MXPA04007143A - Administracion delegada de un recurso hospedado. - Google Patents

Abstract

Se describen sistemas y metodos para delegar el acceso a los recursos hospedados en un ambiente de computacion distribuido. En un aspecto, un servidor hospeda un grupo de recursos, El servidor recibe la solicitud de un usuario para llevar a cabo una operacion con respecto a uno de los recursos hospedados. En respuesta a la recepcion de la solicitud, el servidor determina si el usuario ya tiene autoridad delegada para llevar a cabo la operacion. La autoridad delegada es independiente de si el usuario es un miembro de un grupo de administradores asociados con cualquier recurso del servidor.

Description

ADMINISTRACIÓN DELEGADA DE UN RECURSO HOSPEDADO REFERENCIA CRUZADA CON SOLICITUDES RELACIONADAS Esta solicitud está relacionada con la Solicitud de Patente de Estados Unidos No. de Serie 10/281,083, titulada "ROLE-BASED AUTHORIZATION MANAGEMENT F RAM EWO R K" ("Estructura de manejo de autorización con base en el rol"), presentada el 26 de octubre de 2002, cedida conjuntamente al cesionario de la misma e incorporada aquí como referencia.

CAMPO DE LA INVENCIÓN La invención pertenece a la administración de recursos hospedados del proveedor de servicio de red.

ANTECEDENTES DE LA INVENCIÓN Los sitios de administración de red pueden ser consumidores de tiempo y costosos, especialmente para entidades que manejan grandes instalaciones del proveedor de servidor de Internet (ISP). Con el fin de ahorrar tiempo y dinero, muchas ISP dan soporte solamente a grandes sitios de la red para compañías, con el expense de sitios de la red personales. Una razón para esto es que la seguridad de la computadora se ha vuelto muy importante no solamente para los negocios y otras organizaciones, sino también para las personas. Para alcanzar las necesidades de seguridad, las estrategias de seguridad del sitio de la red y de la computadora se deben seleccionar y reforzar para cada escenario administrativo. Tal selección y puesta en vigor son una gran labor, consume mucho tiempo y es costosa para dar soporte a los sitios personales en la red .

BREVE DESCRIPCIÓN DE LA INVENCIÓN Se describen sistemas y métodos para delegar el acceso a los recursos hospedados en un ambiente de computación distribuido. En un aspecto, un servidor hospeda un grupo de recursos. El servidor recibe una solicitud del usuario para llevar a cabo una operación con respecto a uno de los recursos hospedados. En respuesta a la recepción de la solicitud, el servidor determina si el usuario ya ha delegado la autorización para llevar a cabo la operación. La autoridad delegada es independiente de si el usuario es miembro de un grupo de administradores asociados con cualquier recurso del servidor.

BREVE DESCRIPCIÓN DE LOS DIBUJOS En las Figuras, el dígito del lado izquierdo de un número de referencia del componente identifica una figura particular en donde el componente aparece primero. La Figura 1 muestra un ambiente de computación ejemplificativo dentro del cual se pueden implementar los sistemas y métodos para delegar la administración de un recurso hospedado.

La Figura 2 muestra otros aspectos ejemplificativos de la memoria del sistema de la Figura 1 , incluyendo programa de aplicación y datos de programa para delegar la administración de un recurso hospedado. La Figura 3 muestra un procedimiento ejemplificativo para delegar la administración de un recurso hospedado.

DESCRIPCIÓN DETALLADA DE LA INVENCIÓN Análisis Se describen sistemas y métodos confiables, escalables, manejables y seguros para delegar e implementar una administración remota de los sitios de red. En particular, un administrador servidor de computadora del Proveedor del Servicio Internet (ISP) utiliza la siguiente estructura descrita de Administración de Delegación de Servicios de Información Internet (US) para delegar las tareas de administración específicas del sitio de red para usuarios autorizados, para su ejecución. Tal usuario autorizado puede incluir, por ejemplo, un usuario que sea propietario de un sitio personal de red hospedado por un ISP. La autorización del usuario se determina en vista del permiso de acceso con base en el rol específico para llevar a cabo operaciones de aplicación específicas asociadas con el sitio de red hospedado. Esta estructura US DA elimina las tendencias existentes que involucran la seguridad de la computadora, en donde los sitios de la red personales no tienen soporte debido a la poca eficiencia en costo y tiempo, como se describe antes. Una razón de esto se debe a que no se requiere la intervención de un administrador (es decir, para asegurar la seguridad de la computadora y el acceso autorizado) cada vez que se modifica o prueba un sitio de la red personal hospedado. Tales modificaciones pueden incluir, por ejemplo, cambio en el contenido/funcionalidad del sitio de la red, tal como el despliegue de una nueva aplicación en el sitio de la red, etc.

