KR101432317B1 - 자원 인가 정책으로의 역할 기반 접근 제어 정책의 변환 - Google Patents

자원 인가 정책으로의 역할 기반 접근 제어 정책의 변환 Download PDF

Info

Publication number
KR101432317B1
KR101432317B1 KR1020087028279A KR20087028279A KR101432317B1 KR 101432317 B1 KR101432317 B1 KR 101432317B1 KR 1020087028279 A KR1020087028279 A KR 1020087028279A KR 20087028279 A KR20087028279 A KR 20087028279A KR 101432317 B1 KR101432317 B1 KR 101432317B1
Authority
KR
South Korea
Prior art keywords
role
rbac
access control
policy
resource
Prior art date
Application number
KR1020087028279A
Other languages
English (en)
Other versions
KR20090024124A (ko
Inventor
데이브 맥퍼슨
무쑤크리쉬난 파라마시밤
폴 제이. 리치
Original Assignee
마이크로소프트 코포레이션
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 마이크로소프트 코포레이션 filed Critical 마이크로소프트 코포레이션
Publication of KR20090024124A publication Critical patent/KR20090024124A/ko
Application granted granted Critical
Publication of KR101432317B1 publication Critical patent/KR101432317B1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G06F15/16—Combinations of two or more digital computers each having at least an arithmetic unit, a program unit and a register, e.g. for a simultaneous processing of several programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00—Digital computing or data processing equipment or methods, specially adapted for specific functions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs

Abstract

RBAC "역할"을 관리하는 역할 기반 저작 모델의 ACL 기반 애플리케이션과 같은 자원 인가 정책 (RAP)으로의 변환이 제공된다. 다른 인가 실시 메커니즘으로의 매핑 RBAC "역할"의 파일 시스템 자원 관리자와 같은 자원 관리자에 의해 관리되는 자원에 적용되는 자원 인가 정책으로의 변환을 가능하게 하는 포괄적인 RBAC 시스템이 정의된다. 윈도우즈 인가 관리자를 저장 메커니즘 및 개체 모델로서 사용하여 RBAC 시스템으로부터 변환된 개체 종류 및 관계를 관리하는 구현예가 설명된다.
역할 기반 접근 제어 정책, 저작 방법, 컴퓨터 판독 매체, 저작 도구

