JP2012503455A - ネットワークにおけるアクセス制御方法およびネットワーク - Google Patents

Abstract

オブリゲーションの効果的な処理を可能にするため、ネットワークにおけるアクセス制御方法、特に、ネットワークのリソースへの主体のアクセスを制御する方法を提供する。ＰＥＰ（ポリシー施行ポイント）が、評価対象のアクセス要求をＰＤＰ（ポリシー決定ポイント）へ送信し、ＰＤＰは、少なくとも１つのオブリゲーションを含む応答をＰＥＰへ送信する。本方法によれば、オブリゲーションを指定するために、例えばＯＡＳＩＳ ＸＡＬＭＬのようなメタ言語が使用される。

Description

本発明は、ネットワークにおけるアクセス制御方法、特に、ネットワークのリソースへの主体のアクセスを制御する方法に関する。ＰＥＰ（Policy Enforcement Point, ポリシー施行ポイント）が、評価対象のアクセス要求をＰＤＰ（Policy Decision Point, ポリシー決定ポイント）へ送信する。ＰＤＰは、少なくとも１つのオブリゲーションを含み得る応答をＰＥＰへ送信することが可能である。また、本発明はネットワークに関する。アクセス制御、特に、ネットワークのリソースへの主体のアクセスの制御が提供される。ＰＥＰ（ポリシー施行ポイント）が、評価対象のアクセス要求をＰＤＰ（ポリシー決定ポイント）へ送信する。ＰＤＰは、少なくとも１つのオブリゲーションを含み得る応答をＰＥＰへ送信することが可能である。

近年、ＯＡＳＩＳ（構造化情報標準促進協会）ＸＡＣＭＬは、アクセス制御のための汎用フレームワークであるだけでなく、アクセス制御ポリシー言語の仕様のための最も広く認められた標準となっている。ＯＡＳＩＳ ＸＡＣＭＬの詳細は、非特許文献１から入手可能である。アクセス制御自体については、ポリシー言語は、コアおよび階層的ロールベースアクセス制御（Core and Hierarchical Role Based Access Control）のようなアプローチを扱えるほどにフレキシブルであるが、オブリゲーションの処理は全く無視されている。しかしこれは、特にプライバシーやデータフローの高度な追跡をサポートするためには、非常に重要な問題である。一例として、オブリゲーションは、データ永続性の問題のためにある特定の暗号化を使用することをアクセス側ユニットに強制し、あるいは、所定時間枠内に特定のアクションが実行されることを保証する可能性がある。これについては、非特許文献２および非特許文献３から入手可能である。

オブリゲーションの重要性は認識されているが、扱われていない２つの重要な側面がある。

第１に、現在のところ、ポリシー施行ポイント（ＰＥＰ）とポリシー決定ポイント（ＰＤＰ）との間で交換されるオブリゲーションを一般的な形で指定する方法は存在しない。このため、従来のソリューションにおいて可能性のあるオブリゲーションを表現するために用いられているのは、独自仕様の言語および固定した言語のみである。ＯＡＳＩＳ ＸＡＣＭＬ標準においても、ＰＥＰは、アクセス要求後にＰＤＰによって返されるオブリゲーションを認識し、それらオブリゲーションを正しく実施する方法を知っていると単に仮定される。ＰＥＰがオブリゲーションを認識しない場合、ＸＡＣＭＬ標準は、要求が拒否されたと単に仮定する。したがって、ＰＤＰとＰＥＰとの間の非互換性は、検出できるとしても実行時になってからであり、その場合でも、未知のオブリゲーションが発生する場合があるかどうかは不明である。この問題は、分散環境においてはさらに重大である。その場合、ＰＤＰおよびＰＥＰは、同一の組織エンティティによって実施も制御もされないからである。

