DE69500424T2

DE69500424T2 - Verfahren und gerät zur sicheren objektveränderung in einem verteilten system

Info

Publication number: DE69500424T2
Application number: DE69500424T
Authority: DE
Inventors: Randal E. Orem Ut 84057 Childers; Deeanne Provo Ut 84601 Higley; Kevin W. North Orem Ut 84057 Kingdon; Dale R. Sandy Ut 84092 Olds
Original assignee: Novell Inc
Current assignee: Micro Focus Software Inc
Priority date: 1994-12-15
Filing date: 1995-12-15
Publication date: 1998-01-08
Anticipated expiration: 2015-12-16
Also published as: JP2868315B2; WO1996018941A3; CA2182791C; EP0745239B1; CA2182791A1; US5677851A; KR100256594B1; US5784560A; DE69500424D1; AU4685996A; WO1996018941A2; JPH09509772A; EP0745239A1

Description

HINTERGRUND

Die vorliegende Erfindung bezieht sich allgemein auf die Auflösung von Objektattributen und wird spezifisch im Zusammenhang mit einem System zur Auflösung solcher Objektattribute in einem verteilten digitalen Netzverzeichnis offenbart.
Der technische Fortschritt in der Mikroelektronik, in Digitalrechnern und in Software hat zu starker Ausbreitung von Rechnernetzen geführt. In solchen Netzen stehen Rechner miteinander in Fernverbindung, nutzen gemeinsam Daten und teilen Anwendungen und Dienstleistungen. In einem der Rechnernetztypen wird eine Kunden-Server-Architektur verwendet, worin die mit menschlichen Benutzern in Wechselwirkung befindlichen Netzanwendungsteile typischerweise von den Netzanwendungsteilen getrennt sind, die Anforderungen und Daten bearbeiten. Oft werden die Anteile einer Anwendung, die mit dem Benutzer in Wechselwirkung treten, Kundenanwendungen oder Kundensoftware genannt, während die Anteile der Anwendung, die Anforderungen und Daten bearbeiten, Serveranwendungen oder Serversoftware genannt werden. In einer Kunden- Server-Netzumgebung laufen Kunden- und Serveranwendungen allgemein auf verschiedenen Rechnern ab, die selbst Kunden bzw. Server genannt werden, obwohl Server auch Kunden sein können.
Lokalbereichsnetze, gewöhnlich LAN (local area networks) genannt, waren eine frühe Form digitaler Netze, die aus einer physischen Ansammlung von im allgemeinen durch Netzverkabelung und Netzschnittstellenbausteine untereinander verbundenen Rechnern bestanden. Geschichtlich gesehen umfassten die LAN einen einzigen Netzserver und eine Mehrzahl von Netzkunden. Der Netzserver verwaltete die Netzbetriebsmittel wie Dateien, Drucker, Druckerwarteschlangen, Serveranwendungen usw. Als Teilaufgabe dieser Verwaltungsarbeit verwaltete der Netzserver Information über jedes der Netzbetriebsmittel, über die Identität der Netzkunden und -benutzer sowie über den Geltungsbereich und das Wesen des für Netzkunden und -benutzer verfügbaren Zugriffs.
Mit steigender Beliebtheit der LAN wurden diese Netze grösser und erforderten mehrere Server, um die Bedürfnisse der Kunden und Benutzer zu bewältigen, wodurch die Netzverwaltung zunehmend schwieriger wurde. Von der Logistik her war dies schwierig, weil Benutzer Zugriff zu einer steigenden Zahl von Netzbetriebsmitteln brauchten, die auf einer steigenden Zahl von Netzservern angesiedelt waren. Die Mehrfachstruktur der Server selbst vergrösserte diese Schwierigkeiten, denn einerseits war eine Makroverwaltung der Netzserver innerhalb eines LAN unentbehrlich, aber andererseits verwaltete jeder Netzserver ein Einzelverzeichnis, worin seine eigenen, einmaligen Daten und Netzdienstleistungen gespeichert waren und wofür eine unabhängige Mikroverwaltung erforderlich war. Das Fehlen eines Normschemas für die Bereitstellung von Information über die Netzdienstleistungen vergrösserte diese Schwierigkeiten noch weiter. Die Folge war, dass eine Anzahl von Anbietern damit begann, ihre eigenen, besonderen vernetzbaren Server herauszubringen, deren jeder sein einmaliges und idiosynkratisches Schema aufwies.
Die mit dieser insularen Methode für die Verwaltung von Information über Vernetzungsdienstleistungen verbundenen Schwierigkeiten beflügelten die Erforschung und Entwicklung verteilter Netzverzeichnisse. Mit verteilten Verzeichnissen erfasst ein einziges Verzeichnis eine Vielzahl von vernetzten Servern, die gemeinsam dieses Verzeichnis nutzen. Bis heute hat die Forschung schon zu mehreren Protokollen für verteilte Verzeichnisse geführt, von denen einige zu grossen Hoffnungen berechtigen, die grosse Anzahl von insularen und idiosynkratischen Verzeichnissen zu ersetzen, mit denen gegenwärtig viele der bestehenden LAN und elektronischen Briefpostsysteme belastet sind. In einer der beliebteren Lösungen wird das Protokoll X.500 für Netzdienstleistungen ausgenutzt, das von der CCITT (jetzt ITU-T genannt) und dem Open Systems Interconnect Consortium entwickelt und veröffentlicht worden ist. In einem Teil der Vorschrift des Protokolls X.500 wird ein verteiltes Verzeichnis beschrieben, worin Daten durch Netzkungen, die geeignete Zugriffsberechtigungen über eine Vielzahl von Servern hinweg haben, erzeugt, gelesen, geändert und gemeinsam genutzt werden können. Die Struktur der im verteilten Verzeichnis gespeicherten Daten wird durch das Verzeichnisschema durchgesetzt. Das Protokoll X.500 hat nur recht langsam Eingang gefunden, obwohl es vielversprechend erscheint, dass damit ein robustes verteiltes Verzeichnis geschaffen werden kann. Die Vorschrift des Protokolls X.500 beschreibt einen technischen Rahmen, die Erfordernisse für gegenseitige Funktionsfähigkeit und die Kriterien für die Erfüllung der Anforderungen, aber es beschreibt keine spezifischen Ausführungsformen Daher sind viele Einzelheiten der Ausführung den Systemlieferanten überlassen geblieben, was zu Veränderlichkeit und letztlich zum Fehlen einer wirklichen Norm geführt hat.
Ein verteiltes Verzeichnis enthält eine Sammlung von Objekten mit zugeordneten Attributen oder Eigenschaften, die durch ihre gegenseitige Beziehung miteinander verknüpft sind. Zum Beispiel zeigt Figur 1 ein "Computer" oder "Rechner" genanntes Objekt mit einiger) seiner zugeordneten Eigenschaften wie "Eigentümer", "Bediener", "Status" usw. Die Werte der zugeordneten Attribute werden in Figur 1 nicht gezeigt, aber als mögliches Beispiel eines Wertes für die Eigenschaft "Eigentümer" kann "George" angeführt werden. Die Objekte und deren Namen (zum Beispiel "Computer" in Figur 1), die sich in einem verteilten Verzeichnis befinden, stehen oft für Dinge, mit denen Menschen in Beziehung treten, wenn sie mit Rechnern umgehen. Typische mögliche Beispielobjekte sind Benutzer, Drucker, Druckerwarteschlangen, Netzdateien und Netzbetriebsmittel. Objekte könnten auch Dinge sein, die keine Beziehung zum Rechner haben, wie Länder, Firmen, Organisationen, Abteilungen, Gebäude usw. Der durchschnittlich fachmännisch Gebildete wird leicht erkennen, dass ein Objekt im Grunde genommen alles sein kann, sei es nur in der Vorstellung oder aber wirklich vorhanden.