Description

자원 인가 정책으로의 역할 기반 접근 제어 정책의 변환{TRANSLATING ROLE-BASED ACCESS CONTROL POLICY TO RESOURCE AUTHORIZATION POLICY}
본 발명은 역할 기반 접근 제어 (RBAC) 정책을 자원 인가 정책으로 변환하는 것에 관한 것이다.
대규모의 네트워크를 관리할 때 난제 중의 하나는 보안 관리의 상당한 복잡성에서 기인하고, 이것은 컴퓨터 및 네트워크 시스템에서 인가(authorization)를 중요한 문제로 만든다. 이 점에 있어서, 인가 메커니즘은 운영 체제, 애플리케이션, 또는 자원 접근 제어가 관여하는 어느 곳에서든지 존재한다. 인가는 종래에는 2개의 별개의 프로세스, 즉 인증 및 접근 제어로 구성된다. 인증은 "사용자가 누구인가?"라는 문제를 다루고, 접근 제어는 "사용자가 임의의 자원에 대해/자원으로 무엇을 할 수 있는가?"라는 문제를 다룬다.
자원 단계에서, 역사적으로, 네트워크는 자원 인가 정책 (RAP: resource authorization policy)을 이용하여 사용자가 특정 자원에 접속할 권한이 있는지 여부에 대해 결정하였다. 전형적인 RAP의 경우, 종래의 분산 컴퓨팅 네트워크는 접근 제어를 위한 주요 메커니즘으로서 도메인 기반 접근 제어 목록 (ACL: access control lists)을 이용하였다. ACL은 데이터 구조에서 판독, 기입 또는 실행 허가의 면에서 자원에 대한 사용자의 접근 권한을 특정하지만, 자원 및 사용자의 수가 오늘날의 공유 컴퓨팅 공간에서 지속적으로 급증함에 따라 관리능력 및 복잡성 문제를 필연적으로 야기시킨다.
엄정한 개체별로 사용자 접근을 허용하거나 거절하는 종래의 접근 제어의 RAP 방법과 대조적으로, RAP에 대한 대안은 역할 기반 보안이라고도 하는 역할 기반 접근 제어 (RBAC: role-based access control) 정책이다. RBAC는 대규모의 네트워크 애플리케이션에서 보안 관리의 복잡성과 비용을 감소시키므로 접근 제어에 대해 좋은 모델이 되었다. RBAC는 기업 내 개별 사용자의 역할에 기초하여 컴퓨터 또는 네트워크 자원에 대한 접근을 규제하는 방법이다. 이 컨텍스트에서, 접근은 개별 사용자가 파일을 보고, 생성하고 또는 수정하는 것과 같은 특정 태스크를 수행할 수 있는 능력이다. 역할은 기업 내 기존의 역할/표지, 예컨대 업무 능력, 권한 또는 책임에 따라 정의된다.
적절히 구현될 때, RBAC는 사용자가 유연한 기능, 관계 및 제약에 따라 자신의 행동을 동적으로 규제함으로써 광범위한 인가된 태스크를 수행할 수 있게 한다. RBAC에서, 역할은 모든 사용자에 대한 특권을 개별적으로 업데이트할 필요없이 기업의 필요성이 전개됨에 따라 용이하게 생성, 변경 또는 중단될 수 있다.
따라서, RBAC는 대부분의 컴퓨터 시스템에서 분산 접근 제어 목록 (ACL) 모델에서 어려운 활동을 가능하게 한다. 이러한 활동은 애플리케이션에 대한 인가 질의를 포함한다. 그러나, 현재 RBAC "역할"을 관리하기 위한 역할 기반 저 작(authoring) 모델을 ACL 기반 애플리케이션과 같은 자원 인가 정책 (RAP), 또는 다른 인가 실시 메커니즘으로 변환할 방법이 없다. 본 발명의 다양한 실시예에 대해 아래 더 상술된 바와 같이, 당해 기술분야의 상기 및 기타 결점을 개선하는 것이 바람직할 것이다.
본 발명은 RBAC "역할"을 관리하는 역할 기반 저작 모델을 ACL 기반 애플리케이션과 같은 자원 인가 정책 (RAP: resource authorization policy) 또는 다른 인가 실시 메커니즘으로 변환하는 시스템 및 방법을 제공한다. 따라서 본 발명은 다른 인가 실시 메커니즘으로의 매핑이 자원 관리자 (예컨대, 파일 시스템 자원 관리자)에 의해 관리되는 자원에 적용되는 자원 인가 정책으로의 RBAC "역할"의 변환을 가능하게 하는 포괄적인 RBAC 시스템을 정의한다. 바람직한 비제한적인 실시예에서, 저장 메커니즘 및 개체 모델로서 윈도우 인가 관리자 (Windows Authorization Manager)를 이용하여 RBAC 시스템으로부터 변환된 개체 유형 및 관계를 관리하는 일 구현예가 논의된다.
본 발명의 다른 특징은 이하에서 설명된다.
네트워크 컴퓨팅 환경에서 RBAC 정책을 RAP로 변환하는 방법이 첨부 도면을 참조하여 더 설명된다.
도 1은 본 발명에 따라 정의된 RBAC 시스템의 블록도이다.
도 2는 본 발명에 따라 정의된 RBAC 시스템에 대한 역할의 생성예의 블록도 이다.
도 3은 본 발명에 따라 RBAC 정책의 생성, RBAC 정책의 업데이트, 및 RAP 구조로의 변환을 도시하는 바람직한 흐름도이다.
도 4는 본 발명의 RBAC 정책 정의에 따라 애플리케이션 자원에 기초한 기업 역할 및 범위의 상호관계를 도시하는 블록도이다.
도 5는 본 발명에 따라 RBAC 정책의 생성 및 본 발명에 따라 접근 제어 목록 (ACL)으로의 대응하는 자동 변환의 바람직한 비제한적인 흐름도이다.
도 6은 ACL을 이용하는 인가 시스템에서 접근 제어 엔트리 (ACE)의 자원당 애플리케이션을 도시하는 바람직한 블록도이다.
도 7A는 본 발명이 구현될 수 있는 바람직한 네트워크 환경을 나타내는 블록도이다.
도 7B는 본 발명이 구현될 수 있는 바람직한 비제한적인 컴퓨팅 시스템 환경을 나타내는 블록도이다.
개요
RBAC는 조직에 대한 중앙화된 인가에 대한 새로운 해결책이다. RBAC는 대부분의 컴퓨터 시스템 상의 분산형 ACL 모델에서 어려운 활동을 가능하게 한다. 이러한 활동은 애플리케이션에 대한 인가 질의를 포함한다. RBAC 정책 시스템의 이점에 대한 복잡한 ACL 구현을 수용하는 어려움을 고려하여, 본 발명은 ACL 기반 애플리케이션으로 변환될 수 있는 RBAC "역할"을 관리하는 역할 기반 저작 모델 및 다른 인가 실시 메커니즘을 제공한다. 이를 달성하기 위해, 본 발명은 예컨대 기존의 RBAC 개념 모델에 기초하여 새로운 포괄적인 RBAC 시스템을 정의한다.
따라서, 본 발명의 일양태에서, 본 발명은 ACL로 역할 기반 데이터 구조들 사이에서 변환이 수행될 수 있도록 ACL과 같은 자원 인가 정책 구조와 호환성이 있는 RBAC 모델을 제공한다. 이것은 RBAC 정책을 ACL 기반 허가로 매핑하는 능력을 포함한다.
본 발명의 다양한 다른 비제한적인 양태에서, 회원 그룹을 이용하여 RBAC 정책을 구현하는 방법이 제공된다. 또한, 본 발명의 역할 기반 저작 도구 (authoring tool)의 다양한 비제한적인 실시예들은 컴퓨터 자원의 분산형 역할 기반 인가에 대한 시스템 레벨 정의를 생성하는 능력을 포함한다.
본 발명의 바람직한 비제한적인 윈도우 구현예에서, 본 발명의 ACL 변환 능력에 대한 RBAC 정책은 윈도우 인가 관리자 (WAM: Windows Authorization Manager)로 "역할-ACL (Roles-to-ACLs)" 변환을 제공한다. 이러한 구현예에서, WAM은 자원 인가 정책에 따라 ACL 데이터 구조로 변환될 수 있는 RBAC 시스템이 사용하는 개체 유형 및 관계를 관리하기 위해 저장 메커니즘 및 개체 모델로서 활용된다. 또한, 본 발명이 다양한 컴퓨터 시스템에 적용될 수 있지만, 바람직한 비제한적인 실시예에서, 윈도우 NTFS 파일 시스템이 바람직한 자원 관리자로서 이용된다.
RBAC 정책을 RAP (resource authorization policy)로 변환하는 시스템 및 방법이 아래의 다양한 비제한적인 실시예에서 설명된다. 그러나, 당업자라면 여기 설명된 다양한 실시예를 검토하면 본 발명에 따른 RBAC 정책 모델에서 RAP 모델로 의 변환이 기존의 또는 향후 설계되는 다양한 RBAC 정책 모델에 대해 또는 본 발명에 따라 정의된 RBAC 정책 모델을 이용하여 실시될 수 있다는 것을 이해할 수 있을 것이다. 마찬가지로, RBAC 정책은 기존의 또는 향후 설계되는 다양한 RAP 모델, 즉 자원당, 애플리케이션당, 또는 서비스당 데이터 구조 및 분석에 특권이나 권한을 부여하는 임의의 모델로 변환될 수 있고, 따라서 본 발명은 여기 설명된 ACL 기반 모델 및 실시예에 따른 RAP에 한정되지 않음을 이해할 수 있다.
명칭
마지막으로, 명칭에 대해, 확실하게 하기 위해 용어들이 어떻게 이용되는지에 대한 컨텍스트를 고려하는 것 이외에, 다음 RBAC 용어들이 다음을 의미하는 것으로 이해되어야 한다:
범위(Scope) - 자원들의 집합
접근 제어 목록(ACL: Access Control List) - 컴퓨터 자원에 대한 접근 제어 정책
역할-정의(Role-definition) (또는 애플리케이션 역할) - 주어진 범위에서 주요부(principals)에 할당될 수 있는 허가 집합
역할-할당 - 주어진 범위에서 하나 이상의 주요부의 역할-정의의 할당
조직의 역할 (또는 역할-그룹)- 주어진 자원 집합 (범위)에 대한 동일한 허가를 갖고 있는 사람들의 집합
조직의 그룹- 주어진 컴퓨터 자원의 인가 실시 모델에 고유한 보안 그룹 유형
자원 그룹- 그룹의 회원들에게 특정 자원에 대한 특정 접근을 부여하기 위해 사용되는 주어진 컴퓨터 자원의 인가 실시 모델에 고유한 보안 그룹 유형.
RBAC 정책의 정의 및 RBAC 정책의 자원 인가 정책으로의 변환
배경기술에서 언급된 바와 같이, 일반적으로, RBAC 모델링은 분산형 접근 제어 목록 (ALC) 모델에 대해 시간, 컴퓨팅 및 복잡도 절감을 제공하고, 이들이 기존의 조직의 개념으로 매핑되기 때문에 개념적으로 저작하기가 훨씬 더 쉽다. 그러나, RBAC "역할"을 관리하는 역할 기반 저작 모델을 ACL 기반 애플리케이션과 같은 자원 인가 정책 (RAP: resource authorization policy)으로 변환할 방법이 없다.
이러한 문제점 및 다른 문제점을 고려하여, 하이 레벨에서, 본 발명의 RBAC 시스템은 조직의 역할에 기초하여 인가 허가 컴퓨터 자원의 중앙화된 관리를 제공하고 사용자 역할 회원 및 능력에 대한 질의를 허용하고, ACL과 같은 자원 인가 구조로 역할 기반 구조의 변환을 허용한다.
따라서, 도 1에 도시된 바와 같이, 본 발명은 중앙화된 RBAC 저장 모델 RBAC_DB를 포함하는 RBAC 시스템을 제공한다. 이 중앙화된 스토어 RBAC_DB의 주요 속성은 본 발명의 모든 정책 정의가 거기에 저장될 수 있다는 점이다. 이 정책은 반드시 중앙화된 통할 관리자에 의해 정의될 필요는 없다 (관리 모델의 위임이 존재할 수 있다). 또한, 정책은 반드시 중앙 스토어(store)에서 저작될 필요는 없다. 분산 구현예는 이 정책이 결국 이 중앙 스토어와 동기화될 것이지만 다른 정책 스토어로 저작을 분배할 수 있다. 도 1의 RBAC 시스템에서, 애플리케이션 자원 인가 정책의 애플리케이션 허가가 정의되고 애플리케이션 역할로 매핑되며, 또는 그 역이 성립한다. 도시된 바와 같이, 예컨대, 파일 서버 FSRV의 파일 공유 FS와 같은 자원의 집합은 범위 S로 정의되고 조직 (또는 "기업") 역할 ER은 역할 정의 RD 및 범위 S 및 기업 역할 ER에 주어진 허가 (역할 할당 RA)에서 자원 그룹 RG 및 보편적인 사용자 그룹 UG의 관점에서 정의된다. 역할 정의 RD, 범위 S, 및 역할 할당 RA에 기초한 기업 역할 ER의 정의로부터, RBAC 시스템은 액티브 디렉토리 그룹 (이에 한정되지 않음)과 같은 아이덴티티 관리 시스템 IMS의 UG 및 RG 그룹을 생성할 수 있고, 필요하면 ACL과 같은 자원 정책을 구성할 수 있다.
도 2는 파일 서버 FSRV의 자원 FS1 또는 파일 공유 애플리케이션이 범위 S1으로 정의되는 예에 적용되는 중앙화된 RBAC 저장 모델 RBAC_DB의 일예를 도시한다. 이 예에서, 자원 집합 FS1은 보안 식별자 (SID)를 갖는 ＼＼Server＼Share라고 하고, AccessMask:0x1F01FF는 ＼＼Server＼Share에서 자원에 대한 명칭 Sales Docs을 갖는 범위 S1으로 정의된다. 대응하는 기업 역할 ER1은 기업 역할 ER1에 주어진 역할 정의 RD1, 범위 S1 및 역할 할당 RA에서 자원 그룹 및 보편 사용자 그룹의 면에서 정의된다. 유리하게는, 역할 정의 RD1, 범위 S1, 및 역할 할당 RA1에 기초한 기업 역할 ER1의 정의로부터, RBAC 시스템은 예컨대 이에 한정되는 것은 아니지만 액티브 디렉토리 AD의 액티브 디렉토리 그룹 UG1 및 RG1과 같은 아이덴티티 관리 시스템 IMS의 그룹 UG1 및 RG1을 생성할 수 있다. 본 발명은 따라서 필요하면 본 발명의 RBAC 시스템의 조직 역할의 렌즈를 통해 ACK과 같은 자원 정책을 구성하기 위해 이용될 수 있다.
도 3은 본 발명의 파일 시스템 실시예에 따라 (즉, 파일 시스템이 요청된 자 원을 포함하는 경우) 자원 인가 정책 데이터 구조로 변환된 본 발명의 RBAC 정책 구조의 전형적인 비제한적인 흐름도이다. 300에서, 역할은 파일 시스템에 대한 파일의 허가 레벨 각각에 대해 정의된다 (커스텀 레벨은 가능하다). 310에서, 범위는 자원 식별자 (예컨대, 파일 공유, 디렉토리 또는 파일)의 면에서 정의된다. 320에서, 역할 또는 범위는 가장 현재의 데이터에 따라 업데이트될 수 있다. 이것은 320a에서 변함에 따라 회원 그룹을 업데이트하는 것을 포함할 수 있고, 320b에서 조직 인가 레벨이 진전됨에 따라 역할 정의 허가 변화를 포함할 수 있다. 그후, 330에서, 이 구조는 자원 (즉, 파일 시스템 ACL)에 대해 설정된 하부 ACL로 매핑될 수 있다. 도 3이 파일 시스템 자원의 컨텍스트로 설명되지만, 이 개념은 네트워크 컴퓨팅 환경에서 임의 종류의 자원, 애플리케이션 또는 서비스에 대한 요청의 인가로 연장될 수 있다.
애플리케이션 통합
도 4에 도시된 바와 같이, 본 발명의 RBAC 모델 및 스토어(400)에 따라, 특별한 애플리케이션에 대해, 허가 프리미티브(primitive)는 먼저 역할, 즉 기업 역할 ER의 면에서 RBAC 시스템 내에서 정의된다. 파일 공유 FS와 같은 애플리케이션 자원은 범위 S를 통해 RBAC 시스템에 추가된다. 기업 역할 ER은 기업 역할 ER과 연관된 역할 할당 및 역할 정의에 따라 범위 S 내의 허용된 접근이다.
애플리케이션 역할 정의
허가 관리 및 질의가 중앙적으로 수행되게 하기 위하여, 각 애플리케이션 종류에 대한 허가가 RBAC 시스템으로 들어간다. 이것은 애플리케이션 내의 역할에 대응하는 허가 집합으로서 정의된 애플리케이션 역할의 면에서 수행된다. 윈도우 파일 시스템을 이용한 비제한적인 예의 경우, 본 발명은 완전한 제어, 수정, 판독 및 실행, 판독 및 기입과 같은 동작 (예컨대, 고급 ACL 편집기 UI에서 이용가능)의 면에서 현재의 파일 시스템 익스플로러 UI 허가 레벨 각각에 대한 역할을 정의한다. 윈도우 파일 시스템 허가 레벨이 아닌 다른 커스텀 집합의 허가가 애플리케이션 역할 정의로서 정의될 수 있음을 이해할 수 있을 것이다.
자원 범위 정의
자원의 각 집합이 역할에 할당되기 위하여, 본 발명에 따른 범위는 자원 식별자의 면에서 정의된다. 파일 시스템 예에서, 자원은 파일 공유, 디렉토리 또는 파일이다. 자원 식별자는 자원으로의 전체 경로명일 수 있다. 범위는 다중의 서버에 미치는 자원을 포함하여 더 넓게 정의될 수 있다. 윈도우 파일 시스템 예에서, 예컨대, 이러한 범위는 파일 공유의 사용자 원이름 (UPN: user principal name)의 쉼표 구분 목록의 면에서 정의된다.
범위의 명칭은 범위 자원을 포함하는 물리적 컨테이너로의 경로에 기초할 수 있다. 도 2의 파일 시스템 예에서, 언급된 바와 같이, 이러한 범위 명칭은 ＼＼Server＼Share일 수 있고, 이것은 필요하면 ＼＼folder＼file과 같은 파일로 더 세분하여 선언될 수 있다. 이 범위 명칭은 판매 조직 내 서버에서 다중의 문서 공유에 미치는 범위에 더 유용할 수 있는 "판매 문서(Sales Docs)"와 같은 자원을 충분히 설명하는 임의의 명칭일 수 있는데, 즉, 이러한 명칭은 조직 구조 및 동작 특성에 더 잘 매핑될 수 있다.
도 2의 예는 단일 파일 공유 FS1을 포함하는 범위를 사용한다. 그 범위 명칭은 각 역할을 차지하도록 사용되는 "자원 그룹"을 앞부분에 붙이기 위해 사용된다. 둘 이상의 파일 공유 또는 디렉토리가 사용 중이면, 파일 공유, 파일 또는 범위를 정의하는 디렉토리의 목록이 범위 개체 S1에서 유지될 수 있다.
자원 (범위)의 각 집합의 경우, 자원의 관리자는 신뢰받는 인가 서비스 계정이 그 허가를 업데이트할 수 있게 하도록 실제 자원 허가를 설정함으로써 RBAC 시스템이 허가를 관리할 수 있게 한다. 본 발명의 바람직한 실시예에서, 범위가 특정 파일 공유 또는 디렉토리 내 및 아래의 모든 자원 (파일 및 디렉토리)을 갖는 파일 공유 또는 디렉토리에 적용되면, 이러한 파일 공유 또는 디렉토리는 디폴트로 특정 파일 공유 또는 디렉토리의 허가를 이어받도록 설정된다.
