時間、データタイプ、またはユーザー属性などのパラメータを介して権限意思決定に影響を与えることにより、細粒度で文脈に適応したアクセス制御が可能になる。
• パラメータ化されたロールと権限は、確立されたRBAC基準から逸脱することなく、ポリシーの表現力を顕著に向上させる。
• モジュラーなサービスアーキテクチャにより、実行時におけるポリシーの更新が可能になり、大規模システムにおける保守性が向上する。
• アクセス制御論理をアプリケーションコンponentsから分離することで、スケーラビリティの向上と責任の分離が実現される。
• 標準化されたサービスインターフェースを通じて、既存のRBAC準拠システムとの相互運用性が実現される。
• 文脈的パラメータに基づく動的アクセス意思決定が可能になり、ハードコードされたアクセスルールの必要性が削減される。