Häufig kann ein Benutzer die in einem verteilten Verzeichnis enthaltenen Objekte in einer hierarchischen Struktur betrachten, allgemein in der Gestalt eines Baumes, wo die Objekte in Teilbäumen und Bereichen organisiert sind. Figur 2 zeigt eine solche hierarchische Struktur. Jeder Zweig und jeder Endpunkt stellt Objekte im verteilten Verzeichnis dar, während jeder Kreis Bereiche darstellt. Jeder Bereich enthält einen Satz von Objekten, worin das der Wurzel am nächsten befindliche Objekt als Bereichswurzel bezeichnet wird. Vielfache Nachbildungen eines Bereiches können im verteilten Verzeichnis gespeichert werden, wobei jeder insulare Server einen einmaligen Satz von Bereichen und gleichzeitig in dieser insularen Maschine eine einmalige Hierarchie von Objekten enthalten könnte. Ein Server, der einen Bereich verwaltet, wird als Namenserver bezeichnet, der für die Aktualisierung und für Veränderungen an Objekten innerhalb des Bereiches verantwortlich ist. Über die durch das verteilte Verzeichnis gegebene Struktur werden die durch den Namenserver am Bereich ausgeführten Veränderungen an die verschiedenen Nachbildungen verteilt. Verzeichnisschemata definieren und bestimmen die Nachbildungstypen in jedem Bereich, zum Beispiel Stammbereich, Festwertbereich oder Doppelbereich. Diese hierarchische Struktur von Objekten und Bereichen ist ein wirksamer Weg zu reduzierter Netzspeicherung, zu Netzverkehrskontrolle und letztlich zu rascherem Zugriff auf das verteilte Verzeichnis.
Die hierarchische bzw. Baumstruktur schafft logische Mittel zur Datensuche innerhalb des verteilten Verzeichnisses. Der Baum ist allgemein nach logischen Gruppierungen wie Organisationen, Organisationseinheiten, Rechnern, Benutzern usw. strukturiert. Zum Beispiel könnte Bereich A in Figur 2 die Rechtsabteilung einer Firma darstellen, während Bereich C die Gruppe für Steuern darstellen könnte, die der Rechtsabteilung unterstellt ist. Jeder Bereich bildet einen grösseren Teilbaum des verteilten Verzeichnisses. In ihrer Gesamtheit bilden die Bereiche eine hierarchische Struktur von Bereichen, die beim Wurzelbereich zusammenlaufen. Wo die Grenzen zweier Bereiche aufeinandertreffen, wird der näher zum Wurzelbereich befindliche Bereich als der höhere angesehen, während der weiter vom Wurzelbereich entfernte Bereich als untergeordnet angesehen wird. So ist Bereich E in Figur 2 dem Bereich B und dem Wurzelbereich untergeordnet, während Bereich B dem Bereich E überlegen, aber dem Wurzelbereich untergeordnet ist.
Diese logischen Gruppierungen sind als Hilfen für das Auffinden sachdienlicher Daten durch den Benutzer äusserst nützlich, können aber bei der Verwaltung des verteilten Verzeichnisses logistische Herausforderungen entstehen lassen. Wenn sich Objekte im verteilten Verzeichnis ändern, muss auch das verteilte Verzeichnis geändert werden. Zum Beispiel befinden sich Organisationen, Organisationseinheiten, Rechner und Benutzer alle in Bewegung. Heute zum Beispiel könnte die Rechtsabteilung der Finanzabteilung unterstellt sein.
Morgen könnte einer der Angestellten der Finanzabteilung zur Vertriebsabteilung versetzt werden. Übermorgen könnte ein anderer Angestellter oder eine andere Angestellte befördert werden und neue Rechte und Privilegien erhalten. Daher muss es möglich sein, Objekte und Bereiche im verteilten Verzeichnis zu ändern.
Parteien, die kein Vertrauen geniessen, können Zugriff zu einem verteilten Verzeichnis erlangen und könnten nicht autorisierte Änderungen innerhalb des verteilten Verzeichnisses ausfuhren. Das trifft besonders dann zu, wenn ein verteiltes Verzeichnis stark anwächst und weitere Nannenserver zum Netz hinzukommen. Zum Beispiel können zwei Firmen an dem selben verteilten Netz teilhaben. Während zwischen den beiden Firmen möglicherweise kein volles Vertrauen besteht, könnte jede Firma einen Namenserver haben, der einen Bereich innerhalb des verteilten Verzeichnisses verwaltet und Nachbildungen anderer Bereiche besitzt. Der durchschnittlich fachmännisch Gebildete wird leicht erkennen, dass ein solcher Zugriff verschiedene Gestalt annehmen könnte und nicht auf das vorstehende Beispiel beschränkt ist. Weil Parteien, die kein Vertrauen geniessen, Zugriff zu im verteilten Verzeichnis enthaltenen Daten erlangen könnten, ist es ihnen möglich, wichtige Daten in diesem Verzeichnis zu verfälschen oder zu ändern. Wenn solche Verfälschungen zugelassen werden, kann der Erfolg eines verteilten Verzeichnisses ernsthaft beeinträchtigt werden.
Verfälschung kann an Objekten geschehen, die statische Mittel zur Auflösung von Objektattributen verwenden, was auch als statische Auflösung bezeichnet wird. Eine andere Möglichkeit zur Auflösung von Objektattributen wird als dynamische Auflösung bezeichnet. Unter Auflösung von Objektattributen versteht man das Vergleichen eines Attributwertes oder -wertesatzes in einem oder mehreren Objekten mit einem anderen Wert oder Wertesatz, um festzustellen, ob sie übereinstimmen. Statische Auflösung wird allgemein benutzt, um in grösseren Netzen den Netzverkehr zu verringern, während dynamische Auflösung allgemein in kleineren Netzen benutzt wird. Diese beiden Wege zur Auflösung von Objektattributen werden beispielhaft in Figur 3 verglichen. Die Menschen und Dinge Boyd 31, Gruppe A 32 und Drucker C 33 werden alle als die Objekte 31a,b, 32a,b und 33a,b dargestellt. Wie durch die Dynamische Auflösungstabelle 34 dargestellt, sucht ein dynamisches System durch Direktzugriffsspeicher ("RAM") nach dem Objekt Drucker C 33a in Kolonne 36a, nachdem von Boyd 31 die Anforderung einging, auf Drucker C 33 zu drucken. Dann durchsucht das dynamische System 34 die zugeordneten Attribute 37a des Objekts Drucker C 33a. Wenn das dynamische System 34 das Objekt Gruppe A 32a findet, durchsucht es die zugeordneten Attribute 37a des Objekts Gruppe A 32a, bis es das Objekt Boyd 31a findet. Nach Auflösung der Objektattribute und Prüfung, dass die Werte übereinstimmen, hat das System nachgewiesen, dass das Objekt Boyd 31a die Berechtigung für den Zugriff zum Objekt Drucker C 33a hat, und das dynamische System 34 nimmt nun die Anforderung von Boyd 31 entgegen, auf Drucker C 33 auszudrucken. Andererseits sucht ein statisches System 35 das zugeordnete Attribut 37b des Objekts Boyd 31b für das Objekt Drucker C 33b. Sofern das Objekt Drucker C 33b ein Attribut des Objekts Boyd 31b ist, nimmt das statische System 35 die Anforderung von Boyd 31, auf Drucker C 33 auszudrucken, entgegen. In der Tendenz ist ein dynamisches System 34 schneller in kleineren Rechnersystemen, während ein statisches System 35 in grösseren Rechnersystemen schneller ist.
Während statische Auflösung in grösseren Rechnersystemen die höhere Leistung erbringt, kann sie insbesondere in einem verteilten Verzeichnis mit vielfachen Bereichsnachbildungen ein potentielles Sicherheitsproblem herbeiführen. Wenn zum Beispiel das Objekt Boyd 31b von einem Namenserver verwaltet wird, der sich physisch in Firma A befindet, während das Objekt Drucker C 33b von einem anderen Namenserver verwaltet wird, der sich physisch in der Firma B befindet, könnte jemand ohne die Zustimmung der Firma B die Attribute 37b des Objekts Boyd 31b verfälschen und Drucker C 33b als ein Attribut hinzufügen. Im Ergebnis könnte Boyd 31 Zugriff zum Drucker C 33 erlangen, obwohl Firma B für diesen Zugriff keine Berechtigung erteilt hat. Dies ist der Fall, weil ein statisches System 35 die Attribute 37b betrachtet, die dem Zugriff anfordern den Objekt 36b zugeordnet sind, wobei aber Objekt 36b nicht durch Firma B kontrolliert wird. Es besteht daher ein Bedarf für Mittel, Objektattribute ohne die beim Stande der Technik existierenden Begleitprobleme aufzulösen.