역할- ACL ( Role - To - ACL ) 변환
다음 동작은 범위 생성, 조직 역할 생성, 및 회원 변경 및 역할 정의 허가 변경을 포함하는 정책 업데이트와 같은 위에서 정의된 신뢰받는 인가 서비스 계정에서 도메인 제어기 또는 도메인 서버에서 실행되는 RBAC-ACL 변환 시스템에 의해 수행된다. 다양한 비제한적인 구현 특정 세부사항은 아래 설명되는 바람직한 실시예로 합쳐지지만, 본 발명은 컴퓨팅 플랫폼 또는 임의의 특정 자원 인가 정책 모델에 상관없이 적용될 수 있음이 이해될 수 있다.
범위 생성
새로운 범위가 생성될 때, 본 발명의 RBAC 시스템은 애플리케이션에서 각 역할 정의에 대한 사용자 그룹을 생성한다. 따라서, 윈도우 파일 시스템 예에서, RBAC 시스템은 애플리케이션 역할 정의인 전체 제어, 수정, 판독 및 실행, 판독 및 기입 각각에 대한 그룹을 생성한다. 이 그룹에는 컴퓨터 자원에서의 허가가 부여되고 따라서 이 그룹은 컴퓨터 자원에 고유한 인가 실시 모델에 의해 지원되는 보안 그룹이다. 예를 들면, 윈도우 시스템에서, 이들 그룹은 액티브 디렉토리 도메인 로컬 그룹일 수 있다. 이 그룹은 "범위1-전체-제어"와 같은 범위 및 허가를 설명하는 명칭을 갖는다. 이 그룹은 조직 역할에 대한 허가를 정의한다 (종래에 이 그룹은 자원 그룹이라 하였다). 자원 그룹 관계에 대한 각 역할 정의에 대해, 본 발명의 RBAC 시스템은 RBAC 시스템의 데이터 스토어 내 역할 할당 개체를 생성한다. 이것은 범위 기반 애플리케이션 역할 회원 질의를 허용하고, 이는 자원 그룹의 회원으로 돌아간다. 조직 역할에는 이 그룹에서 회원을 통해 범위에 대한 허가가 할당된다.
다음은 본 발명의 윈도우즈 구현을 위한 전형적인 비제한적인 최적화를 설명한다. 이러한 구현에서, 범위 내 자원은 한 도메인에서 전부이고 (이상적으로), 액티브 디렉토리 (AD) 도메인 로컬 그룹은 이러한 목적을 위해 충분하다. 도메인 로컬 그룹은 강제적인 것은 아니지만 바람직한데, 그 이유는 이들은 사용자가 그 도메인 내 서버로 로그온할 때 사용자의 토큰에 추가되고 다른 도메인으로 로그온할 때는 추가되지 않기 때문이다. 이것은 SID가 로그온 토큰에 추가되지 못하게 하고, 이것은 이에 의해 SID가 필요하지 않을 때 로그온을 늦출 것이다.
또한, 이러한 구현예에서, 조직 역할에 범위에서 대응하는 역할 정의가 할당될 때까지 자원 그룹을 생성하지 않는 것이 바람직하다. 그룹을 생성한 후, 본 발 명의 RBAC 시스템은 적절한 인가 관리 API (예컨대, 윈도우에서, 이것은 NTMarta 또는 MACLs일 것이다)를 호출하여 이 그룹에 이 범위내 자원에 대한 적절한 허가를 부여한다. 파일 시스템 예의 경우, 각 자원 그룹 (전체 제어, 수정 등)에 대해, 액세스 컨트롤 엔트리 (ACE)가 예컨대 범위 내 자원에 추가된다. 각 그룹에 주어진 허가, 예컨대 접근 마스크는 자원 그룹에 대응하는 각 역할 정의의 액세스마스크(AccessMask) 특성으로부터 검색된다.
다른 예에서, 본 발명의 윈도우즈 구현의 비제한적인 최적화, 보안 디스크립터의 보안 디스크립터 정의 언어 (SDDL: Security Descriptor Definition Language) 표현은 자신의 대응하는 역할 정의와 함께 저장된다.
조직 역할 생성
상기한 바와 같이, 역할부터 자원 범위 및 허가까지의 쌍방향 질의를 지원하기 위해, 각 조직 역할은 RBAC 시스템에서 정의된다. 각 조직 역할의 경우, 본 발명의 RBAC 시스템은 조직의 아이덴티티 관리 시스템 (예컨대, 액티브 디렉토리 유니버설 그룹) 내 "조직 그룹"과 RBAC 시스템 스토어에서 조직 역할 개체를 생성한다. 조직 그룹은 조직 역할의 회원을 포함하고 RBAC 시스템에서 조직 역할 개체에 링크된다.
조직 그룹은 컴퓨터 자원에 고유한 인가 실시 모델에 의해 지원되는 보안 그룹이어야 하지만, 그룹의 회원은 임의의 시스템 회원 개체에서 별도록 관리될 수 있다. 이러한 회원의 예는 도메인 보안 그룹 및 이메일 분배 목록을 포함하지만 이에 한정되는 것은 아니다. 본 발명의 RBAC 시스템은 이러한 회원 목록을 필요한 보안 그룹과 동기시킬 수 있다.
본 발명의 선택적 양태에서, RBAC 시스템은 사업 논리가 운영체제 (OS) 접근 제어 목록 (ACL) 프리미티브에서 캡처될 수 있게 함으로써 주요 개념을 넘어 확장될 수 있지만, 또한 본 발명은 분배 목록 (DL)과 같은 이메일 그룹으로 확장될 수도 있다.
새로운 역할이 본 발명의 RBAC 시스템에서 생성될 때, 새로운 역할에는 위에서 정의된대로 예컨대 이 역할을 생성한 관리자에 의해 역할 정의의 면에서 허가가 할당된다. RBAC 시스템에서, 조직 역할에는 특정된 역할 정의 및 범위에 관한 역할 할당 개체를 통한 범위에 대한 애플리케이션 역할이 할당된다.
조직 역할에 대한 각 역할 할당에 대해, 본 발명의 RBAC 시스템은 조직 그룹을 특정 범위 및 역할 정의에 매칭하는 자원 그룹에 할당하고, 이에 의해 역할 내의 사용자에게 역할 정의에서 정의된 허가를 부여한다.
정책 업데이트
본 발명의 RBAC 시스템은 이하에 설명되는 회원 또는 역할 허가 변경을 포함하지만 이에 한정되지 않는 정책 업데이트를 하는 능력을 지원한다.
회원 변경
본 발명의 RBAC 시스템은 조직 역할에 대응하는 조직 그룹, 즉 조직의 아이덴티티 관리 시스템에 저장되는 조직 역할로의 회원 변경을 지원한다. RBAC 시스템의 구현은 하부 그룹을 임의로 추출하거나 조직 그룹을 역할로서 노출하도록 선택할 수 있다.
역할 정의 허가 변경
허가가 범위내 역할에 대해 변경될 때, 관리자는 일반적으로 조직 역할에 할당된 애플리케이션 역할을 추가하거나 제거함으로써 이렇게 한다. 이 경우, 본 발명의 RBAC 시스템은 조직 그룹을 역할로부터 추가되거나 제거되는 애플리케이션 역할 정의에 대응하는 자원 그룹에 추가하거나 이로부터 제거한다.
애플리케이션 역할 정의가 추가되거나 삭제되면, 대응하는 자원 그룹은 상기한 바와 같이 생성되거나 삭제될 필요가 있다 (예를 들면, 자원 범위 정의). 애플리케이션 역할 정의가 변경되면, 컴퓨터 자원에 대한 허가는 업데이트된 자원 그룹 집합에 컴퓨터 자원에 대한 적절한 허가를 제공한다 (상기 범위 생성 절에서 논의됨).
본 발명의 바람직한 구현예는 상기 상세한 단계에 따라 도 5의 흐름도에 따라 동작한다. 500에서, 본 발명의 RBAC 시스템에 대한 애플리케이션 역할이 정의된다. 510에서, 자원 범위는 본 발명의 RBAC 시스템에 따라 정의된다. 520에서, 그룹은 각 범위 및 각 역할에 대해 정의된다. 530에서, 생성된 그룹에 대해 허가가 주어진다. 540에서, 500 내지 530에 따라 정의된 RBAC 정책은 예컨대 파일 시스템의 디렉토리, 폴더 등에 하부 자원 인가를 수행하는 목적을 위해 시스템 내에서 ACL에 매핑될 수 있다.
전형적인 비제한적인 AzMan 구현예
다음은 RBAC 시스템 스토어로서 윈도우 인가 관리자 (AzMan)를 이용한 본 발명의 전형적인 비제한적인 구현예를 설명한다. 윈도우 서버의 AzMan은 역할 기반 보안의 관리를 위한 인프라를 제공하여, 더욱 스케일러블하고 유연하고 구현하기 쉽게 한다. AzMan을 이용하여, 역할은 이 역할이 수행할 수 있는 태스크만큼 잘 정의될 수 있다. 역할은 다른 역할로부터 특성을 이어받도록 네스트(nest)될 수 있고 애플리케이션 그룹은 정의될 수 있다. 또한, AzMan은 스크립트의 사용이 허가를 동적으로 수정할 수 있게 하고, 보안 논리가 액티브 디렉토리에 저장될 수 있는 보안 정책으로 싸질 수 있게 한다. AzMan은 또한 액세스 체크를 실행하기 위한 사용이 편한 API를 포함한다.
이 점에서, AzMan은 상기 본 발명에 따라 설명된 것에 대해 유사한 RBAC 개념 모델을 제공하고 또한 저장 메커니즘 및 관리 인터페이스를 제공한다. 따라서, AzMan 프레임웍은 역할 기반 정책 구조를 ACL 기반 정책 구조로 변환하는 역할-ACL 구현예를 제공하도록 영향받을 수 있다. 이렇게 함으로써, RBAC 시스템에서 사용된 개념은 다음의 전형적인 비제한적인 매핑으로 구현된다:
조직 역할 (또는 역할 그룹) - AzMan 애플리케이션 그룹 개체
범위 - AzMan 범위 개체
역할 정의 - (또는 애플리케이션 역할) - AzMan 역할-정의 개체
역할 할당 - AzMan 역학 할당 개체
주: AzMan 애플리케이션 그룹은 실행시간에 정적으로 정의되거나 계산될 수 있다.
이하에 설명되는 AzMan 구현을 위한 설정에 대해, 액티브 디렉토리 (AD) 내 역할 회원과 자원에서의 ACL을 업데이트하기 위해 신용 인가 서비스에 의해 사용되 는 액티브 디렉토리 (AD) 계정이 생성된다. 이 AD 계정은 자원상의 ACL을 업데이트하기 위해 각 자원 서버로 로그온한다. 그후, AzMan 스토어 개체가 생성되고 신용 인가 서비스가 정책 판독 AzMan 관리 역할에 할당된다.
AzMan 구현에서 애플리케이션 개시에 대해, NTFS 자원 관리자에 대한 AzMan에서 애플리케이션이 정의된다. NTFS 동작은 AzMan 동작에 매핑된다. 접근 마스크로의 변환 과정을 단순화하기 위해, 각 허가는 대응하는 접근 마스크와 숫자가 같게 만들어질 수 있다. AzMan 역할 정의는 NTFS ACL 편집기 (전체 제어, 수정 등)에서 각 허가 레벨에 대해 정의되고 대응하는 접근 마스크는 역할 정의 개체에서 애플리케이션 데이터 특성에 저장된다.
AzMan 구현 내 범위 생성에 대해, 각 범위에서, AzMan 범위는 NTFS AzMan 애플리케이션에서 정의된다. 범위내 AzMan 범위 및 파일 공유 목록은 AzMan 범위 개체의 애플리케이션 데이터 특성에서 유지될 수 있다.
AzMan 구현에서 조직 역할 생성에 대해, 각 조직 역할에 대해, AzMan 글로벌 애플리케이션 그룹이 생성된다. AD 보편 그룹은 AzMan 글로벌 애플리케이션 그룹에 할당된다. 조직 역할이 할당되는 각 애플리케이션 역할의 경우, RBAC 시스템은 애플리케이션 정의된 역할 정의 (즉, 전체 제어, 수정 등)에 링크하는 AzMan 역할 할당 개체를 생성한다.
각 AzMan 역할 할당에 대해, RBAC 시스템은 AD 보편 그룹을 AzMan에서 조직 역할의 목록을 열거함으로써 위에 정의된 자원 그룹, 즉 AzMan 글로벌 애플리케이션 그룹에 할당하고, 또한 RoleAssignment를 열거하는 각 역할에 대해 할당한다. 각 RoleAssignment는 범위 및 역할 정의를 식별한다. RBAC 시스템은 이하에 설명되는 구현예에서 AzMan 애플리케이션 그룹에 대한 회원으로서 식별된 AD 보편 그룹을 각 역할 할당 개체에 의해 식별된 범위 및 역할 정의에 매칭되는 자원 그룹에 할당한다.
AzMan 구현예에서 회원 변경에 대해, 조직 역할에 대한 회원 변경은 조직 역할에 대응하는 AD 보편 그룹에 저장된다. RBAC 시스템은 이것을 추출하거나 AD 그룹을 노출하고 AzMan 애플리케이션 그룹은 AD 보편 그룹 중 적어도 하나를 포함한다.
AzMan 구현에서 허가 변경에 대해, 허가 변경은 상기한 바와 같이 관리되는데, 추가 태스크는 AzMan 역할 할당에 대한 AzMan 글로벌 그룹의 할당을 추가 또는 제거하고 조직 역할 허가가 추가, 삭제 또는 변경될 때 AzMan 역할 정의를 추가, 삭제 또는 업데이트한다.
보충 컨텍스트 - ACL 기반 시스템
접근 제어 목록 (ACL)은 파일 디렉토리 또는 개별 파일과 같은 특정 시스템 개체에 대해 각 사용자가 어느 접근 권한을 갖는지를 컴퓨터 시스템에 알려주는 테이블과 같은 데이터 구조이다. 각 개체는 그 접근 제어 목록을 식별하는 보안 속성을 갖는다. 이 목록은 접근 특권 또는 접근 특권의 명시적 부인을 갖는 각 시스템 사용자에 대한 엔트리를 갖는다. 가장 흔한 특권은 파일 (또는 디렉토리 내의 모든 파일)을 판독하고, 파일(들)에 기입하고, 파일을 실행 (실행파일 또는 프로그램인 경우)할 능력을 포함한다. 다양한 운영 체제가 각 운영 체제에 의해 달리 구 현되는 접근 제어 목록을 사용한다.
윈도우즈에서, 일반적으로, 접근 제어 목록 (ACL)은 각 시스템 개체와 연관된다. 각 ACL은 사용자 또는 사용자 그룹의 명칭으로 구성된 하나 이상의 접근 제어 엔트리 (ACE)를 갖는다. 사용자는 또한 "프로그래머"나 "테스터"와 같은 역할 명칭일 수 있다. 이 사용자, 그룹, 또는 역할 각각에 대해, 접근 특권은 접근 마스크라고 하는 비트 스트링에서 진술된다. 일반적으로, 시스템 관리자 또는 개체 소유자는 개체에 대해 접근 제어 목록을 생성한다.
도 6에 반영된 바와 같이, ACL(600a, 600b, 600c,..., 600N)은 하나 이상의 접근 제어 엔트리 (ACE)를 포함한다. 예를 들면, ACL(600a)은 ACE1, ACE2, ..., ACEN을 포함한다. ACL은 주요한 임의의 권한을 허용/부인하는 ACE 목록이다. ACL의 각 ACE는 자원당 매핑될 수 있어서, 각 자원은 이 자원에 적용되는 ACL로부터 ACE 목록을 갖는다. 예를 들면, 도시된 바와 같이, ACL(600a)의 ACE1, ACE2 및 ACEN은 컴퓨팅 시스템의 부구성요소 S1, S2, ..., SN의 다양한 자원으로 매핑된다. 예를 들면, 부구성요소 S1은 제1서버일 수 있고, S2는 제2서버일 수 있다. 자원 r1, r2, r3은 부구성요소 S1와 연관되고, 자원 r4, r5, r6는 부구성요소 S2와 연관되고, 자원 rx, ry, rN은 부구성요소 SN과 연관된다. 그러나, 자원은 시스템 내에서 부그룹화될 수 있고, ACL의 ACE는 ACL에서 대응하는 ACE에 기초한 자원 기반 정책으로 변환하는 점선에 의해 표시된 컴퓨팅 시스템의 개별 자원으로 매핑될 수 있다.
보충 컨텍스트 - NIST RBAC 표준
비제한적인 전형적인 RBAC 정책 모델로서, 국립 표준 기술 연구소 (NIST: National Institute for Standards Technology)는 RBAC 표준 (즉, InterNational Committee for Information Technology Standards (INCITS) Designation: INCITS 359)을 갖고, 이에 대한 개요가 다음과 같이 제공된다. NIST 표준은 일부 공통적으로 받아들여지는 RBAC 특징을 정의하는 기준 모델 및 기준 모델에 정의된 RBAC 특징에 대한 기능 사양을 포함한다. NIST 표준은 2개의 주요부 - 즉, RBAC 기준 모델 및 RBAC 시스템 및 관리 기능 사양으로 구성되고, 이에 대해서는 이하 상세히 설명된다.
RBAC 기준 모델은 기본 RBAC 요소 (즉, 사용자, 역할, 허가, 동작 및 개체)의 집합과 이 표준에 포함된 종류 및 기능으로서의 관계를 정의한다. RBAC 기준 모델은 2가지 목적을 위해 제공된다. 먼저, 기준 모델은 이 표준에 포함된 RBAC 특징의 범위를 정의한다. 이것은 모든 RBAC 시스템에 포함된 최소한의 특징 집합, 역할 서열의 양태, 정적인 제약 관계의 양태, 및 동적인 제약 관계의 양태를 식별한다. 둘째, 기준 모델은 기능 사양을 정의할 때 사용하기 위한 요소 집합 및 기능의 면에서 언어를 제공한다.
RBAC 시스템 및 관리 기능 사양은 RBAC 시스템에 대해 요청된 특징을 특정한다. 이 특징은 관리 동작, 관리 검토, 및 시스템 레벨 기능의 3개의 카테고리로 분류된다. 관리 동작은 RBAC 요소 및 관계 (예컨대, 사용자 역할 할당을 생성하고 삭제하기 위해)를 생성, 삭제 및 유지하는 능력을 제공하는 관련 시맨틱 집합 및 관리 인터페이스의 면에서 기능을 정의한다. 관리 검토 특징은 RBAC 요소 및 관계 에서 질의 동작을 수행할 능력을 제공하는 관련 시맨틱 집합 및 관리 인터페이스의 면에서 기능을 정의한다. 시스템 레벨 기능은 역할 활성/비활성을 포함할 사용자 세션의 생성, 역할 활성에 대한 제약의 실시, 및 접근 결정의 계산에 대한 특징을 정의한다.
RBAC 기준 모델은 4개의 모델 구성요소, 즉 코어(Core) RBAC, 계층(Hierachical) RBAC, 의무의 정적 분리 관계 (Static Separation of Duty Relations), 및 의무의 동적 분리 관계 (Dynamic Separation of Duty Relations)의 면에서 정의된다. 각 모델 구성요소는 다음 부구성요소, 즉 기본 요소 집합의 집합, 이 요소 집합을 포함하는 RBAC 관계 집합 (유효한 할당을 표기하는 데카르트곱의 부집합 포함) 및 매핑 함수 집합에 의해 정의되는데, 이것은 다른 요소 집합으로부터의 주어진 경우에 대해 설정된 하나의 요소로부터 회원의 경우를 생성한다.