第２に、特定の要求に適用可能なさまざまなポリシーがある場合、結合アルゴリズムを適用しなければならない。しかし、添付されるオブリゲーションの処理は、依然として単純な方法で実行される。というのは、ＸＡＣＭＬ標準（非特許文献４から入手可能）によれば、オブリゲーションのさらなる検査は行われないからである。同じ（正しい）効果を有し、評価されたポリシーに属するすべてのオブリゲーションが、ＰＥＰに返される。オブリゲーション間の衝突は考慮さえされないため、検出は起こらない。

標準化団体によりサポートされるオブリゲーションのセットを制限することは、動的混在環境に対するソリューションとはならない。すなわち、これは明確に規定された閉じたアプリケーション環境でのみ機能する。

OASIS eXtensible Access Control Markup Language (XACML) Version 2.0, Final Version, Errata, ２００８年１月２９日 Q. Ni, E. Bertino, J. Lobo, "An obligation model bridging access control policies and privacy policies", Proceedings of the 13 ACM symposium on Access Control Models and Technologies (SACMAT08), pp. 133-142 C. Bettini, S. Jajodia, X. Wang, and D. Wijesekera, "Obligation monitoring in policy management", 3rd International Workshop on Policies for Distributed Systems and Networks (POLICY 2002), IEEE Computer Society OASIS eXtensible Access Control Markup Language (XACML) Version 3.0, Working draft 05（２００７年１０月１０日）, sec 7.14

本発明の目的は、ネットワークにおけるアクセス制御方法および対応するネットワークにおいて、特にＰＤＰとＰＥＰが独立であるような分散環境における、オブリゲーションの効果的な処理を可能にするような改良およびさらなる展開を行うことである。

本発明によれば、上記の目的は、請求項１の構成を備えた方法および請求項２７の構成を備えたネットワークによって達成される。請求項１に記載の通り、本方法は、オブリゲーションを指定するためにメタ言語が使用されることを特徴とする。

請求項２７に記載の通り、本ネットワークは、オブリゲーションを指定するためにメタ言語が定義されることを特徴とする。

本発明によって認識されたこととして、オブリゲーションの効果的な処理が、該オブリゲーションを指定するためにメタ言語を使用することによって可能となる。このようなメタ言語によるオブリゲーションの指定により、それぞれのオブリゲーションの適切な定義および記述が可能となる。このようなメタ言語に基づいて、ＳＯＡ（サービス指向アーキテクチャ）やＳａａＳ（Software as a Service）の場合のようにＰＤＰとＰＥＰが独立であるような分散環境においても、ＰＥＰおよびＰＤＰによるオブリゲーションの認識が可能となる。このような環境において、ポリシーの分散評価により、メタ言語に基づいて相互関係を指定することができる併合されたオブリゲーションのセットが得られる。

好ましくは、メタ言語は汎用言語とすることができる。このような汎用言語により、分散環境においてもオブリゲーションの汎用記述が可能となる。

好ましい実施形態において、任意のオブリゲーションを指定することができるだけでなく、オブリゲーションのパラメータも指定することができる。パラメータの特定のデータ型を指定するとさらに好ましい。こうして、メタ言語に基づいて、オブリゲーションの非常に詳細な指定および記述が可能となる。

オブリゲーションの非常に効果的な処理に関して、オブリゲーション間の可能な衝突の検出および／または指定を、メタ言語に基づくオブリゲーションの指定および／または定義に基づいて提供することができる。このようなオブリゲーション間の可能な衝突の検出および／または指定は、一般的な形で提供しても、少なくとも１つの一致値を各オブリゲーションまたは２つのオブリゲーションの少なくとも１つのパラメータに代入することに応じて提供してもよい。すなわち、このような検出および／または指定は、２つのオブリゲーションの少なくとも１つのパラメータの一致代入に応じて提供されてもよい。

