rbac-web

8/14/2019 rbac-web

1/19

R o l e B a s e d A c c e s s C o n t r o l o n t h e W o r l d

W i d e W e b

J o h n B a r k l e y

P r o j e c t L e a d e r

R B A C / W e b I m p l e m e n t a t i o n

N a t i o n a l I n s t i t u t e s o f S t a n d a r d s a n d

T e c h n o l o g y

( 3 0 1 ) 9 7 5 - 3 3 4 6

j b a r k l e y @ n i s t . g o v

h t t p : / / h i s s a . n c s l . n i s t . g o v / r b a c /

J o h n B a r k l e y , j b a r k l e y @ n i s t . g o v , R B A C o n t h e W W W M a r c h 2 5 , 1 9 9 7 1 . 1

8/14/2019 rbac-web

2/19

R B A C o n t h e W W W

P r o b l e m :

A d m i n i s t r a t o r s v i e w o r g a n i z a t i o n s i n t e r m s o f

i n d i v i d u a l s a n d t h e i r r o l e s .

A c c e s s t o t h e W W W i s e n f o r c e d b y g r o u p a n d

a c c e s s c o n t r o l l i s t ( A C L ) m e c h a n i s m s .

A d m i n i s t r a t o r s m u s t m a p t h e i r o r g a n i z a t i o n a l

v i e w t o t h e s e m e c h a n i s m s .


8/14/2019 rbac-web

3/19

R B A C o n t h e W W W

S o l u t i o n : r o l e b a s e d a c c e s s c o n t r o l

A c c e s s b a s e d o n u s e r ' s o r g a n i z a t i o n a l r o l e ,

e . g . , d o c t o r , n u r s e , b a n k t e l l e r .

H i g h e r l e v e l o f a b s t r a c t i o n c o m p a r e d t o c o m -

m o n l y u s e d a c c e s s c o n t r o l m e c h a n i s m s , e . g . ,

M L S .

A n a d m i n i s t r a t o r s o r g a n i z a t i o n a l v i e w I S t h e

a c c e s s c o n t r o l m e c h a n i s m .

= > R B A C v a l u a b l e f o r \ i n t r a - n e t " e n t e r p r i s e

u s e o f W W W


8/14/2019 rbac-web

4/19

S e c u r i t y A d m i n i s t r a t i o n w i t h R B A C

F o r e a c h r o l e : a s s i g n p r i v i l e g e d o p e r a t i o n s ,

e . g . , D o c t o r : p r e s c r i b e d r u g s , o r d e r t e s t s .

T o g i v e p r i v i l e g e s t o a u s e r : a s s i g n r o l e ( s ) t o

u s e r , e . g . , M i l k e n : b r o k e r , b o n d d e a l e r , c r o o k .

T o r e m o v e a u s e r ' s p r i v i l e g e s : r e m o v e r o l e ( s )

f r o m u s e r , e . g . , M i l k e n : c r o o k .


8/14/2019 rbac-web

5/19

G o a l s f o r R B A C o n t h e W W W

I m p l e m e n t a t i o n o f R B A C o n t h e W W W

( R B A C / W e b ) .

R B A C c o n f o r m a n c e t e s t a s s e r t i o n s , i . e . , a b -

s t r a c t t e s t s u i t e .

T e s t i n g s o f t w a r e t o v a l i d a t e R B A C / W e b c o n -

f o r m a n c e t o t e s t a s s e r t i o n s .


8/14/2019 rbac-web

6/19

8/14/2019 rbac-web

7/19

8/14/2019 rbac-web

8/19

N I S T R B A C M o d e l : R o l e R e l a t i o n s h i p s

R o l e s m a y b e r e l a t e d h i e r a r c h i c a l l y , e . g . ,

s u r g e o n ! d o c t o r .

R o l e s m a y h a v e c o n i c t o f i n t e r e s t r e l a t i o n -

s h i p s :

{ S t a t i c S e p a r a t i o n o f D u t i e s ( S S D ) , e . g . ,

c o m p t r o l l e r a n d a u d i t o r c a n n o t b e a u t h o -

r i z e d f o r t h e s a m e u s e r .

{ D y n a m i c S e p a r a t i o n o f D u t i e s ( D S D ) , e . g . ,

t e l l e r a n d a c c o u n t h o l d e r c a n b e a u t h o r i z e d

f o r t h e s a m e u s e r b u t c a n n o t b o t h b e a c t i v e .

T h e n u m b e r o f u s e r s a u t h o r i z e d f o r a g i v e n

r o l e m a y b e l i m i t e d b y t h e c a r d i n a l i t y o f t h a t

r o l e , e . g . , p r e s i d e n t h a s c a r d i n a l i t y o n e .