코어 RBAC는 역할 기반 접근 제어 시스템을 완전히 달성하기 위해 RBAC 요소, 요소 집합, 및 관계의 최소 모음을 정의한다. 이것은 RBAC 시스템에서 기본적인 것으로 간주되는 사용자 역할 할당 및 허가 역할 할당 관계를 포함한다. 또한, 코어 RBAC는 컴퓨터 시스템 내에 사용자의 세션의 일부로서 역할 활성의 개념을 도입한다. 코어 RBAC는 임의의 NIST 컴플라이언트 RBAC 시스템에서 요구되지만, 다른 구성요소는 서로 독립적이고 별개로 구현될 수 있다. 전체로서의 RBAC 모델은 기본적으로 역할에 할당되는 개별 사용자 및 이 역할에 할당되는 허가의 면에서 정의된다. 이로써, 역할은 개별 사용자 및 허가 중에서 다대다 (many-to-many) 관계를 정하는 수단이다. 또한, 코어 RBAC 모델은 세션 (SESSIONS) 집합을 포함하고 여기서 각 세션은 사용자와 이 사용자에게 할당되는 역할의 활성화된 부집합 사이의 매핑이다.
코어 RBAC는 사용자 (USERS), 역할 (ROLES), 개체 (OBS), 동작 (OPS), 및 허가 (PRMS)라고 불리는 5가지 기본 데이터 요소의 집합을 포함한다. 사용자는 일반적으로 사람을 말하지만, 개념으로서 사용자의 개념 및 사용자의 자격은 기계, 네트워크 또는 임의의 방식으로 인간 대신 행동하는 지능 독립 에이전트를 포함하도록 확장될 수 있다. 역할은 역할에 할당된 사용자에 부여된 권한 및 책임에 대한 일부 연관된 시맨틱을 갖는 조직의 컨텍스트 내의 업무 기능이다. 허가는 하나 이상의 RBAC 보호 개체에서 동작을 수행하기 위한 승인이다. 동작은 요청시 사용자를 위해 일부 기능을 실행하는 프로그램의 실행 이미지이다. RBAC가 제어하는 동작 및 개체의 종류는 구현될 시스템의 종류에 따라 다르다. 예를 들면, 파일 시스템 내에서, 동작은 판독, 기입 및 실행을 포함할 수 있고, 데이터베이스 관리 시스템 내에서, 동작은 삽입, 삭제, 첨부 및 업데이트를 포함할 수 있다. 임의의 접근 제어 메커니즘의 목적은 시스템 자원을 보호하는 것이다 (즉, 보호된 개체). 접근 제어의 이전 모델과 일치하여, 개체는 정보를 포함하거나 수신하는 엔티티(entity)이다.
각 세션은 가능하게 많은 역할로의 한 사용자의 매핑이다. 즉, 사용자는 자신이 할당된 역할의 일부 부집합을 사용자가 활성화하는 세션을 확립한다. 각 세션은 단일 사용자와 연관되고 각 사용자는 하나 이상의 세션과 연관된다. 기능 세션_역할은 우리에게 세션에 의해 활성화된 역할을 주고 기능 세션_사용자는 우리에 게 세션과 연관된 사용자를 준다. 사용자에게 이용가능한 허가는 모든 사용자의 세션을 통해 현재 활성중인 역할에 할당된 허가이다.
계층 RBAC 구성요소는 역할 서열을 지원하는 관계를 추가한다. 서열은 수학적으로 역할들 간 우선순위 관계를 정의하는 부분적 순서이고, 이에 의해 상위 역할은 하위의 허가를 얻고 하위 역할은 상위의 사용자를 얻는다. 또한, 계층 RBAC는 인가된 사용자의 역할 집합 및 인가 허가의 개념을 도입함으로써 간단한 사용자 및 허가 역할 할당을 능가한다.
서열은 권한 및 책임의 조직 라인을 반영할 역할을 구성하는 자연적인 수단이다. 역할 서열은 역할들 중에서 상속 관계를 정의한다. 상속은 허가의 면에서 설명되었다. 즉 r1은 r2의 모든 특권이 r1의 특권이면 역할 r2를 상속한다. 일부 분산형 RBAC 구현예의 경우, 역할 허가는 중앙적으로 관리되지 않는 반면, 역할 서열은 중앙적으로 관리된다. 이들에 대해, 역할 서열은 사용자 제한 관계의 면에서 관리된다. 즉, 역할 r1은 r1에 대해 인가된 모든 사용자가 r2에 대해서도 인가되면 역할 r2를 "포함"한다. 그러나, 사용자 제한은 r1의 사용자가 r2의 (적어도) 모든 특권을 갖는다는 것을 내포하지만, r1 및 r2에 대한 허가 상속은 사용자 할당에 대해 아무 것도 내포하지 않는다.
이 표준은 두 종류의 역할 서열, 즉 일반 역할 서열 및 제한된 역할 서열을 인식한다. 일반 역할 서열은 역할 중에서 사용자 회원 및 허가의 다중 상속의 개념을 포함하기 위해 역할 서열로서 기능할 임의의 부분적 순서에 대한 지원을 제공한다. 제한된 역할 서열은 더 간단한 트리 구조로 되는 제한을 가한다 (즉, 역할 은 하나 이상의 직접적인 상위계층을 가질 수 있지만 하나의 직접적인 하위계층으로 제한된다).
일반 역할 계층은 둘 이상의 역할 소스로부터의 허가를 상속하고 둘 이상의 역할 소스로부터 사용자 회원을 상속할 능력을 제공하는 다중의 상속의 개념을 지원한다.
제3의 모델 구성요소인 의무의 정적 분리 (SSD: Static Separation of Duty)는 사용자 할당에 대해 역할 중에서 배타적으로 관계를 추가한다. 역할 기반 시스템에서의 이익의 충돌은 충돌하는 역할과 연관된 허가에 대한 인가를 얻는 사용자의 결과로서 발생할 수 있다. 이러한 형태의 이익의 충돌을 예방하는 한가지 수단은 SSD를 통해서, 즉 역할에 대한 사용자의 할당에 대한 제약을 실시하는 것이다. 역할 서열의 상속 관계 및 의무의 정적 분리 관계에 대해 불일치의 가능성 때문에, SSD 관계 모델 구성요소는 역할 서열의 존부에서의 관계를 정의한다. 정적 제약은 다양한 형태를 띤다. 공통적인 예는 역할 집합에 대해 사용자 할당을 상호 분해하는 것을 정의하는 SSD이다.
네번째 모델 구성요소인 의무의 동적 분리 (DSD: Dynamic Separation of Duty) 관계는 사용자의 세션의 일부로서 활성화된 역할에 대한 관계를 배타적으로 정의하고 DSD의 조직 위주 정책을 실시할 능력을 제공한다.
SSD와 DSD를 비교하면, SSD 관계는 사용자의 총 허가 공간에 대한 제약을 정의하고 가한다. SSD 관계는 역할 집합에 할당될 수 있는 사용자에게 제약을 가함으로써 사용자에게 이용가능해질 수 있는 잠재적인 허가의 수를 줄인다. DSD 관계 는 SSD 관계처럼 사용자에게 이용가능한 허가를 제한하도록 의도된다. 그러나, DS 관계는 이들 제한이 부과되는 컨텍스트에 의해 SSD 관계와는 다르다. DSD 관계 모델 구성요소는 사용자의 세션 내에서 또는 사용자의 세션에 대해서 활성화될 수 있는 역할에 제약을 가함으로써 사용자의 허가 공간에 대해 허가의 이용가능성을 제한하는 DSD 특성을 정의한다. DSD 특성은 수행되는 역할에 따라 각 사용자가 서로 다른 시각에 서로 다른 레벨의 허가를 갖는다는 점에서 최소의 특권의 원리에 대해 확장된 지원을 제공한다. 이 특성은 이들이 의무의 이행을 위해 필요한 시각을 넘어 허가가 지속되지 않는다는 점을 보장한다. 최소 특권의 이 양태는 종종 신용의 시기적절한 취소라 한다. SSD와 DSD 사이의 다른 차이도 존재하고, 이해될 수 있는 바와 같이, 허가의 동적 취소는 의무의 동적 분리의 수단이 없다면 다소 복잡한 문제일 수 있고, 편의성의 이유때문에 과거에는 일반적으로 무시되었다.
바람직한 네트워크 및 분산 환경
당업자라면 본 발명이 컴퓨터 네트워크의 일부로서 또는 분산 컴퓨팅 환경에서 전개될 수 있는 임의의 컴퓨터 또는 다른 클라이언트 또는 서버 장치와 관련하여 구현될 수 있음을 이해할 수 있을 것이다. 이 점에서, 본 발명은 본 발명에 따라 접근 정책 모델을 통해 변환하는 프로세스와 관련하여 사용될 수 있는 임의 갯수의 저장 장치 또는 볼륨을 통해 발생하는 임의 갯수의 애플리케이션 및 프로세스와 임의 갯수의 메모리 또는 저장 장치를 갖는 임의의 컴퓨터 시스템 또는 환경에 대한 것이다. 본 발명은 원격 또는 로컬 저장장치를 갖는 네트워크 환경 또는 분산 컴퓨팅 환경에서 전개되는 서버 컴퓨터 및 클라이언트 컴퓨터를 갖는 환경에 적 용될 수 있다. 본 발명은 원격 또는 로컬 서비스 및 프로세스와 관련하여 정보를 생성, 수신 및 전송하는 프로그래밍 언어 기능, 번역 및 실행 능력을 갖는 독립형 컴퓨팅 장치에 적용될 수 있다.
분산 컴퓨팅은 컴퓨팅 장치와 시스템 사이의 교환에 의해 컴퓨터 자원 및 서비스의 공유를 제공한다. 이 자원 및 서비스는 정보의 교환, 파일과 같은 개체에 대한 캐시 저장 및 디스크 저장을 포함한다. 분산 컴퓨팅은 네트워크 접속을 이용하여, 클라이언트가 전체 기업에 도움되도록 축적된 전력을 경감할 수 있게 한다. 이 점에서, 다양한 장치가 본 발명의 접근 정책 모델을 통해 변환을 수행하는 시스템 및 방법을 포함할 수 있는 애플리케이션, 개체 또는 자원을 가질 수 있다.
도 7A는 바람직한 네트워크 또는 분산 컴퓨팅 환경의 개략도이다. 분산 컴퓨팅 환경은 컴퓨팅 개체(10a, 10b 등) 및 컴퓨팅 개체 또는 장치(110a, 110b, 110c 등)을 포함한다. 이 개체는 프로그램, 방법, 데이터 저장, 프로그래머블 로직 등을 포함할 수 있다. 이 개체는 PDA, 오디오/비디오 장치, MP3 플레이어, 개인 컴퓨터 등과 같은 동일 또는 다른 장치의 부분을 포함할 수 있다. 각 개체는 통신 네트워크(14)를 통해 다른 개체와 통신할 수 있다. 이 네트워크는 도 7A의 시스템에 서비스를 제공하는 다른 컴퓨팅 개체 및 컴퓨팅 장치를 포함할 수 있고, 다중의 상호연결된 네트워크를 나타낼 수 있다. 본 발명의 일양태에 따라, 각 개체(10a, 10b 등 또는 110a, 110b, 110c 등)은 본 발명에 따라 RBAC 정책 모델로부터 RAP 모델로 변환하는 시스템 및 방법과의 사용에 적합한 API, 또는 다른 개체, 소프트웨어, 펌웨어 및/또는 하드웨어를 이용할 수 있는 애플리케이션을 포함할 수 있다.
110c와 같은 개체는 다른 컴퓨팅 장치(10a, 10b 등 또는 110a, 110b 등)에서 호스트될 수 있음을 이해할 수 있을 것이다. 따라서, 도시된 물리적 환경이 컴퓨터로서 연결된 장치를 보여줄 수 있지만, 이러한 도시는 단지 예시적이고 그대신에 물리적 환경은 PDA, 텔레비전, MP3 플레이어 등과 같은 다양한 디지털 장치, 인터페이스, COM 개체 등과 같은 소프트웨어 개체를 포함하는 것이 도시되거나 설명될 수 있다.
분산 컴퓨팅 환경을 지원하는 다양한 시스템, 구성요소 및 네트워크 구성이 있다. 예를 들면, 컴퓨팅 시스템은 유선 또는 무선 시스템에 의해, 로컬 네트워크 또는 광범위하게 분산된 네트워크에 의해 함께 연결될 수 있다. 현재, 많은 네트워크가 광범위하게 분산된 컴퓨팅을 위한 인프라를 제공하고 많은 다른 네트워크를 포함하는 인터넷에 결합된다. 어떤 인프라라도 본 발명에 따른 접근 정책 모델을 통한 변환에 부수하는 전형적인 통신을 위해 사용될 수 있다.
홈 네트워킹 환경에서, 전력선, 데이터 (무선 및 유선), 음성 (예컨대, 전화) 및 오락 매체와 같은 유일한 프로토콜을 지원할 수 있는 적어도 4개의 이종의 네트워크 전송 매체가 있다. 광 스위치 및 전기기구와 같은 홈 제어 장치는 접속을 위해 전력선을 사용할 수 있다. 데이터 서비스는 광대역 (예컨대, DSL 또는 케이블 모뎀)으로서 가정으로 들어갈 수 있고 무선 (예컨대, HomeRF 또는 802.11B) 또는 유선 (예컨대, Home PNA, Cat 5, 이더넷, 심지어 전력라인) 접속을 이용하여 가정 내에서 접속가능하다. 음성 트래픽은 유선 (예컨대, Cat 3) 또는 무선 (예컨 대, 셀폰)으로 가정으로 들어갈 수 있고 예컨대 Cat 3 유선을 이용하여 가정 내에서 분배될 수 있다. 오락 매체 또는 다른 그래픽 데이터는 위성 또는 케이블을 통해 가정으로 들어갈 수 있고 일반적으로 동축 케이블을 이용하여 가정에서 분배된다. IEEE 1394 및 DIV는 또한 미디어 장치의 클러스터를 위한 디지털 상호접속이다. 이 모든 네트워크 환경 및 프로토콜 표준으로서 나타날 수 있거나 이미 나타난 다른 환경은 GSM 네트워크 환경 또는 인터넷과 같은 광역 네트워크에 의해 외부 세계에 연결될 수 있는 인트라넷과 같은 네트워크를 형성하기위해 상호연결될 수 있다. 요약하면, 다양한 이종의 소스(sources)가 데이터의 저장 및 전송을 위해 존재하고, 결과적으로 향후 컴퓨팅 장치는 본 발명에 따라 접근 정책 모델을 통한 변환 동안과 같이 프로그램 개체에 부수하여 접근 또는 사용되는 데이터와 같은 데이터 공유 방법을 필요로 할 것이다.
인터넷은 일반적으로 컴퓨터 네트워킹의 기술분야에서 공지기술인 프로토콜의 TCP/IP (Transmission Control Protocol/Internet Protocol) 세트를 이용하는 네트워크 및 게이트웨이의 모음을 말한다. 인터넷은 사용자가 네트워크를 통해 상호작용하고 정보를 공유할 수 있게 하는 네트워킹 프로토콜을 실행하는 컴퓨터에 의해 상호연결된 지리학적으로 분산된 원격 컴퓨터 네트워크의 시스템으로서 설명될 수 있다. 이러한 넓게 분산된 정보 공유 때문에, 인터넷과 같은 원격 네트워크는 개발자가 실질적으로 제한없이 전문화된 동작 또는 서비스를 수행하는 소프트웨어 애플리케이션을 설계할 수 있는 개방 시스템으로 지금까지 진화하였다.
따라서, 네트워크 인프라는 클라이언트/서버, 피어-투-피어 (peer-to-peer), 또는 하이브리드 아키텍처와 같은 네트워크 토폴로지의 호스트를 가능하게 한다. "클라이언트"는 관련되지 않은 다른 클래스 또는 그룹의 서비스를 사용하는 클래스 또는 그룹의 회원이다. 따라서, 컴퓨팅에서, 클라이언트는 다른 프로그램에 의해 제공된 서비스를 요청하는 프로세스, 즉 대략적으로 명령어 또는 태스크 집합이다. 클라이언트 프로세스는 다른 프로그램 또는 서비스 자체에 대해 임의의 작용 세부사항을 "알" 필요없이 요청 서비스를 이용한다. 클라이언트/서버 아키텍처에서, 특히 네트워크 시스템에서, 클라이언트는 보통 예컨대 서버같은 다른 컴퓨터에 의해 제공된 공유 네트워크 자원에 접근하는 컴퓨터이다. 도 7A의 도시에서, 임의의 컴퓨터가 상황에 따라 클라이언트, 서버, 또는 두개 모두로서 간주될 수 있지만, 일례로, 컴퓨터(110a, 110b 등)는 클라이언트로서 간주될 수 있고 컴퓨터(10a, 10b 등)는 서버로서 간주될 수 있는데, 서버(10a, 10b 등)는 클라이언트 컴퓨터(110a, 110b 등)에 복사되는 데이터를 유지한다. 이 컴퓨팅 장치 중 임의의 것은 본 발명에 따라 RBAC에서 RAP 모델로의 변환을 포함할 수 있는 서비스 또는 태스크를 요청하거나 데이터를 처리할 수 있다.
서버는 일반적으로 인터넷과 같은 원격 또는 로컬 네트워크를 통해 접근가능한 원격 컴퓨터 시스템이다. 클라이언트 프로세스는 제1 컴퓨터 시스템에서 액티브 상태일 수 있고, 서버 프로세스는 제2 컴퓨터 시스템에서 액티브 상태일 수 있어, 통신 매체를 통해 서로 통신하고, 이에 의해 분산된 기능을 제공하고 다수의 클라이언트가 서버의 정보수집 능력을 이용할 수 있게 된다. 본 발명의 접근 정책 모델을 통해 변환하는 기술에 따라 이용되는 임의의 소프트웨어 개체는 다수의 컴 퓨팅 장치 또는 개체를 통해 분산될 수 있다.
클라이언트 및 서버는 프로토콜 계층에 의해 제공된 기능을 이용하여 서로 통신한다. 예를 들면, HTTP (HyperText Transfer Protocol)는 WWW (World Wide Web) 또는 "웹 (Web)"과 연관하여 사용되는 공통 프로토콜이다. 일반적으로, 인터넷 프로토콜 (IP) 어드레스와 같은 컴퓨터 네트워크 어드레스 또는 URL (Universal Resource Locator)과 같은 다른 기준은 서버 또는 클라이언트 컴퓨터를 서로에게 식별하기 위해 사용될 수 있다. 네트워크 어드레스는 URL 어드레스라고 할 수 있다. 통신은 통신 매체를 통해 제공될 수 있고, 예컨대, 클라이언트 및 서버는 고용량 통신을 위해 TCP/IP 연결을 통해 서로 결합될 수 있다.
따라서, 도 7A는 본 발명이 채용될 수 있는 네트워크/버스를 통해 클라이언트 컴퓨터와 통신하는 서버를 이용하는 전형적인 네트워크 또는 분산 환경을 도시한다. 더 구체적으로, 많은 서버(10a, 10b 등)는 본 발명에 따라 휴대 컴퓨터, 소형 컴퓨터, 가는 클라이언트, 네트워크 기기, 또는 VCR, TV, 오븐, 조명, 히터 등과 같은 다른 장치와 LAN, WAN, 인트라넷, 인터넷 등일 수 있는 통신 네트워크/버스(14)를 통해 상호접속된다. 따라서 본 발명은 하나의 접근 정책 모델을 다른 것으로 변환하는 것이 바람직한 것과 관련하여 임의의 컴퓨팅 장치에 적용될 수 있는 것을 의도한다.
통신 네트워크/버스(14)가 인터넷인 네트워크 환경에서, 예컨대 서버(10a, 10b 등)는 클라이언트(110a, 110b, 110c, 110d, 110e 등)가 HTTP와 같은 다수의 공지의 프로토콜 중 임의의 것을 통해 통신하는 웹 서버일 수 있다. 서버(10a, 10b 등)는 분산 컴퓨팅 환경의 특징일 수 있는 클라이언트(110a, 110b, 110c, 110d, 110e 등)로서 역할할 수 있다.