さらに好ましい実施形態において、ＰＥＰおよびＰＤＰによるオブリゲーションのそれぞれのサポートに関するネゴシエーションを、メタ言語に基づく指定および／または定義に基づいて提供することができる。すなわち、本発明は、メタ言語を規定することにより、オブリゲーションおよびオブリゲーション間の可能な衝突を指定するとともに、ＰＤＰとＰＥＰとの間でこの指定を交換し、指定されたオブリゲーションのサポートのネゴシエーションを行う方法も指定することができる。サポートされるオブリゲーションおよびその可能な衝突をメタ言語で記述することは、本発明の好ましい実施形態の１つの主要な側面である。

本発明は、この言語に基づく指定を用いてＰＤＰおよびＰＥＰの能力を指定する方法を記述する。このため、ＰＥＰとＰＤＰとの間の非互換性を事前に検出することができる。ネゴシエーション段階により、ＰＤＰおよびＰＥＰは、要求されるオブリゲーションとサポートされるオブリゲーションの互換性をそれぞれ要求することができる。何らかの不一致がある場合、解決方法を適用することができる。

上記のように、このネゴシエーションプロセスは、ＰＤＰとＰＥＰとの間で使用されるオブリゲーションのセットを変更するために、実行時に繰り返すことができる。特別な場合、ネゴシエーションプロセスを省略し、オブリゲーション指定の直接／手動の交換を行うことができる。この指定がＰＥＰによって完全にはサポートされない場合、配備は失敗している。そうでない場合、ＰＤＰおよびＰＥＰの両方が、サポートされるオブリゲーション指定を参照することができる。

ＰＥＰおよびＰＤＰによるオブリゲーションのそれぞれのサポートが不一致の場合、少なくとも１つの解決方法が適用可能である。したがって、オブリゲーションの定義または指定および指定間の可能な衝突の通知だけでなく、それらの解決も可能である。

オブリゲーションの効果的な処理を提供するため、オブリゲーションの指定について、ＰＥＰおよびＰＤＰの配備中にネゴシエーションが行われる。変化する状況への適応を可能にするため、実行時にネゴシエーションを繰り返すことができる。実行時に、指定間の衝突の検出も可能である。

ＰＤＰとＰＥＰとの間のネゴシエーションは、要求メッセージ、応答メッセージ、および解決メッセージという３種類のメッセージを含むことが可能である。該３種類のメッセージに基づいて、効果的なネゴシエーションが可能となる。

個々の状況に応じて、ネゴシエーションは、ＰＤＰまたはＰＥＰのいずれによって開始されてもよい。いずれの場合も可能であり、事業者によって実施されることが可能である。

好ましい実施形態において、メタ言語またはオブリゲーションの指定は、ＸＡＣＭＬ標準の拡張または統合として実現可能である。したがって、本発明を実現するために必要な従来の標準に対する修正および／または追加は少しだけでよい。

非常にシンプルな指定方法を提供するため、オブリゲーションは、一意的識別子を含むことが可能である。好ましくは、一意的識別子は、ＵＲＩ、および、ＵＲＩによって指定可能なデータ型を有するパラメータのセットである。このため、オブリゲーションの非常にシンプルな処理が可能となる。

具体的実施形態において、オブリゲーションスキーマとポリシースキーマを分離したままとすることができる。このような分離は、メタ言語または指定がＸＡＣＭＬ標準の拡張として実現される場合に提供される。

個々の状況および条件に応じて、オブリゲーションスキーマとポリシースキーマの結合も同様に可能である。

別法として、ポリシースキーマは、既存のまたは以前の定義またはスキーマとは独立とすることができる。これは、そのような既存のまたは以前の定義またはスキーマへの依存性が不要な場合である。

好ましくはすべてのオブリゲーションが、共通の、または、取り決められた、または、ネゴシエーションされたオブリゲーション指定に基づくことが可能である。これにより、オブリゲーションの処理が単純化される。