ZUSAMMENFASSUNG DER ERFINDUNG

Entsprechend ist es ein Ziel dieser Erfindung, die Sicherheit in Rechnern zu erhöhen.
Es ist ein zusätzliches Ziel dieser Erfindung, ein verbessertes Verfahren zur Auflösung von Objektattributen zu schaffen.
Es ist ein weiteres Ziel dieser Erfindung, ein verbessertes Verfahren zur Synchronisierung von Objekten zugeordneten Attributen zu schaffen.
Es ist noch ein weiteres Ziel dieser Erfindung, ein verbessertes Verfahren zum Schutz von Objektänderungen zu schaffen.
Es ist ein weiteres Ziel dieser Erfindung, ein verbessertes Verfahren zur Erhöhung der statischen Objektauflösung zu schaffen.
Es ist noch ein weiteres Ziel dieser vorliegenden Erfindung, die vorstehenden Ziele in einem verteilten Verzeichnis zu erreichen.
Weitere Ziele, Vorteile und neuartige Merkmale der Erfindung werden teilweise in der folgenden Beschreibung vorgestellt, teilweise werden sie für den Fachmann offenkundig werden, der die Erfindung, wie sie in den Ansprüchen definiert wird, prüft oder ausführt. Die Ziele und Vorteile der Erfindung können durch die in den beigefügten Ansprüchen ausgewiesenen Instrumente und Verknüpfungen realisiert und erhalten werden.
Um die vorstehenden und andere Ziele der Erfindung zu erreichen, wird ein Verfahren geschaffen nachzuprüfen, dass ein erstes Objekt die Berechtigung zum Zugriff zu einem zweiten Objekt hat. Das erste Objekt hat ein zugeordnetes "Sicherheits-Ebenbürtigen"-Attribut, das eine Aufstellung anderer Objekte enthält, von denen das erste Objekt Rechte ableitet oder erbt. Das zweite Objekt hat ein zugeordnetes "Mir-Äquivalent"-Attribut, das eine massgebliche Aufzählung aller Objekte enthält, die in ihrer Sicherheit dem zweiten Objekt gleichwertig sind. Die Berechtigung ist erwiesen, wenn das Sicherheits- Ebenbürtigen-Attribut im ersten Objekt und das Mir-Äquivalent-Attribut im zweiten Objekt synchronisiert sind. Die beiden zugeordneten Attribute sind synchronisiert, wenn das zweite Objekt in das Sicherheits-Ebenbürtigen- Attribut des ersten Objekts und das erste Objekt in das Mir-Äquivalent- Attribut des zweiten Objekts einbezogen ist. Wenn die beiden Attribute nicht synchronisiert sind, sorgt ein weiterer Aspekt der Erfindung dafür, dass das System einer Person oder einem Rechner anzeigt, dass ein unberechtigter Zugriff zum zweiten Objekt versucht worden ist.
Die vorliegende Erfindung schafft auch ein Verfahren zur Synchronisierung der Sicherheits-Ebenbürtigen- und Mir-Äquivalent-Attribute. Das Synchronisierverfahren kann eingeleitet werden, nachdem eine Anforderung eingetroffen ist, das Mir-Äquivalent-Attribut des zweiten Objekts zu modifizieren. Zum Beispiel könnte durch eine solche Anforderung vorgeschlagen werden, dass das erste Objekt der Mir-Äquivaient-Aufstellung des zweiten Objekts hinzugefügt wird. Durch das Verfahren wird als nächstes nachgeprüft, ob das Mir-Äquivalent-Attribut modifiziert werden darf. Die Nachprüfung kann auf verschiedenen Wegen erfolgen, darunter durch eine Überprüfung, ob der Anforderer die zutreffende Systemberechtigung hat, oder durch eine Überprüfung im Verwaltungsgeschäftsverfahren, ob das erste Objekt die Berechtigung zum Zugriff auf das zweite Objekt hat. Nach beendeter Überprüfung kann das erste Objekt zum Mir-Äquivalent-Attribut des zweiten Objekts hinzugefügt werden. Dann kann das Sicherheits-Ebenbürtigen-Attribut des ersten Objekts mit dem modifizierten Mir-Äquivalent-Attribut synchronisiert werden, indem das zweite Objekt zum Sicherheits-Ebenbürtigen-Attribut hinzugefügt wird.
Noch weitere Aspekte der vorliegenden Erfindung werden für den Fachmann aus der folgenden Beschieibung einer bevorzugten Ausführungsform erkenntlich werden, die nur zur Veranschaulichung dient und eine der besten Möglichkeiten darstellt, wie die Erfindung umzusetzen wäre. Es ist zu erkennen, dass die Erfindung noch andere, offensichtliche Aspekte zeitigen kann, ohne von der Erfindung abzuweichen. Entsprechend sind die Zeichnungen und Beschreibungen von veranschaulichender Natur und nicht einschränkend.