언급한 바와 같이, 통신은 유선 또는 무선 또는 적절한 경우 이 둘의 조합일 수 있다. 클라이언트 장치(110a, 110b, 110c, 110d, 110e 등)는 통신 네트워크/버스(14)를 통해 통신하거나 안할 수 있고, 이와 연관된 독립 통신을 가질 수 있다. 예를 들면, TV 또는 VCR의 경우, 그 제어에 대한 네트워크 양상이거나 아닐 수 있다. 각 클라이언트 컴퓨터(110a, 110b, 110c, 110d, 110e 등) 및 서버 컴퓨터(10a, 10b 등)는 다양한 애플리케이션 프로그램 모듈 또는 개체(135a, 135b, 135c 등)를 구비할 수 있고, 파일이나 데이터 스트림이 저장될 수 있거나 또는 파일이나 데이터 스트림의 일부가 다운로드되거나, 전송되거나 또는 이동될 수 있는 다양한 종류의 저장 요소나 개체로의 연결 또는 접근을 구비할 수 있다. 임의의 하나 이상의 컴퓨터(10a, 10b, 110a, 110b 등)는 본 발명에 따라 처리되거나 저장되는 데이터를 저장하는 데이터베이스(20) 또는 데이터베이스나 메모리(20)와 같은 다른 저장 요소의 유지 및 업데이트를 책임질 수 있다. 따라서, 본 발명은 클라이언트 컴퓨터 네트워크/버스(14)에 접근하고 상호작용할 수 있는 클라이언트 컴퓨터(110a, 110b 등)와, 컴퓨터(110a, 110b 등) 및 다른 유사 장치 및 데이터베이스(20)와 상호작용할 수 있는 서버 컴퓨터(10a, 10b 등)를 갖는 컴퓨터 네트워크 환경에서 사용될 수 있다.
바람직한 컴퓨팅 장치
상기한 바와 같이, 본 발명은 컴퓨팅 장치의 접근 정책 모델을 통해 변환하 는 것이 바람직할 수 있는 임의의 장치에 적용된다. 따라서, 모든 종류의 소형의 휴대용 및 다른 컴퓨팅 장치 및 컴퓨팅 개체는 본 발명과 관련하여, 즉 장치가 접근 제어를 위한 정책 모델을 통해 변환하기를 원할 수 있는 어디에서나 (예컨대, 이동 전화와 같은 휴대 장치를 통한 GSM 네트워크) 사용을 위해 의도됨은 물론이다. 이에 따라, 도 7B에서 이하에 설명되는 아래의 범용 원격 컴퓨터는 단지 일예일 뿐이고, 본 발명은 네트워크/버스 상호운용 및 상호작용을 갖는 임의의 클라이언트로 구현될 수 있다. 따라서, 본 발명은 거의 또는 최소한의 클라이언트 자원이 포함되는 네트워크 호스트 서비스의 환경, 예컨대 클라이언트 장치가 단지 기기에 위치하는 개체와 같은 네트워크/버스로의 인터페이스로서 역할하는 네트워크 환경에서 구현될 수 있다.
필요하지는 않지만, 본 발명은 장치 또는 개체에 대한 서비스의 개발자에 의한 사용을 위해 운영체제를 통해 부분적으로 구현될 수 있고 및/또는 본 발명의 구성요소와 관련하여 동작하는 애플리케이션 소프트웨어 내에 포함될 수 있다. 소프트웨어는 클라이언트 워크스테이션, 서버 또는 다른 장치와 같은 하나 이상의 컴퓨터에 의해 실행되는 프로그램 모듈과 같은 컴퓨터 실행 명령어의 일반 컨텍스트로 설명될 수 있다. 당업자라면 본 발명은 다른 컴퓨터 시스템 구성 및 프로토콜로 실시될 수 있음을 이해할 것이다.
도 7B는, 위에서 명백해진 바와 같이, 컴퓨팅 시스템 환경(100a)이 컴퓨팅 장치를 위한 적절한 컴퓨팅 환경의 일예일 뿐이고 본 발명의 용도 또는 기능의 범위에 대해 임의의 한정을 암시하려고 의도된 것은 아니지만, 본 발명이 구현될 수 있는 적절한 컴퓨팅 시스템 환경(100a)의 일예를 도시한다. 컴퓨팅 환경(100a)은 전형적인 운영 환경(100a)에서 예시된 구성요소 중 임의의 것이나 그 조합에 관한 종속성이나 요건을 갖는 것으로 해석되어서는 안된다.
도 7B를 참고하면, 본 발명을 구현하는 전형적인 원격 장치는 컴퓨터(110a)의 형태로 범용 컴퓨팅 장치를 포함한다. 컴퓨터(110a)의 구성요소는 처리유닛(120a), 시스템 메모리(130a), 및 시스템 메모리를 포함한 다양한 시스템 구성요소를 처리유닛(120a)에 연결하는 시스템 버스(121a)를 포함할 수 있지만 이에 한정되는 것은 아니다. 시스템 버스(121a)는 메모리 버스 또는 메모리 제어기, 주변버스, 및 다양한 버스 구조 중 임의의 것을 사용하는 로컬 버스를 포함하는 몇가지 종류의 버스 구조 중 임의의 것일 수 있다.
컴퓨터(110a)는 일반적으로 다양한 컴퓨터 판독 매체를 포함한다. 컴퓨터 판독 매체는 컴퓨터(110a)에 의해 접근될 수 있는 임의의 이용가능한 매체일 수 있다. 일예로, 이에 한정되는 것은 아니지만, 컴퓨터 판독 매체는 컴퓨터 저장 매체 및 통신 매체를 포함할 수 있다. 컴퓨터 저장 매체는 컴퓨터 판독 명령어, 데이터 구조, 프로그램 모듈 또는 다른 데이터와 같은 정보의 저장 방법 또는 기술로 구현된 휘발성 및 비휘발성, 이동식 및 고정식 매체를 모두 포함한다. 컴퓨터 저장 매체는 RAM, ROM, EEPROM, 플래시 메모리 또는 다른 메모리 기술, CDROM, DVD, 또는 다른 광 디스크 저장장치, 자기 카세트, 자기 테이프, 자기 디스크 저장장치, 또는 다른 자기 저장 장치, 또는 원하는 정보를 저장하기 위해 사용되고 컴퓨터(110a)에 의해 액세스될 수 있는 임의의 다른 매체를 포함하지만 이에 한정되는 것은 아니 다. 통신 매체는 일반적으로 컴퓨터 판독 명령어, 데이터 구조, 프로그램 모듈 또는 다른 데이터를 캐리어 웨이브 또는 다른 전송 메커니즘과 같은 변조된 데이터 신호로 구현하고 임의의 정보 전달 매체를 포함한다.
시스템 메모리(130a)는 ROM 및/또는 RAM과 같은 휘발성 및/또는 비휘발성 메모리의 형태로 컴퓨터 저장 매체를 포함할 수 있다. 예컨대 기동시에 컴퓨터(110a) 내의 요소들 사이의 정보를 전달하는 기본 루틴을 포함하는 BIOS (basic input/output system)는 메모리(130a)에 저장될 수 있다. 메모리(130a)는 일반적으로 처리유닛(120a)에 의해 즉시 접근가능한 및/또는 곧 동작되는 데이터 및/또는 프로그램 모듈을 포함한다. 일예로, 이에 한정되는 것은 아니지만, 메모리(130a)는 운영체제, 애플리케이션 프로그램, 다른 프로그램 모듈, 및 프로그램 데이터를 포함할 수 있다.
컴퓨터(110a)는 다른 이동식/고정식, 휘발성/비휘발성 컴퓨터 저장 매체를 포함할 수 있다. 예를 들면, 컴퓨터(110a)는 고정식 비휘발성 자기 매체로부터 판독하거나 또는 이 자기 매체로 기입하는 하드 디스크 드라이브, 이동식 비휘발성 자기 디스크로부터 판독하거나 이 자기 디스크로 기입하는 자기 디스크 드라이브, 및/또는 CD-ROM 또는 다른 광 매체와 같은 이동식 비휘발성 광 디스크로부터 판독하거나 이 광 디스크로 기입하는 광 디스크 드라이브를 포함할 수 있다. 전형적인 운영 환경에서 사용될 수 있는 다른 이동식/고정식 휘발성/비휘발성 컴퓨터 저장 매체는 자기 테이프 카세트, 플래시 메모리 카드, DVD, 디지털 비디오 테이프, 고체상태 RAM, 고체상태 ROM 등을 포함하지만 이에 한정되는 것은 아니다. 하드 디 스크 드라이브는 일반적으로 인터페이스와 같은 고정식 메모리 인터페이스를 통해 시스템 버스(121a)에 연결되고, 자기 디스크 드라이브 또는 광 디스크 드라이브는 일반적으로 인터페이스와 같은 이동식 메모리 인터페이스에 의해 시스템 버스(121a)에 연결된다.
사용자는 흔히 마우스, 트랙볼 또는 터치 패드라고 하는 포인팅 장치 및 키보드와 같은 입력 장치를 통해 컴퓨터(110a)로 명령어 및 정보를 입력할 수 있다. 다른 입력 장치는 마이크, 조이스틱, 게임패드, 위성접시, 스캐너 등을 포함할 수 있다. 이들 및 다른 입력 장치는 시스템 버스(121a)에 결합된 사용자 입력(140a) 및 관련 인터페이스를 통해 처리유닛(120a)에 연결되지만, 병렬 포트, 게임 포트 또는 USB와 같은 다른 인터페이스 및 버스 구조에 의해 연결될 수 있다. 그래픽 부시스템은 시스템 버스(121a)에 연결될 수 있다. 모니터 또는 다른 종류의 디스플레이 장치는 비디오 메모리와 차례로 통신할 수 있는 출력 인터페이스(150a)와 같은 인터페이스를 통해 시스템 버스(121a)에 연결된다. 모니터 이외에, 컴퓨터는 출력 인터페이스(150a)를 통해 연결될 수 있는 스피커 및 프린터와 같은 다른 주변 출력 장치를 포함할 수 있다.
컴퓨터(110a)는 장치(110a)와 다른 매체 능력과 같은 능력을 가질 수 있는 원격 컴퓨터(170a)와 같은 하나 이상의 다른 원격 컴퓨터로의 논리적 연결을 이용하는 네트워크 또는 분산 환경에서 동작할 수 있다. 원격 컴퓨터(170a)는 개인 컴퓨터, 서버, 라우터, 네트워크 PC, 피어(peer) 장치 또는 다른 공통 네트워크 노드, 또는 다른 원격 매체 소비 또는 전송 장치일 수 있고, 컴퓨터(110a)에 대해 상 기 임의의 또는 모든 요소를 포함할 수 있다. 도 7B에 도시된 논리적 연결은 LAN 또는 WAN과 같은 네트워크(171a)를 포함하지만, 다른 네트워크/버스를 포함할 수도 있다. 이러한 네트워킹 환경은 집, 사무실, 기업 컴퓨터 네트워크, 인트라넷 및 인터넷에서 흔하다.
LAN 네트워킹 환경에서 사용될 때, 컴퓨터(110a)는 네트워크 인터페이스 또는 어댑터를 통해 LAN(171a)에 연결된다. WAN 네트워킹 환경에서 사용될 때, 컴퓨터(110a)는 일반적으로 네트워크 구성요소 (네트워크 카드, 모뎀 등) 또는 인터넷과 같은 WAN을 통해 통신을 확립하는 다른 수단을 포함한다. 내장 또는 외장일 수 있는 네트워크로의 연결 수단은 입력(140a)의 사용자 입력 인터페이스 또는 다른 적절한 메커니즘을 통해 시스템 버스(121a)에 연결될 수 있다. 네트워크 환경에서, 컴퓨터(110a)에 대해 도시된 프로그램 모듈 또는 그 부분은 원격 메모리 저장 장치에 저장될 수 있다. 도시되고 설명된 네트워크 연결은 전형적이며 컴퓨터들 간 통신 링크를 확립하는 다른 수단이 사용될 수 있다.
바람직한 분산 컴퓨팅 프레임웍 또는 아키텍처
다양한 분산 컴퓨팅 프레임웍이 개인 컴퓨팅과 인터넷의 수렴의 견지에서 개발되었고 개발중이다. 개인 및 사업 사용자에게는 애플리케이션 및 컴퓨팅 장치에 대해 끊김없이 상호작용가능하고 웹에 의해 가능한 인터페이스가 제공되어, 컴퓨팅 활동을 점점 더 웹 브라우저 또는 네트워크 위주로 하게 만든다.
예컨대, MICROSOFT®의 관리된 코드 플랫폼, 즉 .NET는 서버, 웹기반 데이터 저장 및 다운로드가능한 장치 소프트웨어와 같은 빌딩-블록(building-block) 서비 스를 포함한다. 일반적으로, .NET 플랫폼은 (1) 컴퓨팅 장치의 전체 범위가 함께 작업할 수 있게 하고 사용자 정보가 자동적으로 업데이트되고 이들 모두에서 동기화될 수 있게 하는 능력, (2) HTML보다는 XML을 더 많이 사용함으로써 가능해지는 웹페이지에 대한 증가된 상호작용 능력, (3) 예컨대 이메일, 또는 Office.NET와 같은 소프트웨어와 같은 다양한 애플리케이션의 관리를 위해 중앙 시작점부터 사용자에게 상품 및 서비스의 맞춤 접근 및 전달을 특징으로 하는 온라인 서비스, (4) 사용자 및 장치들 중에서 정보의 동기화 뿐만 아니라 정보로의 접근의 효율 및 용이성을 증가시키는 중앙화된 데이터 저장, (5) 이메일, 팩스 및 전화와 같은 다양한 통신 매체를 통합하는 능력, (6) 개발자를 위해, 재사용가능한 모듈을 생성함으로써 생산성을 증가시키고 프로그래밍 오류의 수를 감소시키는 능력, 및 (7) 많은 다른 크로스 플랫폼 및 언어 통합 특징을 제공한다.
여기 일부 바람직한 실시예가 컴퓨팅 장치에 상주하는 API (application programming interface)와 같은 소프트웨어와 관련하여 설명되었지만, 본 발명의 하나 이상의 부분은 운영체제 또는 "미들 맨(middle man)" 개체, 제어 개체, 하드웨어, 펌웨어, 중간 언어 명령어 또는 개체 등을 통해 구현될 수 있어서, 본 발명에 따른 정책 모델을 통해 변환하는 방법은 .NET 코드와 같은 관리된 코드에 의해 가능해지는 모든 언어 및 서비스, 및 다른 분산 컴퓨팅 프레임웍에 포함되거나, 지원되거나 접근될 수 있다.
애플리케이션 및 서비스가 본 발명의 정책 모델을 통해 변환하는 시스템 및 방법을 사용할 수 있게 하는 본 발명을 구현하는 다수의 방법, 예컨대 적절한 API, 도구 키트, 드라이버 코드, 운영 체제, 제어, 독립형 또는 다운로드가능한 소프트웨어 개체 등이 있다. 본 발명은 본 발명에 따라 다운로드된 프로그램을 수신하는 소프트웨어 또는 하드웨어 개체로부터 뿐만 아니라 API (또는 다른 소프트웨어 개체)의 관점에서 본 발명의 사용을 고찰한다. 따라서, 여기 설명된 본 발명의 다양한 구현은 전체적으로 하드웨어, 부분적으로 하드웨어, 및 부분적으로 소프트웨어 뿐만 아니라 소프트웨어인 양태를 가질 수 있다.
상기한 바와 같이, 본 발명의 바람직한 실시예가 다양한 컴퓨팅 장치 및 네트워크 아키텍처와 관련하여 설명되었지만, 기저 개념은 하나의 접근 정책 모듈을 다른 접근 정책 모듈로 변환하는 것이 바람직한 임의의 컴퓨팅 장치 또는 시스템에 적용될 수 있다. 예를 들면, 본 발명의 알고리즘 및 하드웨어 구현은, 메모리 내에서 장치 상의 별개의 개체로서, 다른 개체의 일부로서, 재사용가능한 제어로서, 서버로부터 다운로드가능한 개체로서, 장치 또는 개체와 네트워크 사이의 "미들 맨(middle man)"으로서, 분산 개체로서, 하드웨어로서, 상기의 조합으로서 제공되는 컴퓨팅 장치의 운영 체제에 적용될 수 있다. 바람직한 프로그래밍 언어, 이름 및 예가 다양한 선택을 대표하는 것으로서 여기서 선택되었지만, 이 언어, 이름 및 예는 한정하기 위한 목적으로 사용된 것이 아니다. 당업자라면 본 발명의 다양한 실시예에 의해 달성되는 동일한, 유사한 또는 균등한 기능을 달성하는 개체 코드 및 명칭을 제공하는 많은 방법이 있음을 이해할 것이다.
상기한 바와 같이, 여기 설명된 다양한 기술은 하드웨어, 소프트웨어, 또는 적절한 경우에 이 둘의 조합과 관련하여 구현될 수 있다. 따라서, 본 발명의 방법 및 장치, 또는 그것의 임의의 태양 또는 부분은 플로피 디스켓, CD-ROM, 하드 드라이브, 또는 임의의 다른 기계판독 저장 매체와 같은 유형의 매체로 구현되는 프로그램 코드 (즉, 명령어)의 형태를 취할 수 있고, 여기서 이 프로그램 코드가 컴퓨터와 같은 기계로 로딩되어 실행될 때, 이 기계는 본 발명을 실싱하는 장치가 된다. 프로그래머블 컴퓨터 상에서의 프로그램 코드 실행의 경우, 컴퓨팅 장치는 일반적으로 프로세서, 이 프로세서에 의해 판독가능한 저장 매체 (휘발성 및 비휘발성 메모리 및/또는 저장 요소 포함), 적어도 하나의 입력 장치, 및 적어도 하나의 출력 장치를 포함한다. 예컨대, 데이터 처리 API, 재사용가능한 제어 등을 통해 본 발명의 정책 모델을 통해 변환하는 방법을 구현하거나 이용할 수 있는 하나 이상의 프로그램은 컴퓨터 시스템과 통신하기 위해 상위 절차적 또는 개체 위주 프로그래밍 언어로 구현되는 것이 바람직하다. 그러나, 이 프로그램(들)은 원한다면 어셈블리나 기계어로 구현될 수 있다. 어느 경우든지, 이 언어는 컴파일되거나 번역된 언어일 수 있고 하드웨어 구현과 조합될 수 있다.
본 발명의 방법 및 장치는, 예컨대 전선이나 케이블, 광섬유, 또는 임의의 다른 전송 형태와 같은 전송 매체를 통해 전송되는 프로그램 코드의 형태로 구현된 통신을 통해 실시될 수 있고, 여기서 이 프로그램 코드가 EPROM, 게이트 어레이, 프로그래머블 논리 장치 (PLD: programmable logic device), 클라이언트 컴퓨터 등과 같은 기계에 의해 수신되고, 로딩되어 실행될 때, 이 기계는 본 발명을 실시하는 장치가 된다. 범용 프로세서에서 구현될 때, 프로그램 코드는 본 발명의 기능을 실시하도록 동작하는 유일한 장치를 제공하기 위하여 프로세서와 결합된다. 또 한, 본 발명과 관련하여 사용되는 임의의 저장 기술은 하드웨어 및 소프트웨어의 조합일 수 있다.
본 발명이 다양한 도면의 바람직한 실시예와 관련하여 설명되었지만, 다른 유사한 실시예가 사용될 수 있거나 본 발명의 동일한 기능을 수행하는 상기 설명된 실시예에 대해 본 발명에서 벗어남없이 변경 및 추가가 이루어질 수 있다. 예를 들면, 본 발명의 바람직한 네트워크 환경이 피어 투 피어 (peer to peer) 네트워크 환경과 같은 네트워크 환경의 맥락에서 설명되었지만, 본 발명은 이에 한정되지 않고, 본 출원에서 설명된 방법은 유선 또는 무선의 게임 컨솔, 소형 컴퓨터, 휴대용 컴퓨터 등과 같은 임의의 컴퓨팅 장치나 환경에 적용될 수 있고, 통신 네트워크를 통해 연결되고 네트워크를 통해 상호작용하는 임의 갯수의 이러한 컴퓨팅 장치에 적용될 수 있음을 당업자라면 이해할 것이다. 또한, 특히 무선 네트워크 장치가 계속 확산됨에 따라, 휴대 장치 운영체제 및 다른 애플리케이션 특정 운영체제를 포함하는 다양한 컴퓨터 플랫폼이 고찰된다는 것이 강조되어야 한다.
바람직한 실시예가 특정 프로그래밍 언어 구조의 맥락에서 본 발명을 이용하는 것을 언급하지만, 본 발명은 이에 한정되는 것이 아니고, 정책 모델을 통해 변환하는 방법을 제공하기 위해 임의의 언어로 구현될 수 있다. 또한, 본 발명은 복수의 처리 칩이나 장치로 또는 복수의 처리 칩이나 장치를 통해 구현될 수 있고, 저장은 마찬가지로 복수의 장치를 통해 수행될 수 있다. 따라서, 본 발명은 임의의 하나의 실시예에 한정되지 않아야 하고 첨부된 청구범위에 따라 그 폭과 범위가 해석되어야 한다.