このような共通のオブリゲーション指定は、明確に規定されたコンポーネントの構造を提供するために、ポリシースキーマとは独立とすることができる。

好ましい実施形態において、ＰＥＰおよび／またはＰＤＰは、ＰＤＰからのレスポンスが共通のオブリケーション指定で使用されるオブリゲーションのみを含むことをチェックすることができる。これにより、ネゴシエーションされたオブリゲーションのみを使用することができる。

オブリゲーションの効果的な処理のため、指定されたオブリゲーションの関係モデルが、好ましくはＰＥＰおよび／またはＰＤＰによって生成されることが可能である。オブリゲーション間の関係が存在する場合、可能な衝突が解決されるか、またはさらなる処理が行われることが可能である。

本発明の方法または本発明のネットワークの具体的実施形態において、ＰＥＰとＰＤＰは互いに独立であることが可能である。この場合、ＰＥＰおよびＰＤＰは、分散環境において提供することができる。このような分散環境において、本発明は、オブリゲーションの処理に関して特に効果的である。

ネットワーク運用中の変化する状況への良好な適応を提供するため、オブリゲーションの指定および／または定義および／またはネゴシエーションは動的とすることができる。

本発明は、任意のオブリゲーションを、それらオブリゲーションのパラメータおよびそれらオブリゲーション間の可能な衝突を含めて、一般的な形で、または、動的に代入される値に応じて、指定する方法を提供する。本方法は、配備中および実行時に非互換性を検出するとともに、実行時の追加的な衝突を検出するために使用可能である。また、オブリゲーション関係に基づく衝突の検出および解決、ならびに、ＰＥＰのサポートされるオブリゲーションおよびＰＤＰの要求されるオブリゲーションについての正規運用前のネゴシエーションが可能である。

本発明は、任意のオブリゲーションをサポートした分散した独立のＰＥＰおよびＰＤＰの実装を提供する。また、配備中にＰＥＰとＰＤＰとの間のオブリゲーション非互換性を検出すること、および、実行時に結合オブリゲーション間の衝突を検出することが可能である。

オブリゲーションの元の指定に基づくアクセス要求の評価中に、どのようにして可能な衝突を検出することができるかが開示される。

オブリゲーションおよびそれらオブリゲーション間の可能な衝突を指定するためのメタ言語は、一般的な形で、または、動的に代入される値に応じて、提供される。ＰＥＰのサポートされるオブリゲーションおよびＰＤＰの要求されるオブリゲーションの指定が可能である。また、要求されるオブリゲーションとサポートされるオブリゲーションについてＰＤＰとＰＥＰとの間に不一致がある場合のネゴシエーション、および、ポリシー要求の評価中の結合オブリゲーションにおける衝突の検出も可能である。

本発明を好適な態様で実施するにはいくつもの可能性がある。このためには、一方で請求項１に従属する諸請求項を参照しつつ、他方で図面により例示された本発明の好ましい実施形態についての以下の説明を参照されたい。図面を用いて本発明の好ましい実施形態を説明する際には、本発明の教示による好ましい実施形態一般およびその変形例について説明する。

本発明による従来の標準を拡張した構造を示す図である。 本発明の方法の使用法の概略を示す図である。

図１に、従来のＸＡＣＭＬ標準を拡張した構造を示す。ＰＤＰによって要求されるオブリゲーションおよびＰＥＰによってサポートされるオブリゲーションを指定するために、汎用のメタ言語が本発明によって提示される。

この場合、関連するポリシーを含めて、ＰＥＰおよびＰＤＰで使用される具体的なオブリゲーションは、この言語仕様に基づくファイル内に指定することができる。図１では、関連する指定は、従来のＸＡＣＭＬ標準の拡張として実現されると仮定しているため、オブリゲーションスキーマとポリシースキーマは分離したままである。結合指定も可能であり、以前の定義の拡張でない独立のポリシースキーマも可能である。具体的なオブリゲーション指定は独立の部分であるため、どのポリシー指定も、使用しているオブリゲーション指定を参照しなければならない。