Estos y otros aspectos de los sistemas y métodos para delegar la administración del sitio de la red se describen ahora con más detalle.

Ambiente operativo eiemplif ¡cativo Con referencia a los dibujos, en donde los números de referencia iguales se refieren a elementos iguales, la invención se ¡lustra implementada en un ambiente de computación apropiado. Aunque no se requiere, la invención se describe dentro del contexto general de instrucciones ejecutables por computadora, como módulos de programa, a ser ejecutados por una computadora personal. Por lo general, los módulos de programa incluyen rutinas, programas, objetos, componentes, estructuras de datos, etc., que llevan a cabo tareas particulares o implementan tipos de datos abstractos particulares. La Figura 1 ¡lustra un ejemplo de un ambiente 120 de sistema de computación en donde se pueden implementar los sistemas, aparatos y métodos para delegar la administración de un recurso hospedado de la invención. El ambiente 120 del sistema de computación ejemplificativo es solamente un ejemplo de un ambiente de computación y no se tiene la intención de sugerir cualquier limitación al alcance de uso o funcionalidad de los sistemas y métodos aquí descritos. Ninguno del ambiente 120 de computación se debe interpretar como dependiente o como un requerimiento relacionado con uno o una combinación de componentes ilustrados en el ambiente 120 de computación. Los métodos y sistemas aquí descritos pueden operar con una gran variedad de ambientes o configuraciones del sistema de computación de propósitos especiales o generales. Los ejemplos de sistemas, ambientes y/o configuraciones de computación bien conocidos incluyen en forma enunciativa mas no limitativa, dispositivos de computación de forma pequeña (por ejemplo, manuales, móviles, etc.), dispositivos de computación (por ejemplo, teléfonos móviles, asistentes digitales personales, -PDA-, etc.), sistemas multiprocesadores, minicomputadoras, computadoras de estructura principal, y/o demás. La invención también se puede practicar en ambientes de computación distribuida en donde las tareas se llevan a cabo por dispositivos de procesamiento remoto que están enlazados a través de una red de comunicaciones. En un ambiente de computación distribuido, los módulos de programa se pueden ubicar en dispositivos de almacenamiento de memoria remota o local. Como se muestra en la Figura 1 , un ambiente 120 de computación incluye un dispositivo de computación de propósitos generales en forma de una computadora 130. Los componentes de la computadora 130 pueden incluir uno o más procesadores o unidades 132 de procesamiento, una memoria 134 del sistema y una barra colectora 136 que acopla varios componentes del sistema que incluye la memoria 134 del sistema con los procesadores 132. La barra colectora 136 representa una o más de varios tipos de estructuras de barra colectora, incluyendo una barra colectora de memoria o un controlador de memoria, una barra colectora periférica, un puerto acelerado de gráficos, y un procesador o barra colectora local que utilizan una variedad de arquitecturas de barra colectora. A manera de ejemplo, y sin limitar, tales arquitecturas incluyen la Arquitectura de Norma Industrial (ISA), la barra colectora de Arquitectura de Micro Canal (MCA), la barra colectora ISA mejorada (EISA), barra colectora local de Asociación de Normas de Electrónicos de Video (VESA), y la barra colectora de Interconexión de Componente Periférico (PCI) también conocida como barra colectora Mezzanine. La computadora 130 típicamente incluye una variedad de medios legibles por computadora. El medio puede ser cualquier medio al que se tenga acceso a través de la computadora 130, e incluye un medio volátil o no volátil, medios retirables o no retirables. La memoria 134 del sistema incluye un medio de legible por computadora en forma de una memoria volátil, tal como una memoria de acceso aleatorio (RAM) 138 y/o una memoria no volátil, como una memoria de solamente lectura (ROM) 140 Un sistema básico de entrada/salida (BIOS), que contiene las rutinas básicas que ayudan a la transferencia de información entre los elementos dentro de la computadora 130, como durante el inicio, típicamente se almacena en la ROM 140. Típicamente, la RAM 138 contiene datos y/o módulos de programa que tienen acceso inmediato y/o se operan por la unidad 132 de procesamiento. La computadora 130 también puede incluir otro medio de almacenamiento retirable/no retirable, volátil/no volátil de la computadora. Por ejemplo, una unidad 144 de disco duro que lee o escribe en el medio magnético no volátil, no retirable (no mostrado), una unidad 146 de disco magnético que lee o escribe en un disco 148 magnético retirable, no volátil (por ejemplo, un disco flexible) y una unidad 150 de disco óptico que lee o escribe en un disco 152 óptico retirable, no volátil, tal como CD-ROMJR/RW, DVD-ROM/R/RW/ + R/RAM u otro medio óptico. La unidad 144 de disco duro y la unidad 146 de disco magnético y la unidad 150 de disco óptico típicamente se conectan con la barra colectora 136 mediante una o más interfases 154. Las unidades y sus medios legibles por computadora asociados, proporcionan el almacenamiento no volátil de las instrucciones ejecutables por computadora, estructuras de datos, módulos de programa y otros datos para la computadora 130. Aunque el ambiente ejemplificativo descrito aquí emplea un disco duro, un disco 148 magnético retirable y un disco 152 óptico retirable, las personas experimentadas en la técnica podrán apreciar que se pueden utilizar otros tipos de medios legibles por computadora que puedan almacenar datos que tengan acceso por una computadora, tales cartuchos magnéticos, tarjetas de memoria flash, discos de video digital, memorias de acceso aleatoria (RAM), y memorias de solamente lectura (ROM), y sus semejantes, dentro del ambiente operativo ejemplificativo. Se puede almacenar una gran variedad de módulos de programa en el disco duro, en el disco 148 magnético, el disco 152 óptico, la TOM 140 o la RAM 138, incluyendo por ejemplo, un sistema 158 operativo, uno o más programas 160 de aplicación, otros módulos 162 de programa y datos 164 del programa. Un usuario, tal como un administrador de sitio de la red ISP puede introducir instrucciones e información dentro de la computadora 130 a través de los dispositivos de entrada como un teclado 166 y un dispositivo puntero 182 (por ejemplo, un mouse). Otros dispositivos de entrada (no mostrados) pueden incluir un micrófono, una palanca de juegos, un cojín de juegos, un plato satelital, un escáner, una cámara digital, etc. Estos y otros dispositivos de entrada se conectan con la unidad 132 de procesamiento a través de la interfaz 170 de entrada del usuario que se acopla con la barra colectora 136, pero se pueden conectar mediante otra interfaz y estructuras de barra colectora, como un puerto paralelo, un puerto de juegos, o una barra colectora universal en serie (USB).