KURZE BESCHREIBUNG DER ZEICHNUNGEN

Die beigefügten Zeichnungen, die in die Patentbeschreibung aufgenommen sind und einen Teil dieser Beschreibung bilden, veranschaulichen verschiedene Aspekte der vorliegenden Erfindung und dienen zusammen mit der dazugehörigen Schilderung dazu, die Grundgedanken der Erfindung zu erläutern. In den Zeichnungen zeigt
Figur 1 ein typisches Objekt mit einigen seiner zugeordneten Attribute;
Figur 2 zeigt ein typisches verteiltes Verzeichnis;
Figur 3 veranschaulicht den Unterschied zwischen dynamischer und statischer Auflösung;
Figur 4 veranschaulicht den Gebrauch der Sicherheits-Ebenbürtigen- und Mir- Äquivalent-Attribute in einem verteilten Verzeichnis mit statischer Auflösung der Objektattribute, wonn die Attribute synchronisiert sind; und
Figur 5 veranschaulicht den Gebrauch der Sicherheits-Ebenbürtigen- und Mir- Äquivalent-Attribute in einem verteilten Verzeichnis mit statischer Auflösung der Objektattribute, worin die Attribute nicht synchronisiert sind.
Nunmehr wird eingehend auf die vorliegende bevorzugte Ausführungsform der Erfindung Bezug genommen, für die in den beigefügten Zeichnungen, in denen gleiche Zahlen in allen Figuren die gleichen Elemente andeuten, ein Beispiel veranschaulicht wird.