8/14/2019 rbac-web

9/19

R o l e R e l a t i o n s h i p s E x a m p l e : B a n k


8/14/2019 rbac-web

10/19

R B A C / W e b I m p l e m e n t a t i o n

U s e s e x i s t i n g W W W t e c h n o l o g y .

C a n b e u s e d w i t h a n y b r o w s e r .

C a n b e u s e d w i t h a n y a u t h e n t i c a t i o n m e c h a -

n i s m , e . g . , S S L , S H T T P , P C T .

P r i v i l e g e d o p e r a t i o n s a r e H T T P m e t h o d s ,

e . g . , G E T , P O S T , P U T .

A v a i l a b l e f o r U n i x ( e . g . , N e t s c a p e , A p a c h e )

a n d W i n d o w s N T ( e . g . , I I S , W e b s i t e ) .

J o h n B a r k l e y , j b a r k l e y @ n i s t . g o v , R B A C o n t h e W W W M a r c h 2 5 , 1 9 9 7 1 . 1 0

8/14/2019 rbac-web

11/19

E n d U s e r S c e n a r i o

E s t a b l i s h e s a u t h e n t i c a t i o n s e s s i o n .

E s t a b l i s h e s a c t i v e r o l e s e t ( A R S ) f o r R B A C

S e s s i o n :

{ I f n o D S D , t h e n R B A C S e s s i o n a u t o m a t i -

c a l l y b e c o m e s o n l y p o s s i b l e A R S .

{ I f D S D , t h e n e n d u s e r c h o o s e s A R S f o r

R B A C S e s s i o n .

A c c e s s e s U R L s n o r m a l l y s u b j e c t t o A R S .


8/14/2019 rbac-web

12/19

A d m n i s t r a t o r S c e n a r i o

D e n e s r o l e s a n d t h e i r h i e r a r c h y , S S D , D S D ,

a n d c a r d i n a l i t y .

D e n e s m a p p i n g f r o m U R L s t o l e s .

A s s i g n s t o e a c h l e t h e H T T P m e t h o d ( s ) a n d

r o l e ( s ) p e r m i t t e d t o p e r f o r m t h o s e m e t h o d ( s ) .

A s s i g n s r o l e ( s ) t o e a c h u s e r ( a u t h o r i z e d r o l e s

b e c o m e a s s i g n e d r o l e s p l u s r o l e s i n h e r i t e d

f r o m t h e a s s i g n e d r o l e s ) .


8/14/2019 rbac-web

13/19

R B A C / W e b C o m p o n e n t s

U n i x & N T : D a t a b a s e D e n i t i o n

A d m i n T o o l

D a t a b a s e S e r v e r

S e s s i o n M a n a g e r

U n i x O n l y : A P I L i b r a r y

C G I


8/14/2019 rbac-web

14/19

R B A C / W e b D a t a b a s e D e n i t i o n

D a t a s e t s w h i c h s p e c i f y :

A s s o c i a t i o n b e t w e e n u s e r s a n d t h e i r r o l e s .

R o l e h i e r a r c h y .

S S D r e l a t i o n s h i p s .

D S D r e l a t i o n s h i p s .

A R S s .

A s s o c i a t i o n b e t w e e n W W W s e r v e r l e s ,

H T T P m e t h o d s , a n d r o l e s .


8/14/2019 rbac-web

15/19

R B A C / W e b A d m i n T o o l

A c c e s s e d b y m e a n s o f a W W W b r o w s e r .

C r e a t e s u s e r s a n d r o l e s .

A s s o c i a t e s u s e r s w i t h r o l e s a n d r o l e s w i t h

H T T P m e t h o d s a p p l i e d t o l e s .

S p e c i e s r o l e r e l a t i o n s h i p s , i . e . , h i e r a r c h y ,

S S D , D S D .


8/14/2019 rbac-web

16/19

R B A C / W e b D a t a b a s e S e r v e r

H o s t s t h e a u t h o r i t a t i v e c o p i e s o f t h e d a t a s e t s

d e n i n g u s e r s , r o l e s , a n d r o l e r e l a t i o n s h i p s .

N o t i e s W W W s e r v e r s t o u p d a t e t h e i r c a c h e d

c o p i e s o f t h e s e d a t a s e t s w h e n a u t h o r i t a t i v e

c o p i e s c h a n g e .


8/14/2019 rbac-web

17/19

R B A C / W e b S e s s i o n M a n a g e r

M a n a g e s t h e R B A C S e s s i o n .

C r e a t e s a n d r e m o v e s u s e r s ' a c t i v e r o l e s e t s .


8/14/2019 rbac-web

18/19

8/14/2019 rbac-web

19/19

R B A C / W e b C G I

I m p l e m e n t s R B A C o n t h e W W W a s a C G I .

E x i s t i n g W W W s e r v e r s n e e d n o t b e m o d i e d .


rbac-web

Documents