Un monitor 172 u otro tipo de dispositivo de despliegue se conecta con la barra colectora 136 a través de una interfaz, como un adaptador 174 de video. El monitor se puede utilizar, por ejemplo, para presentar una interfaz del usuario (Ul) asociada con los sistemas y métodos descritos para delegar la administración de un sitio de la red, por ejemplo, al definir las políticas de aplicación de acceso y otras reglas como se describe más adelante. Además del monitor 172, las computadoras personales temperatura incluyen otros dispositivos periféricos de salida (no mostrados) como la impresora y bocinas, que se pueden conectar a través de una interfaz 175 periférica de salida. La computadora 130 puede operar en un ambiente de red con el uso de conexiones lógicas a una o más computadoras remotas, como una computadora 182 remota. La computadora 182 remota puede incluir algunos o todos los elementos y características antes descritos con relación a la computadora 130. Las conexiones lógicas incluyen, por ejemplo, una red de área local (LAN) 177 y una red de área amplia (WAN) 179. Tales ambientes de red son comunes en las oficinas, redes de computadora de un corporativo, intranets y la Internet. Cuando se utiliza en un ambiente de red de área local, la computadora 130 se conecta con la LAN 177 a través de una interfaz o adaptador 186 de red. Cuando se utiliza en un ambiente de red de área amplia WAN, la computadora 130 personal típicamente incluye un módem 178 u otro medio para establecer las comunicaciones sobre la WAN 179. El módem 178 que puede ser interno o externo, puede conectarse con la barra colectora 136 del sistema a través de una interfaz 170 de entrada del usuario u otro mecanismo apropiado. En la Figura 1 se ilustra una implementación específica de una WAN a través de la Internet. Aquí, la computadora 130 emplea un módem 178 para establecer las comunicaciones con por lo menos una computadora 182 remota a través de la Internet 180. EN un ambiente de red, los módulos de programa ilustrados con relación a la computadora 130 o porciones de los mismos, se pueden almacenar en un dispositivo de almacenamiento remoto. De este modo, por ejemplo, como se ilustra en la Figura 1, los programas 180 de aplicación remota pueden residir en un dispositivo de memoria de la computadora 182 remota. Las conexiones de red mostradas y descritas son ejemplificativas. De esta manera, se pueden utilizar otros medios para establecer el enlace de comunicaciones entre los dispositivos de computación.