EINGEHENDE BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSFORM

Die Software der bevorzugten Ausführungsform der Erfindung unterstützt ein Sicherheitssystem, mit dem in einem verteilten Verzeichnis enthaltene Objekte vor Verfälschung bewahrt werden sollen. Das verteilte Verzeichnis der bevorzugten Ausführungsform hat ein Schema, das eine Sammlung von Klassen- und Attributdefinitionen beinhaltet. Jedes Objekt in diesem Schema gehört zu einer Klasse, und diese Klassen haben Textnamen innerhalb einer Klassenhierarchie. Zunehmende Spezialisierung entspricht einem Absteigen in der Klassenhierarchie. Zum Beispiel ist ein Server die Spezialisierung einer Vorrichtung, während ein Druckserver die Spezialisierung eines Servers ist. Die Objekte haben auch eine Namenshierarchie, für die die Entsprechung in einer Baumstruktur gefunden werden kann. Objekte an Innenknoten bzw. Objekte, die sich näher bei der Wurzel des Baumes befinden, sind "Behälter"-Objekte, die höher gewertet werden als verhaltnismässig weiter aussen liegende Knoten bzw. Objekte, die sich näher bei den Blättern des Baumes befinden und als untergeordnet gewertet werden. Diese Objekte gehören nicht nur zu einer Klasse, sondern haben auch Attribute, deren Werte gelesen und geschrieben werden können. Jedes Attribut hat einen Textnamen und eine Syntax, durch die seine Werte ausgedrückt werden und in der der Name eine Länge von einem bis 32 Zeichen haben kann (ohne eine Null am Ende). Ein gegebenes Attribut kann einen Bereich von gültigen Werten sowie eine Vielfalt anderer Attributseigenschaften haben, zum Beispiel die Eigenschaft, ein obligatorisches oder ein wahlfreies Attribut zu sein.
Objekte können als Bezug zu anderen Objekten dienen. Solche Bezüge werden organisiert bzw. kontrolliert durch solchen Objekten zugeordnete spezialisierte Zugriffsattribute. In der bevorzugten Ausführungsform enthält, wenn ein erstes Objekt als Bezug zu einem zweiten Objekt dient, das erste Objekt ein "Sicherheits-Ebenbürtige" genanntes Zugriffsattribut, das zweite ein "Mir-Äquivalent" genanntes Zugriffsattribut. Beide Zugriffsattribute sind statisch aufgelöst und dürfen mehrfache Werte haben. Das Sicherheits-Ebenbürtigen-Attribut, so wie es in der vorliegenden Patentbeschreibung und den vorliegenden Ansprüchen gebraucht wird, ist zu verstehen als jedes beliebige Attribut, das eine Aufstellung anderer Objekte enthält, von denen das erste Objekt Rechte ableitet oder erbt bzw. zu denen das Objekt Zugriffsrechte besitzt. Zum Beispiel erbt ein Benutzerobjekt namens Boyd, der die Objekte George und Gruppe A in seiner Sicherheits-Ebenbürtigen-Attributeaufstellung hat, die Rechte, die George und Gruppe A für andere Objekte haben. Ein Benutzerobjekt namens Heidi könnte, als ein weiteres Beispiel, das Objekt Bandlaufwerk in seiner Sicherheits-Ebenbürtigen-Attributeaufstellung haben, wodurch Heidi Zugriffsrechte zum Bandlaufwerk hätte. Das Mir-Äquivalent-Attribut, so wie es in der vorliegenden Patentbeschreibung und den vorliegenden Ansprüchen gebraucht wird, ist zu verstehen als jedes beliebige Attribut, das eine Aufstellung aller Objekte enthält, die eine dem mit diesem Attribut verbundenen Objekt gleichwertige Sicherheit besitzen. In der vorliegenden Ausführungsform wird das Mir-Äquivalent-Attribut als das massgebende Attribut für die Zugriffskontrolle eines gegebenen Objekts benutzt. In den vorstehenden Beispielen hätten die Objekte George und Gruppe A Boyd in ihren Mir-Äquivalent-Attributeaufstellungen, während das Objekt Bandlaufwerk Heidi in seiner Mir-Äquivalent-Attributeaufstellung hätte.
Figur 4 veranschaulicht, wie die Sicherheits-Ebenbürtigen- und Mir-Äquivalent-Attribute in der bevorzugten Ausführungsform benutzt werden. In diesem Beispiel arbeiten Firma A 41a und Firma B 41b in getrennten Geschäftsräumen zusammen, jedoch besteht kein volles Vertrauen zwischen den beiden Firmen. Die beiden Firmen 41a, 41b nutzen gemeinsam ein verteiltes Netz 40 und sind beide daran beteiligt, wobei jede Firma einen Namen server 47a, 47b betreibt, der jeweils einen Bereich 42a, 42b für die betreffende Firma 41a, 41b verwaltet. Jeder dieser Bereiche 42a, 42b ist dem Wurzelbereich 42 untergeordnet. Ein Angestellter namens Boyd 43 der Firma A 41a bedient einen Kundenrechner 43a, der im Rahmen ihrer Arbeitsbeziehung mit dem Namenserver 47a in Verbindung steht. Boyd 43 hat die Berechtigung für Ausdrucken auf und anderweitigen Zugriff zu dem in den Geschäftsräumen der Firma B 41b befindlichen Drucker C 45 erhalten. Der Bereich 42a enthält ein Objekt Boyd 44, das den Angestellten Boyd 43 darstellt und ein Sicherheits-Ebenbürtigen-Attribut 48 besitzt. In ähnlicher Weise enthält der Bereich 42b ein Objekt Drucker C 46, das ein Mir-Äquivalent-Attribut 49 besitzt und den physischen Drucker C 45 darstellt. Der Namenserver 47a kontrolliert und verwaltet das Objekt Boyd 44, während der Namenserver 47b das Objekt Drucker C 46 kontrolliert und verwaltet.
Ein Fachmann wird leicht erkennen, dass die beiden Server 47a, 47b entweder direkt oder indirekt miteinander in Fernverbindung treten können, und zwar in unterschiedlichster Weise wie über ein Modem, physische Anschlussleitungen, Netzverknüpfung, Auslandsleitungen und Satellitenverbindungen. Obwohl das vorliegende Beispiel eine Ausführungsform dieser Erfindung im Zusammenhang mit einem verteilten Verzeichnis 40 darlegt, könnten die Lehren dieser Offenbarung durch einen durchschnittlichen Fachmann leicht in vielfältigen anderen Anordnungen benutzt werden, zum Beispiel zwischen zwei Maschinen mit diskreten nichtverteilten Verzeichnissen oder innerhalb ein und derselben Maschine, von der die in Frage stehenden Objekte 44, 46 beide verwaltet werden.
Wenn im vorliegenden Beispiel Boyd 43 eine auf dem Kundenrechner 43a laufende Anwendung dazu benutzt, Zugriff zum Drucker C 45 zu erbitten, zum Beispiel das Schema eines Druckauftrages, leitet der Kunde 43a die Anforderung in Gestalt einer Anforderung wie beispielsweise "Namen auflösen" an den Server 47a weiter. "Namen auflössen" ist eine Operation, durch die ein Kunde damit beginnen kann, die Werte der verschiedenen Attribute zu bestimmen. In dieser Operation wird von einem Objekt der "Kennzeichnende Name" erfasst, und "Eingangslegitimation" oder Objektadressen, die dazu benutzt werden können, auf einen entsprechenden Wert zuzugreifen, werden als Antwort erteilt. Durch die Anforderungsparameter zeigt der Kundenrechner 43a die verschiedenen Eigenschaften der gewünschten "Eingangslegitimation" an. Im vorliegenden Beispiel kann "Namen auflösen" zusätzlich den "Kennzeichnenden Namen" des Druckers C 45 identifizieren, nämlich CN = Drucker C.OU = Gebiet B.O = Firma B, wodurch ausgesagt wird, wo sich das Objekt Drucker C 46 in der Hierarchie des verteilten Verzeichnisses befindet. In diesem Beispiel bedeutet CN den gewöhnlichen Namen (common name), O den Namen der Organisation und OU die Organisationseinheit (organizational unit).
