云南龙网

  1. 首页 > 云知道 > >

AAA 授权要求( 五 )

云知道


中间AAA实体发出请求 。AAA协议不应当将此服务器暴露给拒绝服务攻击 。
2.4.7AAA必须支持使用中间AAA实体，它们参与授权事务，但是并不“拥有”任何最终
实体或授权数据 。
在某些环境中（如漫游操作），这些实体称为代理（虽然它们和QoS环境中的带宽代理
不相同） 。
2.4.8AAA协议可支持中间AAA实体返回一个转发地址给请求者或AAA实体的情况，使得
请求者或发起AAA实体可以和其它AAA实体联系 。
这个需求考虑AAA服务器会有路由问题，并且要求AAA协议能够避免这样的路由 。例
如，对于移动IP，需要一个代理，使得部分地答应外地和本地AAA服务器获得联系 。
2.4.9对于访问决定功能必须可以发现请求者的AAA服务器 。假如请求者提供用于发现过
程的信息，然后访问决定功能必须能够验证此信息是可信的 。
这说明不仅AAA服务器必须能够互相发现，而且有时一个应用实体也必须发现一个适
当的AAA服务器 。
2.5应用代理
2.5.1AAA协议必须支持应用使用代理，也就是说，应用实体(C)产生一个服务请求，发到
对端(I)，并且这个中间(I)也发出一个代表客户(C)的服务请求，发往最终目标(T) 。AAA协议
必须在T做出授权决定，依靠于C和/或I关联的授权信息 。这个“应用代理”不能够往AAA
协议中引入新的安全缺陷 。可以是任意长度的应用代理链 。
注重，这个需求提到的是应用层代理，而不是AAA服务器链 。例如，一个HTTP代理
链可以每个都想要限制它们提供给“外界”的服务内容 。当HTTPGET消息从HTTP代理
到HTTP代理时，这个需求说明每个阶段做出的授权决定可依靠于浏览器用户，而不是说单
单地依靠于前面HTTP代理特性 。当然可以只包含唯一地一个AAA服务器，或包含很多 。
2.5.2虽然是应用代理链，每个阶段的AAA协议可以是独立的，也就是说第一跳使用推模
式，第二跳使用拉模式，第三跳使用代理模式 。
这只是重复说明前面的需求(2.4.7)，明确它在使用应用代理的时候也可以应用 。
2.6信任模式
2.6.1AAA实体必须能够根据授权信息的种类确认其它AAA实体是否可信 。
这和公钥基础结构中的需求是类似的：
仅仅因为某人能产生一个加密的正确公钥证书，并不意味着应当信任它们的任何东西，
尤其是，我可以因为某些目的信任这个发行者，但是对于其它的，则不一定信任 。
2.6.2AAA协议必须答应实体因为不同的目的而可信，信任不是一个要么全部信任要么全部
不信任的问题 。
这联系起了打包(2.1.3)和信任(2.6.1)需求 。例如，一个AAA实体可以信任授权包的某些
部分，而不信任其它部分 。
2.6.3需要授权确认以便初始化和重新同步一个AAA实体 。
这说明AAA实体可能需要处理某些AAA协议消息，以便初始化自己 。非凡的，AAA
实体可能需要在启动时检查前面的AAA消息仍然“有效” 。
2.6.4关闭某些服务时需要静态授权协商 。
这和前面的2.6.5正好相反 。它意味着一个AAA实体“告诉”另一个AAA实体，它前
面的AAA消息不再“有效” 。参见2.3.2和2.7.6 。
2.6.5必须可以配置属于本地域的AAA实体，以便它们相互可信，但外部信任必须通过某
些AAA实体的指定子集配置 。
这说明，出于效率和组织的原因，必须可以设置某些AAA服务器，通过它们处理所有
的“外部”AAA服务 。还说明必须可以实现这个功能而不因为繁重的安全机制加重“仅用
于内部”AAA服务器的负担，仅仅是因为某些AAA服务器要处理外部关系 。

推荐阅读


上一篇：健康蜕壳，对虾才能长得快

下一篇：如何让橡皮树多枝