本実施形態の重要な側面は以下の通りである。
・オブリゲーションスキーマの定義は以下のものを含む。
＊各オブリゲーションに対する一意的識別子。
＊名称およびデータ型を含むパラメータ。
＊他のオブリゲーションとの関係。これは、
・オブリゲーションの現在の値とは独立。
・オブリゲーションの一部の値に依存。
・オブリゲーションのすべての値に依存。
・オブリゲーション間の関係は、「衝突」（conflict）、「包含」（inclusion）、「矛盾」（contradiction）、「上位」（superordinated）、「下位」（subordinated）等を含む。
・指定されるポリシーによって使用されるオブリゲーション指定への参照をサポートするための、ポリシースキーマの拡張。
・オブリゲーション指定への参照を含むための、ＰＤＰとＰＥＰとの間で交換されるメッセージの拡張。
・ＰＤＰ実装は、相異なるオブリゲーションのセットを処理するために変更する必要はない。

これらの側面の実施形態として、ＯＡＳＩＳ ＸＡＣＭＬ（例えば２．０）言語の拡張が、図１に示すように規定される。

ポリシースキーマは、図１において、現在のポリシースキーマの拡張として示されている。ポリシー指定は、ポリシースキーマに基づき、処理可能なそれぞれのオブリゲーションの識別子を定義する。

オブリゲーションスキーマは、オブリゲーションを定義する構造体を含む。オブリゲーション指定は、オブリゲーションの型（例えば、与えられたアドレスへ通知を送信するオブリゲーション）を含む。

ポリシー指定は、ポリシースキーマに基づき、オブリゲーション指定を参照する。オブリゲーション指定は、オブリゲーションスキーマに基づく。図１参照。

図２は、オブリゲーションの指定の使用例の概略を示す。

ＰＥＰおよびＰＤＰの配備中に、オブリゲーション指定のネゴシエーションが行われる。一方によって指定されたオブリゲーションと、他方によって要求またはサポートされるオブリゲーションとの間の不一致が検出された場合、解決ストラテジを以下のように適用することができる。

ネゴシエーションプロセスは、ＰＤＰまたはＰＥＰのいずれによって開始されてもよい。開始側はまず、要求オブリゲーションを含むリストを送信する。受信側は、このリストを分析し、このオブリゲーションをサポートしているか、それともこのオブリゲーションをサポートしていないかを通知する。後者の場合、受信側は、オブリゲーションのパラメータリストが一致しないこと、または、一見したところパラメータの型が相違していることを示すことによって、可能なソリューションを通知することができる。利用可能なソリューションがない場合、ネゴシエーションは失敗として終了させることができる。

開始側は、パラメータに対して固定値（空値を含む）を受け入れることによって、または、異なる型への値のキャストを受け入れることによって、提案されたソリューションに応答することができる。さらに、開始側は、オブリゲーションを取り下げるか、または、相手側に対して、オブリゲーションが現れたらそれを無視するよう求めることもできる。最後に、この時点で、ネゴシエーションプロセスを失敗として終了させることもできる。

このネゴシエーションプロセスは、ＰＤＰとＰＥＰとの間で使用されるオブリゲーションのセットを変更するために、実行時に繰り返すことができる。特別な場合、ネゴシエーションプロセスを省略し、オブリゲーション指定の直接／手動の交換を行うことができる。この指定がＰＥＰによって完全にはサポートされない場合、配備は失敗している。そうでない場合、ＰＤＰおよびＰＥＰの両方が、サポートされるオブリゲーション指定を参照することができる。