Als nächstes inspiziert die bevorzugte Ausführungsform unter Benutzung einer Funktion wie zum Beispiel "Lesen" die Aufstellung der Werte im Sicherheits- Ebenbürtigen-Attribut 48 des Objekts Boyd 44. "Lesen" ist eine Funktion, die dazu benutzt wird, den Wert eines Attributs zu bestimmen, die also die Werte eines gegebenen Attributs für ein angegebenes Objekt wiedergibt. Im Zusammenhang mit dem vorliegenden Beispiel benutzt der Server 47a "Lesen", um das Sicherheits-Ebenbürtigen-Attribut 48 aufzulösen und den Wert "Drucker C" wiederzugeben. Nach Auflösung des Sicherheits-Ebenbürtigen-Attributs 48 gibt der Server 47a eine Anforderung "Lesen" an den in der Firma B 41b befindlichen Server 47b aus. Ähnlich wie bei der Anforderung "Lesen" für das Objekt Boyd 44 liefert der Server 47b Bezug zum Objekt Drucker C 46 und antwortet mit der mit dem Mir-Äquivalent-Attribut 49 verbundenen Zugriffskontrollaufstellung. Im vorliegenden Beispiel ist "Boyd" ein Wert im Mir- Äquivalent-Attribut 49. Als nächstes wird die Synchronisierung zwischen den Attributen 48 und 49 überprüft. Die Synchronisierung wird festgestellt, indem die Werte für das Sicherheits-Ebenbürtigen-Attribut 48 und das Mir-Äquivalent-Attribut 49 verglichen werden und festgestellt wird, ob die betreffenden Attribute 48, 49 auf die gegenübergesteuten Objekte 44, 46 Bezug nehmen. Das in Figur 4 veranschaulichte Beispiel weist Synchronisierung zwischen den Attributen der beiden Objekte aus, indem "Drucker C" der Wert des Sicherheits-Ebenbürtigen-Attributs 48 und "Boyd" der Wert des Mir-Äquivalent- Attributs 49 ist. Nach Feststellung der Synchronisierung bestätigen die Server 47a, 47b, dass der Angestellte Boyd 43 Zugriffsberechtigung für den physischen Drucker C 45 hat, und der Druckauftrag wird nunmehr erledigt.
Während Figur 4 aufzeigt, was geschieht, wenn die Werte der Sicherheits- Ebenbürtigen- und Mir-Äquivalent-Attribute 48, 49 synchronisiert sind, zeigt Figur 5 auf, was geschieht, wenn die Attribute nicht synchronisiert sind. Wie im vorherigen Beispiel arbeiten Firma A 51a und Firma B 51b zusammen, jedoch besteht kein volles Vertrauen zwischen den beiden Firmen. In diesem Beispiel versucht eine Angestellte namens Joyce 53 der Firma A 51a, unberechtigt Zugriff zu dem in der Firma B 51b befindlichen Drucker C 55 zu erlangen. Die Firmen 51a, 51b sind an einem verteilten Verzeichnis 50 beteiligt, in dem jede Firma einen Namenserver 57a, 57b besitzt, der einen Bereich 52a bzw. 52b verwaltet. Server 57a verwaltet das Objekt Joyce 54, während Server 57b das Objekt Drucker C 56 verwaltet. In ihrer Arbeitsbeziehung sind die beiden Firmen 51a, 51b übereingekommen, dass Joyce 53 keinen Zugriff zum Drucker C 55 haben sollte, also wurde der Wert "Drucker C" nicht als ein Wert zum Sicherheits-Ebenbürtigen-Attribut 58 des Objekts Joyce 53 hinzugefügt, und "Joyce" wurde nicht als ein Wert zum Mir-Äquivalent-Attribut 59 des Objekts Drucker C 56 hinzugefügt.
Unter Missachtung dieser Übereinkunft versucht die Angestellte Joyce 53, durch Modifizierung der dem Objekt Joyce 54 zugeordneten Werte Zugriff zum Drucker C 55 zu erlangen. Im vorliegenden Beispiel gestaltet sich diese Modifizierung so, dass der Wert "Drucker C" zum Sicherheits-Ebenbürtigen- Attribut 58 hinzugefügt wird (dieser Wert ist kursiv geschrieben, um eine unzulässige Modifizierung anzudeuten). In diesem Beispiel war Joyce 53 in der Lage, das Objekt Joyce 54 zu modifizieren, weil sie physischen Zugriff zum Server 57a hatte. Jedoch kann der Zugriff verschiedene andere Formen annehmen.
Nach Modifizierung des Sicherheits-Ebenbürtigen-Attributs 58 des Objekts Joyce 54 fordert die Angestellte Joyce 53 Zugriff zum Drucker C 55 an, zum Beispiel die Übermittlung eines Druckauftrags durch den Kundenrechner 53a. Der Kundenrechner 53d schickt eine Anforderung wie zum Beispiel "Namen auflösen" an den Server 57a. Unter Benutzung einer Funktion wie zum Beispiel "Lesen" löst der Server 57a die Werte des Sicherheits-Ebenbürtigen-Attributs 58 für das Objekt Joyce 54 auf. Da die Angestellte Joyce 53 den Wert "Drucker C" zum Sicherheits-Ebenbürtigen-Attribut 58 hinzugefügt hat, erkennt der Server 57a keine Anomalie und gibt unter Benutzung einer Funktion wie zum Beispiel "Lesen" an den in der Firma B 51b befindlichen Server 57b eine Anforderung aus. Als nächstes greift der Server 57b die Mir-Äquivalent-Werte 59 für das Objekt Drucker C 56 auf. Da der Wert "Joyce" kein Wert im Mir- Äquivalent-Attribut ist, fehlt die Synchronisierung, und Zugriff zum Drucker C 55 wird verwehrt. Der Server 57a meldet Joyce 53 durch eine Nachricht, dass sie keine Rechte für den Drucker C 55 besitzt. Zusätzlich könnte jeder der Server 57a, 57b dem (nicht gezeigten) Systemverwalter, einem (nicht gezeigten) besonderen Namenserver oder dem Drucker C 55 melden, dass die Angestellte Joyce 53 einen unberechtigten Zugriff zum Drucker C 55 versucht hat.
Während sich die in Figuren 4 und 5 veranschaulichten Beispiele auf Zugriff zu einem Drucker beziehen, wird der Durchschnittsfachmann unschwer erkennen, dass die vorliegende Erfindung auf im Grunde genommen alles angewendet werden kann, das sich als Objekt darstellen lässt, zum Beispiel Rechner, Druckserver, Faxserver, Speichervorrichtungen und Datenbanken. Weiterhin ist die vorliegende Erfindung nicht auf Dinge beschränkt, die sich als an verschiedenen physischen Orten oder in verschiedenen Rechnern befindliche Objekte darstellen. Zum Beispiel könnte die vorliegende Erfindung auf einen Lokalbereich in einer Werbefirma angewendet werden, die einen einzigen Server besitzt, der Objekte verwaltet, die sich aus einem teuren Farbdrucker und aus den Angestellten zusammensetzen, wobei nur bestimmten Grafikern Zugriff zum Drucker gestattet ist. Die vorliegende Erfindung könnte auch auf nichtphysische Objekte wie Teilverzeichnisse, Bereiche, Dateien, Datenbanken und Anwendungen angewendet werden. Zum Bespiel könnte eine Firma die vorliegende Erfindung ausführen, um Zugriff zu einem Teilverzeichnis zu beschränken, das sensitive Firmeninformation über einen Firmenzusammenschluss enthält. Der Systemverwalter des Firmen-LAN, in dem nur ein Server verfügbar ist, könnte ein Teilverzeichnisobjekt namens "Zusammenschluss" mit einem Mir-Äquivalent- Attribut erstellen, das eine Aufstellung von Werten für Benutzerobjekte beinhaltet, die durch die eingeweihten Angestellten Jay, Heidi und Rob gegeben sind. Für jeden dieser Benutzerobjekte könnte der Systemverwalter den Wert "Zusammenschluss" zum entsprechen den Sicherheits-Ebenbürtigen-Attribut hinzufügen. Dann könnten nur die Benutzer Jay, Heidi und Rob Zugriff zum Teilverzeichnis "Zusammenschluss" eilangen. Die vorliegende Erfindung könnte auch innerhalb eines Programmes oder auf einer Systemebene angewendet werden. In einer insularen, unabhängigen Maschine zum Beispiel könnte eine Objektvariable im Rahmen einer Programmorganisation Zugriff zu einer zweiten Objektvariablen versuchen, wobei die Anforderung automatisch ohne menschliche Aufforderung ausgelöst wird. Diese Beispiele sollen veranschaulichen, dass die vorliegende Erfindung überall dort angewendet werden kann, wo Objektattribute aufgelöst werden.