Claims (21)

  1. 컴퓨터에서, 역할 기반 접근 제어(RBAC: role based access control) 스토어를 제공하는 단계 - 상기 RBAC 스토어는 적어도 하나의 범위를 정의하고, 각각의 범위는 네트워크 컴퓨팅 환경의 자원 집합(a set of resources)을 나타냄 - 와,
    상기 RBAC 스토어에서 적어도 하나의 역할 정의(role definition) 및 적어도 하나의 역할 할당(role assignment)을 제공하는 단계와,
    상기 적어도 하나의 역할 정의 및 상기 적어도 하나의 역할 할당에 적어도 부분적으로 기초하여 상기 RBAC 스토어에서 적어도 하나의 기업 역할(enterprise role)을 정의하는 단계 - 각각의 기업 역할은 주어진 범위에서 주요부(principals)에 할당되는 허가 집합을 포함함 - 와,
    상기 RBAC 스토어를 사용하여 상기 적어도 하나의 범위, 상기 적어도 하나의 기업 역할 및 RBAC 정책을 나타내는 적어도 하나의 자원 그룹을 자원 인가 정책(RAP: resource authorization policy) 모델로 변환(translating)하는 단계 - 상기 RBAC 정책은 기본 자원 인가 정책을 구성하기 위해 상기 네트워크 컴퓨팅 환경에서 적어도 하나의 접근 제어 목록(ACL: access control lists)에 매핑 가능함 -
    를 포함하는 역할 기반 접근 제어 정책의 변환 방법.
  2. 제1항에 있어서,
    상기 적어도 하나의 범위 및 상기 적어도 하나의 기업 역할에 기초하여 상기 적어도 하나의 자원 그룹에 대한 허가(permission)를 승인 또는 거절하는 단계를 더 포함하는
    역할 기반 접근 제어 정책의 변환 방법.
  3. 제1항에 있어서,
    상기 적어도 하나의 범위, 상기 적어도 하나의 기업 역할 및 상기 적어도 하나의 자원 그룹을 변환하여, 접근 제어 엔트리(ACE: access control entry) 데이터 구조로 변환하기 위한 변환 정보를 형성하는 단계를 더 포함하는
    역할 기반 접근 제어 정책의 변환 방법.
  4. 제1항에 있어서,
    상기 주요부의 적어도 하나의 자원 그룹은 상기 네트워크 컴퓨팅 환경에서 동작하는 조직과 연관된 기존 회원 그룹(pre-existing membership group)을 포함하는
    역할 기반 접근 제어 정책의 변환 방법.
  5. 제4항에 있어서,
    상기 기존 회원 그룹이 변경되는 경우에 상기 적어도 하나의 자원 그룹을 업데이트하는 단계를 더 포함하는
    역할 기반 접근 제어 정책의 변환 방법.
  6. 제5항에 있어서,
    상기 주요부의 적어도 하나의 자원 그룹은 상기 조직과 연관된 이메일 그룹 또는 분배 목록(distribution list)을 포함하는
    역할 기반 접근 제어 정책의 변환 방법.
  7. 제1항에 있어서,
    상기 적어도 하나의 범위 중의 한 범위는 운영체제의 파일 시스템에 의해 조직된 파일, 폴더 또는 다른 개체의 하나 이상의 모음으로서 정의되는
    역할 기반 접근 제어 정책의 변환 방법.
  8. 제1항에 있어서,
    범위와 연관된 자원 집합이 변하는 경우에 상기 적어도 하나의 범위를 업데이트하는 단계를 더 포함하는
    역할 기반 접근 제어 정책의 변환 방법.
  9. 제1항의 방법을 수행하는 컴퓨터 실행가능 명령어를 포함하는 컴퓨터 실행가능 인터페이스 모듈이 저장된
    컴퓨터 판독가능 저장 매체.
  10. 컴퓨터 실행 가능 명령어를 저장하도록 구성되는 컴퓨터 판독가능 저장 매체로서,
    상기 컴퓨터 실행 가능 명령어는 실행되는 경우에,
    역할 기반 접근 제어(RBAC: role based access control) 스토어에서 적어도 하나의 범위를 나타내는 범위 데이터(scope data)를 정의하는 단계 - 각각의 범위는 네트워크 컴퓨팅 환경의 자원 집합을 나타냄 - 와,
    상기 RBAC 스토어에 적어도 하나의 역할을 정의하는 역할 정의 데이터를 제공하는 단계 - 각각의 역할은 주어진 범위에서 주요부(principals)에 할당되는 허가 집합을 포함함 - 와,
    상기 RBAC 스토어를 사용하여 상기 적어도 하나의 범위 및 RBAC 정책을 나타내는 적어도 하나의 기업 역할을 자원 인가 정책(RAP) 모델로 변환(translating)하는 단계 - 상기 RBAC 정책은 기본 자원 인가 정책을 구성하기 위해 상기 네트워크 컴퓨팅 환경에서 적어도 하나의 접근 제어 목록(ACL)에 매핑 가능함 -
    를 실행하는 컴퓨터 판독가능 저장 매체.
  11. 제10항에 있어서,
    상기 자원 인가 정책은 접근 제어 목록(ACL) 데이터 구조를 처리하는
    컴퓨터 판독가능 저장 매체.
  12. 제10항에 있어서,
    상기 RBAC 스토어를 저작(authoring)하는 컴퓨터 실행가능 모듈을 더 포함하는
    컴퓨터 판독가능 저장 매체.
  13. 제10항에 있어서,
    상기 RBAC 스토어를 상기 자원 인가 정책과 연관된 상기 데이터 구조로 변환하는 컴퓨터 실행가능 모듈을 더 포함하는
    컴퓨터 판독가능 저장 매체.
  14. 제10항에 있어서,
    상기 RBAC 스토어를 상기 자원 인가 정책과 연관된 허가(permission)로 변환하는 컴퓨터 실행가능 모듈을 더 포함하는
    컴퓨터 판독가능 저장 매체.
  15. 컴퓨터 실행가능 명령어를 저장하도록 구성되는 컴퓨터 판독가능 저장 매체로서,
    상기 컴퓨터 실행가능 명령어는 실행되는 경우에,
    자원 인가 정책에 기초한 인가(authorizations)를 포함하는, 네트워크 컴퓨팅 환경에서 실시될 역할 기반 접근 제어 정책을 생성하는 저작 도구(authoring tool)를 제공하고,
    상기 저작 도구는,
    RBAC 스토어에서 적어도 하나의 범위를 정의하는 수단 - 각각의 범위는 상기 네트워크 컴퓨팅 환경의 자원 집합을 나타냄 - 과,
    상기 RBAC 스토어에서 적어도 하나의 역할 정의를 제공하는 수단 - 각각의 역할 정의는 주어진 범위에서 주요부에 할당된 허가 집합을 포함함 - 과,
    상기 RBAC 스토어를 사용하여, 상기 네트워크 컴퓨팅 환경에서 적어도 하나의 기본 ACL을 구성하기 위해 상기 적어도 하나의 범위, 적어도 하나의 애플리케이션 역할 및 RBAC 정책 모델을 나타내는 적어도 하나의 자원 그룹을 변환하는 수단
    을 포함하는 컴퓨터 판독가능 저장 매체.
  16. 제15항에 있어서,
    상기 저작 도구는,
    상기 적어도 하나의 범위 및 상기 적어도 하나의 애플리케이션 역할에 기초하여 상기 적어도 하나의 자원 그룹에 대한 허가를 승인 또는 거절하는 수단을 더 포함하는
    컴퓨터 판독가능 저장 매체.
  17. 제1항에 있어서,
    상기 자원 집합은 보안 식별자(security identifier) 및 접근 마스크(access mask)에 의해 식별가능하고, 상기 보안 식별자 및 상기 접근 마스크 중 적어도 하나는 상기 RBAC 스토어에 제공된 상기 범위 및 상기 역할 정의 중 적어도 하나에 삽입되는
    역할 기반 접근 제어 정책의 변환 방법.
  18. 제1항에 있어서,
    상기 역할 정의는 상기 자원 집합과 연관된 접근 마스크에 의해 적어도 부분적으로 정의되는
    역할 기반 접근 제어 정책의 변환 방법.
  19. 제1항에 있어서,
    상기 기업 역할, 상기 역할 할당, 상기 역할 정의, 상기 범위 및 상기 자원 집합 각각은 개별적인 명칭을 가지고, 상기 개별적인 명칭은 상기 기업 역할, 상기 역할 할당, 상기 역할 정의, 상기 범위 및 상기 자원 집합 중 둘 이상 간의 관계를 정의하는데 사용되는
    역할 기반 접근 제어 정책의 변환 방법.
  20. 제1항에 있어서,
    상기 RBAC 스토어는 상기 자원 집합 및 아이덴티티 관리 시스템 간의 자원 인가 정책을 구현하도록 동작하고, 상기 아이덴티티 관리 시스템은 상기 적어도 하나의 자원 그룹을 포함하는
    역할 기반 접근 제어 정책의 변환 방법.
  21. 삭제
KR1020087028279A 2006-05-30 2007-05-22 자원 인가 정책으로의 역할 기반 접근 제어 정책의 변환 KR101432317B1 (ko)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US11/443,638 2006-05-30
US11/443,638 US8381306B2 (en) 2006-05-30 2006-05-30 Translating role-based access control policy to resource authorization policy
PCT/US2007/012346 WO2007142849A1 (en) 2006-05-30 2007-05-22 Translating role-based access control policy to resource authorization policy