ＰＤＰは、ポリシー指定のロード中に、オブリゲーション指定で定義されたポリシー指定だけを含むことを確かめる。独立に、ＰＥＰは、各アクセス応答について、それが指定されたオブリゲーションのみを含むかどうかをチェックすることができる。非互換のオブリゲーション指定の使用は、サポートされたオブリゲーション指定に基づいてチェックすることができる。独立に、ＰＥＰおよびＰＤＰは、オブリゲーション指定に含まれるすべてのオブリゲーションの関係モデルを生成することができる。この関係モデルの効率的実装のためにはさまざまな技術が使用可能であり、以下のものには限定されないが、グラフ、連結リスト、あるいはハッシュマップが挙げられる。衝突に基づいて、一方向関係（例えば包含）が作成され、関連するパラメータおよび結果として得られる衝突が与えられる。与えられた応答に対して、含まれるオブリゲーションの関係を、一般的な場合に、または具体的なパラメータ値に基づいて、チェックすることができる。関係が存在する場合、結果として得られる衝突が解決されるか、またはさらなる処理が行われることが可能である。

オブリゲーション指定に基づいて、ＰＥＰおよびＰＤＰの両方が独立に、以下のことをチェックすることができる。
・応答が、オブリゲーション指定で使用されたオブリゲーションのみを含むこと。
・応答には、非互換のオブリゲーションがないこと。これは以下のことに基づく。
＊他のオブリゲーションの一般的使用
＊一部のパラメータにおける同一データの使用
＊すべてのパラメータにおける同一データの使用
・非互換のオブリゲーションの場合、さらなるエラー処理が開始可能であること。
・「包含」（「包含」の場合、特定のオブリゲーションが満たされたとみなすことができる）および「上位」／「下位」のようなオブリゲーション関係に対する衝突解決。オブリゲーション間の「上位」／「下位」関係により、実行の順序が含意され、ＰＥＰによって解決されることが可能である。

本発明は、特に分散環境における、オブリゲーションの一般的記述を提供する。要求されたオブリゲーションとサポートされるオブリゲーションとをＰＤＰとＰＥＰとの間で交換することにより、実行時に未知のオブリゲーションを回避することができる。オブリゲーション間の、相異なるカテゴリの関係を識別することが可能である。進行中のアクセス要求において、衝突するオブリゲーションを検出することができる。

上記の説明および添付図面の記載に基づいて、当業者は本発明の多くの変形例および他の実施形態に想到し得るであろう。したがって、本発明は、開示した具体的実施形態に限定されるものではなく、変形例および他の実施形態も、添付の特許請求の範囲内に含まれるものと解すべきである。本明細書では特定の用語を用いているが、それらは総称的・説明的意味でのみ用いられており、限定を目的としたものではない。

Claims (27)