Die speziell beschriebene Ausführungsform enthält einen Mechanismus, um die Sicherheits-Ebenbürtigen- und Mir-Äquivalent-Attribute sicher zu synchronisieren. In dem in Figur 4 veranschaulichten Beispiel könnte Boyd 43 Zugriff zum Drucker C 45 gewährt werden, indem die Sicherheits-Ebenbürtigen- und Mir-Äquivalent-Attribute 48, 49 der entsprechenden Objekte 44, 46 synchronisiert werden. Das Synchronisierverfahren kann in verschiedener Weise ausgelöst werden. Zum Beispiel kann Synchronisierung ausgelöst werden, wenn eine Netzkundenanwendung, die möglicherweise durch den Systemverwalter betrieben wird, eine Anfonderung an den Server 47b leitet, den Wert "Boyd" zum Mir-Äquivalent-Attribut 49 des Objekts Drucker C 46 hinzuzufügen. Diese Anforderung könnte in Gestalt einer Anforderung wie zum Beispiel "Objekt modifizieren" erfolgen. "Objekt modifizieren" ist eine Funktion, die dazu benutzt wird, Attributwerte für ein bezeichnetes Objekt zu modifizieren, wobei der Vorgang des Modifizierens beinhalten kann, dass die Werte eines gegebenen Attributs hinzugefügt, getilgt oder geändert werden. Das Schema des verteilten Verzeichnisses der bevorzugten Ausführungsform erlaubt den meisten Attributen, mehrfache Werte zu haben, also können in einer Anforderung "Objekt modifizieren" verschiedene Arten einzelner Änderungen am selben Attribut enthalten sein, wobei jede Modifizierung einen Attributwert hinzufügt, tilgt oder ändert.
Nach Empfang der Anforderung "Objekt modifizieren" prüft der Server 47b die Existenz des Objekts Boyd 44 nach, indem er die Anforderung "Namen auflösen" ausgibt. Im vorliegenden Beispiel, wo das Objekt Boyd 44 vom Server 47a verwaltet wird, muss diese Anforderung an den Server 47a geschickt werden, der Auskunft gibt, ob das Objekt Boyd 44 existiert oder nicht. Wenn das Objekt Boyd 44 existiert, prüft Server 47b nach, ob der Angestellte Boyd 43 Zugriffsrechte zum Drucker C 45 besitzt. Diese Nachprüfung kann auf vielerlei Weise vollzogen werden. Zum Beispiel kann der Server 47b eine möglicherweise im Wurzelbereich 42 befindliche Datenbank der verschiedenen Objekte und der entsprechenden Zugriffsrechte lesen. Als weiteres Beispiel könnte der Server 47b den Systemverwalter oder einen anderen Benutzer mit der angemessenen Geschäftsvollmacht anregen zu bestätigen, dass der Angestellte Boyd 43 die Zugriffsrechte besitzt. Nachdem der Server 47b nachgeprüft hat, dass der Angestellte Boyd 43 Zugriffsrechte zum Drucker C 45 besitzt, modifiziert er das Mir-Äquivalent-Attribut 49 des Objekts Drucker C 46, indem er den Wert "Boyd" zum Mir-Äquivalent-Attribut 49 hinzufügt.
Als nächstes gibt der Server 47b an Server 47a eine Anforderung "Säv überprüfen" aus. "Säv überprüfen" ist eine Anforderung, die Sicherheitsäquivalenz eines Objekts zu überprüfen. Nach Empfang der Anforderung "Säv überprüfen" bemerkt der Server 47a, dass Server 47b nahelegt, dass am Mir-Äquivalent- Attribut 49 des Objekts Drucker C 46 eine Änderung erfolgt ist und dass das Objekt Boyd 44 bei der Änderung einbezogen war. Dann gibt der Server 47a in Gestalt von "Namen auflösen" für das Objekt Drucker C 46 eine Anforderung an den Server 47b aus, und Server 47b erwidert mit der entsprechenden "Eingangslegitimation". Als nächstes gibt der Server 47a in Gestalt von "Eingangsdaten lesen" eine Anforderung aus, um die (nicht gezeigte) Bereichswurzel des Bereichs 42b festzustellen, die das Objekt Drucker C 46 enthält. "Eingangsdaten lesen" unterscheidet sich von "Lesen". Während durch "Lesen" Werte der Attribute eines Objekts erhalten werden, beschafft "Eingangsdaten lesen" andere dem Objekt zugeordnete Werte. Unter Benutzung von "Eingangsdaten lesen" kann ein Kunde zum Beispiel den Zeitstempel der Modifizierung eines Einganges, die "Eingangslegitimation" des Stammeintrages oder einen beliebigen anderen der vielen dem Objekt zugeordneten Werte auslesen.
Der Server 47a gibt dann eine Anforderung in der Gestalt von "Lesen" aus, um die Attributwerte des Objekts Drucker C 46 zu bestimmen. Als nächstes gibt - Server 47a in der Gestalt von "Vergleichen" eine Anforderung an den Server 47b aus, um nachzuprüfen, ob der Wert "Boyd" im "Mir-Äquivalent"-Attribut 49 des Objekts Drucker C 46 vorhanden ist oder nicht. Die Operation "Vergleichen" meldet, ob sich ein vom Kunden gelieferter Wert unter den Eingangswerten für ein in der Anforderung identifiziertes Attribut findet. Eine gebräuchliche Anwendung der Operation "Vergleichen" besteht darin festzustellen, ob ein Benutzerobjekt Mitglied einer spezifischen Gruppe ist. Zuletzt modifiziert der Server 47a je nach Vorhandensein oder Nichtvorhandensein des Mir-Äquivalent- Attributs 49 das Sicherheits-Ebenbürtigen-Attribut 48 des Objekts Boyd 44. Wenn der Wert vorhanden ist, fügt Server 47a den Wert "Drucker C" zum Sicherheits-Ebenbürtigen-Attribut 48 hinzu. Wenn andererseits der Wert nicht vorhanden ist, fügt der Server 47a den Wert "Drucker C" nicht zum Sicherheits-Ebenbürtigen-Attribut 48 hinzu.
Die vorangehende Beschreibung der bevorzugten Ausführungsform der Erfindung ist zum Zwecke der Veranschaulichung und Beschreibung dargelegt worden. Es ist nicht beabsichtigt, dass diese Beschreibung erschöpfend oder die Erfindung auf die bestimmte, offenbarte Form beschränkt ist. Viele Alternativen, Abwandlungen und Abänderungen werden in Anbetracht des oben Gelehrten für den Fachmann erkenntlich. Entsprechend ist beabsichtigt, dass die Erfindung ahe jene Alternativen, Abwandlungen und Abänderungen einschliesst, die in den Rahmen der beigefügten Ansprüche fallen. Legende, Figur 1:
Stand der Technik Legende, Figur 2:
Stand der Technik Legende, Figur 3:
Stand der Technik Legende, Figur 4: Legende, Figur 5