Publications (2)

Publication Number Publication Date
KR20090024124A KR20090024124A (ko) 2009-03-06
KR101432317B1 true KR101432317B1 (ko) 2014-08-21

Family

ID=38791954

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020087028279A KR101432317B1 (ko) 2006-05-30 2007-05-22 자원 인가 정책으로의 역할 기반 접근 제어 정책의 변환

Country Status (8)

Country Link
US (1) US8381306B2 (ko)
EP (1) EP2021935A4 (ko)
JP (1) JP5356221B2 (ko)
KR (1) KR101432317B1 (ko)
BR (1) BRPI0711700A2 (ko)
CA (1) CA2649862C (ko)
MX (1) MX2008014856A (ko)
WO (1) WO2007142849A1 (ko)

Families Citing this family (196)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7970746B2 (en) * 2006-06-13 2011-06-28 Microsoft Corporation Declarative management framework
US20080005115A1 (en) * 2006-06-30 2008-01-03 International Business Machines Corporation Methods and apparatus for scoped role-based access control
US9455990B2 (en) * 2006-07-21 2016-09-27 International Business Machines Corporation System and method for role based access control in a content management system
US8903365B2 (en) * 2006-08-18 2014-12-02 Ca, Inc. Mobile device management
US8402514B1 (en) 2006-11-17 2013-03-19 Network Appliance, Inc. Hierarchy-aware role-based access control
US7712127B1 (en) * 2006-11-17 2010-05-04 Network Appliance, Inc. Method and system of access control based on a constraint controlling role assumption
US20080120302A1 (en) * 2006-11-17 2008-05-22 Thompson Timothy J Resource level role based access control for storage management
US8719894B2 (en) 2007-03-29 2014-05-06 Apple Inc. Federated role provisioning
CA2682415A1 (en) * 2007-03-30 2008-10-09 Real Enterprise Solutions Development B.V. Method and system for determining entitlements to resources of an organization
US7890531B2 (en) * 2007-06-29 2011-02-15 Oracle International Corporation Method for resolving permission for role activation operators
US10417586B2 (en) * 2007-08-31 2019-09-17 Red Hat, Inc. Attaching ownership to data
US8549278B2 (en) * 2007-10-20 2013-10-01 Blackout, Inc. Rights management services-based file encryption system and method
US8825999B2 (en) 2007-10-20 2014-09-02 Blackout, Inc. Extending encrypting web service
US8549326B2 (en) * 2007-10-20 2013-10-01 Blackout, Inc. Method and system for extending encrypting file system
US8326814B2 (en) 2007-12-05 2012-12-04 Box, Inc. Web-based file management system and service
US8132231B2 (en) * 2007-12-06 2012-03-06 International Business Machines Corporation Managing user access entitlements to information technology resources
US9430660B2 (en) * 2008-01-31 2016-08-30 International Business Machines Corporation Managing access in one or more computing systems
US20090198548A1 (en) * 2008-02-05 2009-08-06 Mathias Kohler System to avoid policy-based deadlocks in workflow execution
US8266118B2 (en) * 2008-02-07 2012-09-11 Microsoft Corporation Automated access policy translation
US8584196B2 (en) * 2008-05-05 2013-11-12 Oracle International Corporation Technique for efficiently evaluating a security policy
JP4591546B2 (ja) * 2008-05-26 2010-12-01 コニカミノルタビジネステクノロジーズ株式会社 データ配信装置、データ配信方法、及びデータ配信プログラム
US8943271B2 (en) 2008-06-12 2015-01-27 Microsoft Corporation Distributed cache arrangement
US8176256B2 (en) * 2008-06-12 2012-05-08 Microsoft Corporation Cache regions
US20090313079A1 (en) * 2008-06-12 2009-12-17 Microsoft Corporation Managing access rights using projects
US8181230B2 (en) * 2008-06-30 2012-05-15 International Business Machines Corporation System and method for adaptive approximating of a user for role authorization in a hierarchical inter-organizational model
JP5035182B2 (ja) * 2008-08-27 2012-09-26 富士通株式会社 アクセス制御システム、アクセス制御方法、アクセス制御プログラム、及びアクセス制御プログラムを記録した記録媒体
US8291468B1 (en) * 2009-03-30 2012-10-16 Juniper Networks, Inc. Translating authorization information within computer networks
US8713060B2 (en) 2009-03-31 2014-04-29 Amazon Technologies, Inc. Control service for relational data management
US8332365B2 (en) 2009-03-31 2012-12-11 Amazon Technologies, Inc. Cloning and recovery of data volumes
US9207984B2 (en) 2009-03-31 2015-12-08 Amazon Technologies, Inc. Monitoring and automatic scaling of data volumes
US8307003B1 (en) 2009-03-31 2012-11-06 Amazon Technologies, Inc. Self-service control environment
US9705888B2 (en) * 2009-03-31 2017-07-11 Amazon Technologies, Inc. Managing security groups for data instances
WO2010128358A1 (en) 2009-05-06 2010-11-11 Grigory Levit Permissions verification method and system
US20120246695A1 (en) * 2009-05-08 2012-09-27 Alexander Cameron Access control of distributed computing resources system and method
US8326874B2 (en) * 2009-06-17 2012-12-04 Microsoft Corporation Model-based implied authorization
US20100325684A1 (en) * 2009-06-17 2010-12-23 Microsoft Corporation Role-based security for messaging administration and management
US8255419B2 (en) * 2009-06-17 2012-08-28 Microsoft Corporation Exclusive scope model for role-based access control administration
US8549289B2 (en) 2009-06-22 2013-10-01 Microsoft Corporation Scope model for role-based access control administration
US8656508B2 (en) * 2009-07-24 2014-02-18 Oracle International Corporation Licensed feature enablement manager
US8732847B2 (en) * 2009-08-31 2014-05-20 Oracle International Corporation Access control model of function privileges for enterprise-wide applications
US9135283B2 (en) 2009-10-07 2015-09-15 Amazon Technologies, Inc. Self-service configuration for data environment
US8676753B2 (en) 2009-10-26 2014-03-18 Amazon Technologies, Inc. Monitoring of replicated data instances
US8074107B2 (en) 2009-10-26 2011-12-06 Amazon Technologies, Inc. Failover and recovery for replicated data instances
US8335765B2 (en) 2009-10-26 2012-12-18 Amazon Technologies, Inc. Provisioning and managing replicated data instances
US20110154229A1 (en) * 2009-12-17 2011-06-23 Microsoft Corporation Mosaic identity
US10057239B2 (en) * 2009-12-17 2018-08-21 Pulse Secure, Llc Session migration between network policy servers
JP5482183B2 (ja) * 2009-12-18 2014-04-23 富士ゼロックス株式会社 情報処理装置およびプログラム
US8464319B2 (en) * 2010-01-08 2013-06-11 Microsoft Corporation Resource access based on multiple scope levels
US20110173947A1 (en) * 2010-01-19 2011-07-21 General Electric Company System and method for gas turbine power augmentation
JP5509941B2 (ja) * 2010-03-10 2014-06-04 富士通株式会社 情報管理装置および方法
US8789132B2 (en) * 2010-06-07 2014-07-22 Oracle International Corporation Enterprise model for provisioning fine-grained access control
US9256757B2 (en) * 2010-06-17 2016-02-09 Sap Se Prefetch of attributes in evaluating access control requests
US8601549B2 (en) * 2010-06-29 2013-12-03 Mckesson Financial Holdings Controlling access to a resource using an attribute based access control list
JP2012027650A (ja) * 2010-07-22 2012-02-09 Nec Corp コンテンツ管理装置およびコンテンツ管理方法
JP5807640B2 (ja) * 2010-09-22 2015-11-10 日本電気株式会社 アクセス権可否生成装置、アクセス権可否生成方法、プログラム、及び、アクセス制御システム
US20120078923A1 (en) * 2010-09-29 2012-03-29 Microsoft Corporation Scripting using new ordering algorithm
WO2012054055A1 (en) 2010-10-22 2012-04-26 Hewlett-Packard Development Company, L.P. Distributed network instrumentation system
CN103052957A (zh) * 2010-10-25 2013-04-17 株式会社日立制作所 存储装置和其管理方法
AU2010246354B1 (en) 2010-11-22 2011-11-03 Microsoft Technology Licensing, Llc Back-end constrained delegation model
US8869052B2 (en) * 2010-11-30 2014-10-21 Sap Se Context-dependent object types in an integrated development environment
US10554426B2 (en) 2011-01-20 2020-02-04 Box, Inc. Real time notification of activities that occur in a web-based collaboration environment
US8990891B1 (en) 2011-04-19 2015-03-24 Pulse Secure, Llc Provisioning layer two network access for mobile devices
US8689298B2 (en) * 2011-05-31 2014-04-01 Red Hat, Inc. Resource-centric authorization schemes
US9015601B2 (en) 2011-06-21 2015-04-21 Box, Inc. Batch uploading of content to a web-based collaboration environment
US9063912B2 (en) 2011-06-22 2015-06-23 Box, Inc. Multimedia content preview rendering in a cloud content management system
US9978040B2 (en) 2011-07-08 2018-05-22 Box, Inc. Collaboration sessions in a workspace on a cloud-based content management system
WO2013009337A2 (en) 2011-07-08 2013-01-17 Arnold Goldberg Desktop application for access and interaction with workspaces in a cloud-based content management system and synchronization mechanisms thereof
US20130197951A1 (en) * 2011-07-26 2013-08-01 Christopher Evan Watson Incident Management and Monitoring Systems and Methods
US9197718B2 (en) 2011-09-23 2015-11-24 Box, Inc. Central management and control of user-contributed content in a web-based collaboration environment and management console thereof
US8515902B2 (en) 2011-10-14 2013-08-20 Box, Inc. Automatic and semi-automatic tagging features of work items in a shared workspace for metadata tracking in a cloud-based content management system with selective or optional user contribution
US8918425B2 (en) 2011-10-21 2014-12-23 International Business Machines Corporation Role engineering scoping and management
US9098474B2 (en) 2011-10-26 2015-08-04 Box, Inc. Preview pre-generation based on heuristics and algorithmic prediction/assessment of predicted user behavior for enhancement of user experience
US11210610B2 (en) 2011-10-26 2021-12-28 Box, Inc. Enhanced multimedia content preview rendering in a cloud content management system
US8990307B2 (en) 2011-11-16 2015-03-24 Box, Inc. Resource effective incremental updating of a remote client with events which occurred via a cloud-enabled platform
GB2500152A (en) 2011-11-29 2013-09-11 Box Inc Mobile platform file and folder selection functionalities for offline access and synchronization
US9019123B2 (en) 2011-12-22 2015-04-28 Box, Inc. Health check services for web-based collaboration environments
US9904435B2 (en) 2012-01-06 2018-02-27 Box, Inc. System and method for actionable event generation for task delegation and management via a discussion forum in a web-based collaboration environment
US9635029B2 (en) 2012-01-27 2017-04-25 Honeywell International Inc. Role-based access control permissions
US11232481B2 (en) 2012-01-30 2022-01-25 Box, Inc. Extended applications of multimedia content previews in the cloud-based content management system
US8726338B2 (en) 2012-02-02 2014-05-13 Juniper Networks, Inc. Dynamic threat protection in mobile networks
US9965745B2 (en) 2012-02-24 2018-05-08 Box, Inc. System and method for promoting enterprise adoption of a web-based collaboration environment
US8966576B2 (en) * 2012-02-27 2015-02-24 Axiomatics Ab Provisioning access control using SDDL on the basis of a XACML policy
US9195636B2 (en) 2012-03-07 2015-11-24 Box, Inc. Universal file type preview for mobile devices
US9054919B2 (en) 2012-04-05 2015-06-09 Box, Inc. Device pinning capability for enterprise cloud service and storage accounts
US9575981B2 (en) 2012-04-11 2017-02-21 Box, Inc. Cloud service enabled to handle a set of files depicted to a user as a single file in a native operating system
US8595799B2 (en) 2012-04-18 2013-11-26 Hewlett-Packard Development Company, L.P. Access authorization
US9413587B2 (en) 2012-05-02 2016-08-09 Box, Inc. System and method for a third-party application to access content within a cloud-based platform
US9691051B2 (en) 2012-05-21 2017-06-27 Box, Inc. Security enhancement through application access control
US8914900B2 (en) 2012-05-23 2014-12-16 Box, Inc. Methods, architectures and security mechanisms for a third-party application to access content in a cloud-based platform
US9027108B2 (en) 2012-05-23 2015-05-05 Box, Inc. Systems and methods for secure file portability between mobile applications on a mobile device
US9081950B2 (en) * 2012-05-29 2015-07-14 International Business Machines Corporation Enabling host based RBAC roles for LDAP users
US9213571B2 (en) * 2012-06-06 2015-12-15 2236008 Ontario Inc. System and method for changing abilities of a process
KR101401794B1 (ko) * 2012-06-29 2014-06-27 인텔렉추얼디스커버리 주식회사 데이터 공유 제공 방법 및 장치
US9021099B2 (en) 2012-07-03 2015-04-28 Box, Inc. Load balancing secure FTP connections among multiple FTP servers
GB2505072A (en) 2012-07-06 2014-02-19 Box Inc Identifying users and collaborators as search results in a cloud-based system
US9712510B2 (en) 2012-07-06 2017-07-18 Box, Inc. Systems and methods for securely submitting comments among users via external messaging applications in a cloud-based platform
US9792320B2 (en) 2012-07-06 2017-10-17 Box, Inc. System and method for performing shard migration to support functions of a cloud-based service
US9237170B2 (en) 2012-07-19 2016-01-12 Box, Inc. Data loss prevention (DLP) methods and architectures by a cloud service
US8868574B2 (en) 2012-07-30 2014-10-21 Box, Inc. System and method for advanced search and filtering mechanisms for enterprise administrators in a cloud-based environment
US9794256B2 (en) 2012-07-30 2017-10-17 Box, Inc. System and method for advanced control tools for administrators in a cloud-based service
US9881017B2 (en) 2012-08-03 2018-01-30 Egnyte, Inc. System and method for event-based synchronization of remote and local file systems
US9369520B2 (en) 2012-08-19 2016-06-14 Box, Inc. Enhancement of upload and/or download performance based on client and/or server feedback information
US8745267B2 (en) 2012-08-19 2014-06-03 Box, Inc. Enhancement of upload and/or download performance based on client and/or server feedback information
GB2513671A (en) 2012-08-27 2014-11-05 Box Inc Server side techniques for reducing database workload in implementing selective subfolder synchronization in a cloud-based environment
US9135462B2 (en) 2012-08-29 2015-09-15 Box, Inc. Upload and download streaming encryption to/from a cloud-based platform
US9178886B2 (en) 2012-08-29 2015-11-03 Red Hat Israel, Ltd. Flattening permission trees in a virtualization environment
US9117087B2 (en) 2012-09-06 2015-08-25 Box, Inc. System and method for creating a secure channel for inter-application communication based on intents
US9311071B2 (en) 2012-09-06 2016-04-12 Box, Inc. Force upgrade of a mobile application via a server side configuration file
US9195519B2 (en) 2012-09-06 2015-11-24 Box, Inc. Disabling the self-referential appearance of a mobile application in an intent via a background registration
US9292833B2 (en) 2012-09-14 2016-03-22 Box, Inc. Batching notifications of activities that occur in a web-based collaboration environment
US10200256B2 (en) 2012-09-17 2019-02-05 Box, Inc. System and method of a manipulative handle in an interactive mobile user interface
US9553758B2 (en) 2012-09-18 2017-01-24 Box, Inc. Sandboxing individual applications to specific user folders in a cloud-based service
US10915492B2 (en) 2012-09-19 2021-02-09 Box, Inc. Cloud-based platform enabled with media content indexed for text-based searches and/or metadata extraction
US9461978B2 (en) 2012-09-25 2016-10-04 Tata Consultancy Services Limited System and method for managing role based access controls of users
US9959420B2 (en) 2012-10-02 2018-05-01 Box, Inc. System and method for enhanced security and management mechanisms for enterprise administrators in a cloud-based environment
US9495364B2 (en) 2012-10-04 2016-11-15 Box, Inc. Enhanced quick search features, low-barrier commenting/interactive features in a collaboration platform
US9705967B2 (en) 2012-10-04 2017-07-11 Box, Inc. Corporate user discovery and identification of recommended collaborators in a cloud platform
US9665349B2 (en) 2012-10-05 2017-05-30 Box, Inc. System and method for generating embeddable widgets which enable access to a cloud-based collaboration platform
GB2507191B (en) 2012-10-17 2015-03-04 Box Inc Remote key management in a cloud-based environment
US9756022B2 (en) 2014-08-29 2017-09-05 Box, Inc. Enhanced remote key management for an enterprise in a cloud-based environment
US9754121B2 (en) * 2012-10-18 2017-09-05 Oracle International Corporation System and methods for live masking file system access control entries
US9544312B2 (en) 2012-10-30 2017-01-10 Citigroup Technology, Inc. Methods and systems for managing directory information
US9615346B2 (en) 2012-12-05 2017-04-04 Lg Electronics Inc. Method and apparatus for notifying information change in wireless communication system
US10235383B2 (en) 2012-12-19 2019-03-19 Box, Inc. Method and apparatus for synchronization of items with read-only permissions in a cloud-based environment
US9396245B2 (en) 2013-01-02 2016-07-19 Box, Inc. Race condition handling in a system which incrementally updates clients with events that occurred in a cloud-based collaboration platform
US9953036B2 (en) 2013-01-09 2018-04-24 Box, Inc. File system monitoring in a system which incrementally updates clients with events that occurred in a cloud-based collaboration platform
EP2755151A3 (en) 2013-01-11 2014-09-24 Box, Inc. Functionalities, features and user interface of a synchronization client to a cloud-based environment
EP2757491A1 (en) 2013-01-17 2014-07-23 Box, Inc. Conflict resolution, retry condition management, and handling of problem files for the synchronization client to a cloud-based platform
US9503478B2 (en) 2014-01-27 2016-11-22 Honeywell International Inc. Policy-based secure communication with automatic key management for industrial control and automation systems
US9432344B2 (en) * 2013-03-15 2016-08-30 Low Gravity Innovation, Inc. Secure storage and sharing of user objects
US9325739B1 (en) 2013-04-29 2016-04-26 Amazon Technologies, Inc. Dynamic security policy generation
US10846074B2 (en) 2013-05-10 2020-11-24 Box, Inc. Identification and handling of items to be ignored for synchronization with a cloud-based platform by a synchronization client
US10725968B2 (en) 2013-05-10 2020-07-28 Box, Inc. Top down delete or unsynchronization on delete of and depiction of item synchronization with a synchronization client to a cloud-based platform
US9467452B2 (en) 2013-05-13 2016-10-11 International Business Machines Corporation Transferring services in a networked environment
US20140343989A1 (en) * 2013-05-16 2014-11-20 Phantom Technologies, Inc. Implicitly linking access policies using group names
EP3681125A1 (en) * 2013-05-30 2020-07-15 Intel Corporation Adaptive authentication systems and methods
GB2515192B (en) 2013-06-13 2016-12-14 Box Inc Systems and methods for synchronization event building and/or collapsing by a synchronization component of a cloud-based platform
US9805050B2 (en) 2013-06-21 2017-10-31 Box, Inc. Maintaining and updating file system shadows on a local device by a synchronization client of a cloud-based platform
US9515832B2 (en) 2013-06-24 2016-12-06 Microsoft Technology Licensing, Llc Process authentication and resource permissions
US10229134B2 (en) 2013-06-25 2019-03-12 Box, Inc. Systems and methods for managing upgrades, migration of user data and improving performance of a cloud-based platform
US10110656B2 (en) 2013-06-25 2018-10-23 Box, Inc. Systems and methods for providing shell communication in a cloud-based platform
US9430665B2 (en) * 2013-07-22 2016-08-30 Siemens Aktiengesellschaft Dynamic authorization to features and data in JAVA-based enterprise applications
SG10201800751WA (en) * 2013-07-29 2018-03-28 Berkeley Information Tech Pty Ltd Systems and methodologies for managing document access permissions
US9535924B2 (en) 2013-07-30 2017-01-03 Box, Inc. Scalability improvement in a system which incrementally updates clients with events that occurred in a cloud-based collaboration platform
US9654351B2 (en) * 2013-08-22 2017-05-16 Red Hat, Inc. Granular permission assignment
GB2518298A (en) 2013-09-13 2015-03-18 Box Inc High-availability architecture for a cloud-based concurrent-access collaboration platform
US9535909B2 (en) 2013-09-13 2017-01-03 Box, Inc. Configurable event-based automation architecture for cloud-based collaboration platforms
US9213684B2 (en) 2013-09-13 2015-12-15 Box, Inc. System and method for rendering document in web browser or mobile device regardless of third-party plug-in software
US8892679B1 (en) 2013-09-13 2014-11-18 Box, Inc. Mobile device, methods and user interfaces thereof in a mobile device platform featuring multifunctional access and engagement in a collaborative environment provided by a cloud-based platform
US9704137B2 (en) 2013-09-13 2017-07-11 Box, Inc. Simultaneous editing/accessing of content by collaborator invitation through a web-based or mobile application to a cloud-based collaboration platform
CN104579726A (zh) * 2013-10-16 2015-04-29 航天信息股份有限公司 对用户的网络资源使用权限进行管理的方法和装置
US10866931B2 (en) 2013-10-22 2020-12-15 Box, Inc. Desktop application for accessing a cloud collaboration platform
US8875230B1 (en) * 2013-12-19 2014-10-28 Medidata Solutions, Inc. Controlling access to a software application
US9860252B2 (en) * 2014-03-25 2018-01-02 Open Text Sa Ulc System and method for maintenance of transitive closure of a graph and user authentication
US10530854B2 (en) 2014-05-30 2020-01-07 Box, Inc. Synchronization of permissioned content in cloud-based environments
US10516667B1 (en) * 2014-06-03 2019-12-24 Amazon Technologies, Inc. Hidden compartments
US10089476B1 (en) 2014-06-03 2018-10-02 Amazon Technologies, Inc. Compartments
US9602514B2 (en) 2014-06-16 2017-03-21 Box, Inc. Enterprise mobility management and verification of a managed application by a content provider
US10038731B2 (en) 2014-08-29 2018-07-31 Box, Inc. Managing flow-based interactions with cloud-based shared content
US9894119B2 (en) 2014-08-29 2018-02-13 Box, Inc. Configurable metadata-based automation and content classification architecture for cloud-based collaboration platforms
US10574442B2 (en) 2014-08-29 2020-02-25 Box, Inc. Enhanced remote key management for an enterprise in a cloud-based environment
EP2993606A1 (en) 2014-09-05 2016-03-09 Axiomatics AB Provisioning system-level permissions using attribute-based access control policies
JP6366457B2 (ja) * 2014-10-15 2018-08-01 株式会社日立製作所 情報共有装置、及び、情報共有方法
US9396343B2 (en) * 2014-10-20 2016-07-19 International Business Machines Corporation Policy access control lists attached to resources
US10122757B1 (en) * 2014-12-17 2018-11-06 Amazon Technologies, Inc. Self-learning access control policies
US10986131B1 (en) 2014-12-17 2021-04-20 Amazon Technologies, Inc. Access control policy warnings and suggestions
US10043030B1 (en) 2015-02-05 2018-08-07 Amazon Technologies, Inc. Large-scale authorization data collection and aggregation
EP3059690B1 (en) 2015-02-19 2019-03-27 Axiomatics AB Remote rule execution
CN114756520A (zh) * 2015-10-02 2022-07-15 谷歌有限责任公司 用于在计算系统中同步离线数据的方法和系统
US10038552B2 (en) 2015-11-30 2018-07-31 Honeywell International Inc. Embedded security architecture for process control systems
US20170177613A1 (en) * 2015-12-22 2017-06-22 Egnyte, Inc. Event-Based User State Synchronization in a Cloud Storage System
US9860690B2 (en) 2016-02-01 2018-01-02 International Business Machines Corporation Method, apparatus and product for determining presence-related roles
US10855462B2 (en) 2016-06-14 2020-12-01 Honeywell International Inc. Secure in-band upgrade using key revocation lists and certificate-less asymmetric tertiary key pairs
CN108092945B (zh) * 2016-11-22 2022-02-22 中兴通讯股份有限公司 访问权限的确定方法和装置、终端
US10587421B2 (en) 2017-01-12 2020-03-10 Honeywell International Inc. Techniques for genuine device assurance by establishing identity and trust using certificates
US10673863B2 (en) 2017-02-24 2020-06-02 International Business Machines Corporation Managing inter-object operations in a domain role-based access control (RBAC) system
US10749692B2 (en) 2017-05-05 2020-08-18 Honeywell International Inc. Automated certificate enrollment for devices in industrial control systems or other systems
US11709753B2 (en) 2017-10-09 2023-07-25 Box, Inc. Presenting collaboration activities
US11928083B2 (en) 2017-10-09 2024-03-12 Box, Inc. Determining collaboration recommendations from file path information
US11030223B2 (en) 2017-10-09 2021-06-08 Box, Inc. Collaboration activity summaries
US10693882B2 (en) * 2017-10-31 2020-06-23 Microsoft Technology Licensing, Llc Resource-based selection of identity provider
US11055310B2 (en) 2017-12-04 2021-07-06 Bank Of America Corporation SQL server integration services (SSIS) package analyzer
CN108681452A (zh) * 2018-05-09 2018-10-19 上海嘉银金融科技股份有限公司 一种多租户环境下租户和应用模型的初始化方法
US11163834B2 (en) 2018-08-28 2021-11-02 Box, Inc. Filtering collaboration activity
US10757208B2 (en) 2018-08-28 2020-08-25 Box, Inc. Curating collaboration activity
US11451554B2 (en) 2019-05-07 2022-09-20 Bank Of America Corporation Role discovery for identity and access management in a computing system
CN110378130B (zh) * 2019-06-18 2023-09-19 佛山市第一人民医院（中山大学附属佛山医院） 基于角色的麻精类药品处方访问控制方法及装置
US11582238B2 (en) * 2019-08-13 2023-02-14 Dell Products L.P. Securing a server from untrusted client applications
US11252159B2 (en) 2019-09-18 2022-02-15 International Business Machines Corporation Cognitive access control policy management in a multi-cluster container orchestration environment
US11599683B2 (en) 2019-11-18 2023-03-07 Microstrategy Incorporated Enforcing authorization policies for computing devices
CN112069541B (zh) * 2020-09-08 2024-05-07 北京百度网讯科技有限公司 权限管理、查询方法和装置
US11811771B2 (en) * 2020-11-19 2023-11-07 Tetrate.io NGAC graph evaluations
US11757887B2 (en) * 2021-06-15 2023-09-12 Atlassian Pty Ltd. Apparatuses, methods, and computer program products for centralized access permissions management of a plurality of application instances
US20230370466A1 (en) * 2022-05-13 2023-11-16 Microsoft Technology Licensing, Llc Virtual scopes for resource management
CN115022020B (zh) * 2022-05-31 2024-04-16 上海申石软件有限公司 一种基于多维集合计算的访问控制方法及系统
CN116186652B (zh) * 2022-12-22 2024-01-02 博上(山东)网络科技有限公司 一种权限管理方法、系统、设备及可读存储介质

