SAML和XACML相结合Web服务访问控制模型.pdfVIP

SAML 和XACML 相结合的Web 服务访问控制模型 赵玲，许峰，王志坚 河海大学计算机及信息工程学院，南京（210098 ） E-mail ：njzhaoling@163.com 摘 要：访问控制安全是 Web 服务安全体系结构中至关重要的一部分。本文对 SAML 和 XACML 相关规范进行研究，将二者结合实施访问控制，构造了一个应用于 Web 服务企业 应用集成环境中的访问控制安全模型，在此模型基础上设计了Web 服务访问控制系统。该 模型具有灵活、易于互操作和易于管理的特点。 关键词：Web 服务，SAML，XACML ，访问控制 中图分类号：TP309 1. 引 言 Web 服务作为新一代分布式应用，具有松散耦合、语言中立、平台无关等优点，弥补 了传统的分布式对象模型的不足，极大的促进了异构系统跨互联网的集成，为企业扩大业务 范围，加强企业之间的合作提供了新的途径。但是，随着 Web 服务的广泛应用，它本身具 有的一些特性，如分散、动态、异构、开放等所带来的安全问题也日益突出。企业利用 Web 服务进行业务集成，必须保证足够的安全。其中，访问控制安全是非常重要的一个方面。 企业应用集成环境中，Web 服务访问控制方面的主要问题在于： (1) Web 服务应用集成包含多企业、多部门的连接，不同企业或者部门采用不同的安 全技术实现身份验证和授权，难于与其他企业的安全系统进行互操作。同时，跨应用的访问 需要多次登录也给用户使用造成极大的不便。 (2) Web 服务节点不在一个企业的范围内，资源动态的集成、联合，多组织联盟的授 权难于建立和管理。 因此，有必要针对上述问题，根据 Web 服务的特点，对现有的安全技术及规范加以研 究，建立一个安全的访问控制模型，使企业应用集成中安全的互操作成为可能。 对于访问控制，目前已有一些相关标准和规范，如 SAML[[7]]和 XACML[[5]] 。SAML 是 一种用于交换安全性信息的基于 XML 的框架，用于不同安全系统和平台共享安全信息，它 使得跨域的验证和授权成为可能。XACML 将 XML 应用于安全，是对策略和授权决策请求 / 响应进行描述的语言。XACML 提供基于属性的访问控制，在各种实体之间的信任关系可 以得到安全的管理的情况下可以减轻访问控制负担。XACML 充分考虑了可扩展性，适用于 各种基础架构的 Web 服务。 本文通过对二者进行研究，将二者进行结合应用于 Web 服务的安全上下文中，构造 Web 服务访问控制模型，设计一个安全的访问控制系统。 2. SAML 和 XACML 的结合 2.1 SAML 概述 SAML 是一种在不同实体或安全域之间交换安全数据的标准，其提出了一种通用的、与 具体实现无关的平台独立的信任与授权标准架构。按照 SAML 的规范，现有任何一种授权 体系都可统一到 SAML 标准框架中，并在此框架中实现互操作[[3]] 。 SAML 使用 XML 指定信任断言，只要能够信任做出断言的权威机构，断言就可以作为 - 1 - 正确的主题接受[[1]] 。SAML 包括三种类型的断言：身份验证断言、授权决策断言和属性断 言。身份验证断言指明在过去的某个时间以某种方式对一个对象进行了验证，属性断言表明 对象与属性的关联，给定身份验证断言和属性断言，授权决策断言决定用户是否能够访问特 定资源。 除了断言之外，SAML 规范定义了用来交换 XML 信息请求和响应的客户机/服务器协 议。SAML 相关规范 Bindings for the OASIS Security Assertion Markup Language (SAML) V2.0 定义了SAML 对底层传输协议的绑定。底层传输协议并不是强制的，通过HTTP 运行的 SOAP 是最可能的配置[[1]] 。通过绑定底层传输协议，SAML 信任、授权信息能够在网