Claims

1. Verfahren zur Auflösung von Objektattributen, um Zugriffskontrolle in einem Computersystem zu schaffen, worin ein erstes Vezeichnisobjekt und ein zweites Verzeichnisobjekt zumindest ein zugeordnetes Attribut haben, das Verfahren bestehend aus den Schritten,

a) ein zugeordnetes Attribut des ersten Objekts festzustellen;

b) zu überprüfen, daß das zweite Objekt in das zugeordnete Attribut des ersten Objekts einbezogen ist;

c) ein zugeordnetes Attribut des zweiten Objektes festzustellen;

d) zu überprüfen, daß das erste Objekt in das zugeordnete Attribut des zweiten Objektes einbezogen ist.

2. Verfahren wie in Anspruch 1 dargelegt, weiterhin den Schritt umfassend, dem ersten Objekt Zugriff zum zweiten Objekt zu gestatten, sofern

a) das zweite Objekt in das zugeordnete Attribut des ersten Objekts einbezogen ist; und

b) das erste Objekt in das zugeordnete Attribut des zweiten Objektes einbezogen ist.

3. Verfahren wie in Anspruch 1 oder 2 dargelegt, weiterhin den Schritt umfassend, anzuzeigen, daß ein unberechtigter Zugriff zum zweiten Objekt versucht worden ist, sofern eines der folgenden Ereignisse zutrifft:

a) das zweite Objekt ist nicht in das zugeordnete Attribut des ersten Objektes einbezogen; oder

b) das erste Objekt ist nicht in das zugeordnet Attribut des zweiten Objektes einbezogen.

4. Verfahren wie in Ansprüchen 1, 2 oder 3 dargelegt, worin das erste und zweite Objekt eine statische Auflösung verwenden, um Objektattribute aufzulösen.

5. Verfahren wie in einem beliebigen der vorangehenden Ansprüche dargelegt, worin das zugeordnete Attribut des ersten Objekts ein "Sicherheits-Ebenbürtige"-Attribut und das zugeordnete Attribut des zweiten Objekts ein "Mir-Äquivalent"-Attribut ist.

6. Verfahren wie in einem beliebigen der vorangehenden Ansprüche dargelegt, worin das erste und zweite Objekt innerhalb verschiedener Programmbereiche in einem verteilten Verzeichnis enthalten sind.

7. Verfahren wie in Anspruch 6 dargelegt, worin die verschiedenen Programmbereiche von verschiedenen Servern unterhalten werden.

8. Verfahren zur Synchronisation eines zugeordneten Attributs eines ersten Verzeichnisobjekts und eines zugeordneten Attributs eines zweiten Verzeichnisobjekts in einem Computersystem, das Zugriffskontrolle durch Verfahren eines beliebigen der vorangehenden Ansprüche schafft, das Verfahren bestehend aus den Schritten,

a) eine Anforderung zu empfangen, das zugeordnete Attribut des zweiten Objekts zu modifizieren;

b) nachzuprüfen, daß das zugeordnete Attribut des zweiten Objekts modifiziert werden darf;

c) das zugeordnete Attribut des zweiten Objekts zu modifizieren; und

d) das zugeordnete Attribut des ersten Objekts und das zugeordnete Attribut des zweiten Objekts zu synchronisieren, indem das zugeordnete Attribut des ersten Objekts so modifiziert wird, daß es dem modifizierten zugeordneten Attribut des zweiten Objektes entspricht.

9. Verfahren wie in Anspruch 8 dargelegt, weiterhin nach Schritt (c) und vor Schritt (d) den Schritt umfassend, nachzuprüfen, daß das zugeordnete Attribut des zweiten Objekts modifiziert worden ist.

10. Verfahren wie in Anspruch 8 dargelegt, worin der Schritt, in dem das zugeordnete Attribut des ersten Objekts so modifiziert wird, daß es dem modifizierten zugeordneten Attribut des zweiten Objekts entspricht, dadurch zustande kommt, daß das zweite Objekt zum Attribut des ersten Objekts hinzugefügt wird, sofern das erste Objekt zum Attribut des zweiten Objekts hinzugefügt worden ist.

11. Verfahren wie in Anspruch 8 dargelegt, worin der Schritt, in dem das zugeordnete Attribut des ersten Objekts so modifiziert wird, daß es dem modifizierten zugeordneten Attribut des zweiten Objekts entspricht, dadurch zustande kommt, daß das zweite Objekt vom Attribut des ersten Objekts eliminiert wird, sofern das erste Objekt vom Attribut des zweiten Objekts eliminiert worden ist.

12. Computersystem mit zumindest einem verteilten Verzeichnis, das ein erstes und ein zweites Verzeichnisobjekt einschließt, deren jedes zumindest ein zugeordnetes Attribut hat, wobei das Computersystem darauf zugeschnitten ist, kontrollierten Zugriff zu zumindest einem Verzeichnisobjekt zu schaffen, indem es so eingerichtet ist, daß es

a) ein zugeordnetes Attribut des ersten Objekts feststellt;

b) überprüft, daß das zweite Objekt in das zugeordnete Attribut des ersten Objekts einbezogen ist;

c) ein zugeordnetes Attribut des zweiten Objekts feststellt; und

d) überprüft, daß das erste Objekt in das zugeordnete Attribut des zweiten Objekts einbezogen ist.

13. Das Computersystem des Anspruchs 12, worin das verteilte Verzeichnis durch eine Mehrzahl untereinander verbundener Computer zugänglich ist.

14. Das Computersystem der Ansprüche 12 oder 13, worin das erste und zweite Objekt innerhalb verschiedener Programmbereiche eines verteilten Verzeichnisses enthalten sind, wobei die verschiedenen Programmbereiche von verschiedenen Servern unterhalten werden.

15. Das Computersystem der Ansprüche 12, 13 oder 14, worin das System so eingerichtet ist, daß es das zugeordnete Attribut des ersten Objekts und das zugeordnete Attribut des zweiten Objekts synchronisiert, indem es das zugeordnete Attribut des ersten Objekts so modifiziert, daß es dem modifizierten zugeordneten Attribut des zweiten Objekts entspricht.