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003280990A (ja) 2002-03-22 2003-10-03 Ricoh Co Ltd 文書処理装置及び文書を管理するためのコンピュータプログラム
JP2005038124A (ja) 2003-07-18 2005-02-10 Hitachi Information Systems Ltd ファイルアクセス制御方法及び制御システム

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0697662B1 (en) * 1994-08-15 2001-05-30 International Business Machines Corporation Method and system for advanced role-based access control in distributed and centralized computer systems
US6202066B1 (en) * 1997-11-19 2001-03-13 The United States Of America As Represented By The Secretary Of Commerce Implementation of role/group permission association using object access type
JPH11313102A (ja) 1998-02-27 1999-11-09 Fujitsu Ltd アクセス制御リスト生成方法及びその装置
US20020026592A1 (en) 2000-06-16 2002-02-28 Vdg, Inc. Method for automatic permission management in role-based access control systems
US6950825B2 (en) 2002-05-30 2005-09-27 International Business Machines Corporation Fine grained role-based access to system resources
US7546633B2 (en) 2002-10-25 2009-06-09 Microsoft Corporation Role-based authorization management framework
US7404203B2 (en) 2003-05-06 2008-07-22 Oracle International Corporation Distributed capability-based authorization architecture
US7647256B2 (en) * 2004-01-29 2010-01-12 Novell, Inc. Techniques for establishing and managing a distributed credential store
JP4706262B2 (ja) 2004-05-21 2011-06-22 日本電気株式会社 アクセス制御システム、アクセス制御方法およびアクセス制御用プログラム

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003280990A (ja) 2002-03-22 2003-10-03 Ricoh Co Ltd 文書処理装置及び文書を管理するためのコンピュータプログラム
JP2005038124A (ja) 2003-07-18 2005-02-10 Hitachi Information Systems Ltd ファイルアクセス制御方法及び制御システム

Also Published As

Publication number Publication date
BRPI0711700A2 (pt) 2011-11-29
EP2021935A1 (en) 2009-02-11
US8381306B2 (en) 2013-02-19
JP5356221B2 (ja) 2013-12-04
MX2008014856A (es) 2009-03-05
WO2007142849A1 (en) 2007-12-13
JP2009539183A (ja) 2009-11-12
EP2021935A4 (en) 2010-07-28
KR20090024124A (ko) 2009-03-06
US20070283443A1 (en) 2007-12-06
CA2649862C (en) 2015-03-31
CA2649862A1 (en) 2007-12-13

Similar Documents

Publication Publication Date Title
KR101432317B1 (ko) 자원 인가 정책으로의 역할 기반 접근 제어 정책의 변환
US8239954B2 (en) Access control based on program properties
RU2501082C2 (ru) Управление доступом к документам с использованием блокировок файла
US9654509B2 (en) Method and apparatus for providing distributed policy management
US9047462B2 (en) Computer account management system and realizing method thereof
JP4769304B2 (ja) オペレーティングシステム非依存型データ管理
US8572760B2 (en) Systems and methods for secure agent information
JP4892179B2 (ja) データ項目のためのゾーンベースのセキュリティ管理
US8990900B2 (en) Authorization control
US20070039045A1 (en) Dual layered access control list
Pan et al. Semantic access control for information interoperation
US20090205018A1 (en) Method and system for the specification and enforcement of arbitrary attribute-based access control policies
US20120131646A1 (en) Role-based access control limited by application and hostname
CN102299914A (zh) 用于启用网络层声明的访问控制的可信中介
JP2004533046A (ja) プラグ対応認可システムに対するサーバサポート方法およびシステム
US20030041154A1 (en) System and method for controlling UNIX group access using LDAP
JP4342242B2 (ja) セキュアファイル共有方法および装置
Bandopadhyay et al. DataPAL: data protection and authorization lifecycle framework
US20100043049A1 (en) Identity and policy enabled collaboration
Zhang et al. Access Control
Gritzalis A policy-ruled Knowledge Dissemination Architecture for supporting Multi-Domain Secure Interoperation
Mari et al. A Content-Based Information Sharing Multi-Agent System
Bouwman Secure Management of Electronic Health Records

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E90F Notification of reason for final refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20170719

Year of fee payment: 4

FPAY Annual fee payment

Payment date: 20180718

Year of fee payment: 5

FPAY Annual fee payment

Payment date: 20190718

Year of fee payment: 6