[論文レビュー] Valued Authorization Policy Existence Problem

Jason Crampton, Eduard Eiben+3 more|arXiv (Cornell University)|Jun 10, 2021

Access Control and Trust参考文献 22被引用数 1

ひとこと要約

本稿では、完全な解が存在しない場合に最小重みの承認ポリシーを返す、古典的なAPEPの一般化である価値付き承認ポリシー存在問題（Valued APEP）を導入する。制約違反に重みを割り当てることで、Valued APEPは「最も悪いものでない」ポリシーを提供し、著者らは2つの主要な制約のもとで固定パrameter可 tractableであることを証明しており、APEPの従来の複雑性結果に対して顕著な改善をもたらしている。

ABSTRACT

Problems of satisfiability and resiliency in workflows have been widely studied in the last decade. Recent work has shown that many such problems may be viewed as special cases of the authorization policy existence problem (APEP), which returns an authorization policy if one exists and 'No' otherwise. A solution may not exist because of the restrictions imposed by the base authorization relation and constraints that form part of the input to APEP. However, in many practical settings it would be more useful to obtain a 'least bad' policy than just a 'No', where 'least bad' is characterized by some numerical value associated with the policy indicating the extent to which the policy violates the base authorization relation and constraints. Accordingly, we introduce the Valued APEP, which returns an authorization policy of minimum weight, where the (non-negative) weight is determined by the constraints violated by the returned solution (and is 0 if all constraints are satisfied). We then establish a number of results concerning the parameterized complexity of Valued APEP. We prove that the problem is fixed-parameter tractable if the set of constraints satisfies two restrictions, but is intractable if only one of these restrictions holds. (Most constraints known to be of practical use satisfy these restrictions.) We introduce the notion of a user profile for a weighted constraint, which enables us to prove a powerful result, a corollary of which improves on known complexity results for APEP. Finally, we consider Valued APEP when restricted to particular sub-classes of constraints and show that instances of such problems can be reduced to the Valued WSP, enabling us to exploit known algorithms to solve these particular instances.

研究の動機と目的

• 完全な承認ポリシーが存在しない場合に 'No' を返す古典的APEPの制限を克服するため、'最も悪いものでない' ポリシーを返す価値付きバージョンを導入すること。
• 制約違反が避けられない現実世界の承認システムをモデル化するため、違反に数値的重みを割り当て、合計重みを最小化すること。
• 実用的制約のもとでValued APEPのパrameter化された複雑性を確立し、制約に2つの構造的制限が満たされる場合に可 tractable であることを示すこと。
• 重み付き制約のためのユーザープロファイルを導入することで、既知のAPEPの複雑性境界を改善する強力な理論的結果を達成すること。
• 特定のValued APEPの部分クラスが価値付きワークフロー充足問題（Valued WSP）に還元可能であることを示し、既存のアルゴリズムの利用を可能にすること。

提案手法

• 著者らは、違反制約の合計重みが最小となる承認ポリシーを求める最小化問題としてValued APEPを形式化する。
• 各重み付き制約に対してユーザープロファイルを定義し、ユーザーロールと権限の分布を捉えることで、制約の相互作用の構造的分析を可能にする。
• 制約が2つの構造的制限（有界な木幅、および各制約におけるロール数の有界性）を満たす場合、Valued APEPが固定パrameter可 tractable であることを確立する。
• 2つの制限のうち1つだけが満たされる場合、問題は非可 tractable になることを証明し、複雑性の鋭い境界を特定する。
• 特定のValued APEPの部分クラスをValued WSPに還元し、特定の制約タイプに対して既知の多項式時間アルゴリズムの適用を可能にする。
• 理論的結果は、カーネル化および木分解上の動的計画法を含むパrameter化された複雑性技術を用いて導出される。

実験結果

リサーチクエスチョン

• RQ1 Valued APEPが固定パrameter可 tractable である条件は何か？ そして、これらの条件は実用的な承認ワークロードとどのように関係するか？
• RQ2 重み付き制約のためのユーザープロファイルの概念を用いることで、既知のAPEPの複雑性結果よりも強力な結果を導出可能か？
• RQ3 2つの構造的制約のうち1つを緩和した場合、Valued APEPのパrameter化された複雑性にどのような影響が生じるか？
• RQ4 特定の制約の部分クラスに対して、Valued APEPをどのようにValued WSPに還元できるか？ そして、アルゴリズム的解決策にどのような意味を持つのか？
• RQ5 制約違反に重みを導入することで、承認ポリシー合成の実用性はどの程度向上するか？

主な発見

• 制約が2つの構造的制限（有界な木幅、および各制約におけるロール数の有界性）を満たす場合、Valued APEPは固定パrameter可 tractable である。
• 2つの制限のうち1つだけが満たされる場合、問題は非可 tractable になるため、複雑性に鋭い閾値が存在することが示された。
• 重み付き制約のためのユーザープロファイルの導入により、元のAPEPの既知の複雑性結果を改善する系理が得られた。
• Valued WSPに還元可能な制約の部分クラスに制限された場合、問題は依然として可 tractable であり、既存の効率的アルゴリズムの再利用が可能である。
• 完全な解が存在しない場合に 'No' を返す古典的APEPとは異なり、Valued APEPは '最も悪いものでない' ポリシーを返すため、実用的な代替手段を提供する。