1. ネットワークにおけるアクセス制御方法、特に、ネットワークのリソースへの主体のアクセスを制御する方法において、ＰＥＰ（ポリシー施行ポイント）が、評価対象のアクセス要求をＰＤＰ（ポリシー決定ポイント）へ送信し、ＰＤＰは、少なくとも１つのオブリゲーションを含み得る応答をＰＥＰへ送信することが可能であり、
   オブリゲーションを指定するためにメタ言語が使用されることを特徴とする、ネットワークにおけるアクセス制御方法。
2. メタ言語が汎用言語であることを特徴とする請求項１に記載の方法。
3. オブリゲーションのパラメータが指定されることを特徴とする請求項１または２に記載の方法。
4. パラメータの特定のデータ型が指定されることを特徴とする請求項３に記載の方法。
5. オブリゲーション間の可能な衝突の検出および／または指定が、メタ言語に基づくオブリゲーションの指定および／または定義に基づいて提供されることを特徴とする請求項１ないし４のいずれか１項に記載の方法。
6. オブリゲーション間の可能な衝突の検出および／または指定が、一般的な形で、または、少なくとも１つの一致値を各オブリゲーションの少なくとも１つのパラメータに代入することに応じて提供されることを特徴とする請求項５に記載の方法。
7. ＰＥＰおよびＰＤＰによるオブリゲーションのそれぞれのサポートに関するネゴシエーションが、メタ言語に基づく指定および／または定義に基づいて提供されることを特徴とする請求項１ないし６のいずれか１項に記載の方法。
8. オブリゲーションのそれぞれのサポートが不一致の場合、少なくとも１つの解決方法が適用されることを特徴とする請求項７に記載の方法。
9. オブリゲーションの指定のネゴシエーションが、ＰＥＰおよびＰＤＰの配備中に行われることを特徴とする請求項７または８に記載の方法。
10. ネゴシエーションが、実行時に繰り返されることを特徴とする請求項７ないし９のいずれか１項に記載の方法。
11. ネゴシエーションが省略され、オブリゲーション指定の直接／手動の交換が行われることを特徴とする請求項７ないし１０のいずれか１項に記載の方法。
12. ネゴシエーションが、３種類のメッセージ、すなわち、要求メッセージ、応答メッセージ、および解決メッセージ、を含むことを特徴とする請求項７ないし１１のいずれか１項に記載の方法。
13. ネゴシエーションが、ＰＤＰまたはＰＥＰによって開始されることを特徴とする請求項７ないし１２のいずれか１項に記載の方法。
14. メタ言語またはオブリゲーションの指定が、ＸＡＣＭＬ標準の拡張または統合として実現されることを特徴とする請求項１ないし１３のいずれか１項に記載の方法。
15. オブリゲーションが、一意的識別子を含むことを特徴とする請求項１ないし１４のいずれか１項に記載の方法。
16. 一意的識別子が、ＵＲＩ、および、ＵＲＩによって指定可能なデータ型を有するパラメータのセットであることを特徴とする請求項１５に記載の方法。
17. オブリゲーションスキーマとポリシースキーマが分離したままとされることを特徴とする請求項１ないし１６のいずれか１項に記載の方法。
18. オブリゲーションスキーマとポリシースキーマが結合されることを特徴とする請求項１ないし１６のいずれか１項に記載の方法。
19. ポリシースキーマが、既存のまたは以前の定義またはスキーマとは独立であることを特徴とする請求項１ないし１８のいずれか１項に記載の方法。
20. 好ましくはすべてのオブリゲーションが、共通の、または、取り決められた、または、ネゴシエーションされたオブリゲーション指定に基づくことを特徴とする請求項１ないし１９のいずれか１項に記載の方法。
21. オブリゲーション指定が、ポリシースキーマとは独立であることを特徴とする請求項２０に記載の方法。
22. ＰＥＰおよび／またはＰＤＰは、ＰＤＰからのレスポンスがオブリケーション指定で使用されるオブリゲーションのみを含むことをチェックすることを特徴とする請求項２０または２１に記載の方法。
23. 指定されたオブリゲーションの関係モデルが、好ましくはＰＥＰおよび／またはＰＤＰによって生成されることを特徴とする請求項１ないし２２のいずれか１項に記載の方法。
24. ＰＥＰとＰＤＰが互いに独立であることを特徴とする請求項１ないし２３のいずれか１項に記載の方法。
25. ＰＥＰおよびＰＤＰが、分散環境において提供されることを特徴とする請求項１ないし２４のいずれか１項に記載の方法。
26. オブリゲーションの指定および／または定義および／またはネゴシエーションが動的であることを特徴とする請求項１ないし２５のいずれか１項に記載の方法。
27. ネットワーク、好ましくは請求項１ないし２６のいずれか１項に記載の方法を実行するネットワークにおいて、アクセス制御、特に、ネットワークのリソースへの主体のアクセスの制御が提供され、ＰＥＰ（ポリシー施行ポイント）が、評価対象のアクセス要求をＰＤＰ（ポリシー決定ポイント）へ送信し、ＰＤＰは、少なくとも１つのオブリゲーションを含み得る応答をＰＥＰへ送信することが可能であり、
    オブリゲーションを指定するためにメタ言語が定義されることを特徴とするネットワーク。

Images