Programas y datos de aplicación específica La Figura 2 es un diagrama en bloque que muestra otros aspectos ejemplificativos de la memoria 134 del sistema de la Figura 1, en donde se incluyen los programas 160 de aplicación y los datos 164 de programa para delegar la administración de un recurso hospedado. En esta implementación, los programas 160 de aplicación incluyen, por ejemplo, el módulo 202 de autorización, el módulo 204 de delegación, el módulo 206 de administración del sitio de la red del cliente remoto (RCWA) (es decir, la "aplicación de solicitud"), el módulo 208 de ejecución, y los procesos 210 autorizados. Para propósitos de descripción, estos programas de aplicación junto con otras características seleccionadas del sistema 100 de la Figura 1, serán llamados de aquí en adelante como "estructura de administración delegada de servicios de información Internet (US)" o "estructura de funcionamiento". El manejador 202 de autorización proporciona el soporte de seguridad para delegar la administración de un recurso hospedado de nodos metabase IIS (es decir, nodos de la metabase 212 IIS). La metabase 212 IIS identifica nodos para aplicaciones, recursos u objetos hospedados, desplegados y/o manejados por la computadora 130 de la Figura 1. Más en particular, la metabase es un almacenamiento jerárquico de la información y esquemas de configuración que se utiliza para configurar la IIS. En los sistemas existentes, solamente los usuarios que son miembros del grupo de administradores pueden visualizar o modificar un recurso representado por el nodo metabase. Al contrario de estos sistemas, la estructura funcional IIS DA que será ahora descrita, permite a los usuarios que no pertenezcan al grupo de administradores (por ejemplo, administradores de aplicación) como los dueños del sitio de la red visualizar y/o modificar porciones específicas de la metabase 212 IIS. Para propósitos de descripción, un "usuario" es una persona que no está asociada con el grupo de administradores, aunque el usuario puede pertenecer al grupo de administradores.

Hasta este punto, el módulo 202 administrador de autorización, mediante la interacción selectiva con el módulo 204 de administración de delegación, permite a una entidad administrativa (es decir, un miembro del grupo de administradores) especificar (por ejemplo, a través de una Ul desplegada en el dispositivo 172 de despliegue en la Figura 1), permisos de acceso al usuario a los nodos de la metabase 212 US. El módulo 202 administrador de autorización escribe tales permisos de acceso para el usuario (es decir, políticas/reglas) en el almacenamiento 214 de políticas de autorización. En una implementacion, tales permisos de acceso están representados por ejemplo, en un lenguaje de marca extendido (XML), directorio activo, lenguaje de solicitud de software (SQL) u otro formato de datos. Una aplicación solicita al APS 214 (a través del API 216 expuesto por el administrador 202 de aplicación) confirmar que un cliente está autorizado para llevar a cabo la operación solicitada en un recurso. El administrador de autorización proporciona API para las políticas de autorización de administración y validar el control de acceso y la interfaz del usuario para los administradores, de modo que puedan manejar su almacenamiento de políticas de autorización.

Definición de aplicación Una aplicación como se especifica por el almacenamiento 214 de políticas de autorización (APS) es un nodo de nivel superior del almacenamiento 214 de política de autorización. Una aplicación especifica las operaciones o tareas que la aplicación puede llevar a cabo y las declara en la APS 214, por ejemplo, cuando la aplicación está instalada. Una especificación de aplicación incluye roles específicos de aplicación identificada por el administrador en términos de la tarea y operaciones que son necesarias para llevar a cabo un trabajo (por ejemplo, en una organización). Las definiciones de roles, tareas y operaciones (métodos) y alcances se almacenan en el APS 214. Un rol es una autorización o rol de configuración de recurso (por ejemplo, un permiso de la organización en algún grupo de recursos). Un rol de autorización se basa en la función del trabajo del usuario. Un rol de configuración de recurso se basa en la función de la computadora. Una tarea es una colección de operaciones de bajo nivel. El propósito de la tarea es determinar las operaciones de bajo nivel que realizan una unidad de trabajo que es importante para los administradores. Un ejemplo de tarea podría ser un cambio de contraseña. Las tareas también pueden contener otras tareas. Por ejemplo, una tarea llamada cuentas de manejo del usuario puede incluir las tareas de cambio de contraseña, ajuste de contraseña, desactivación de cuenta y demás. Una operación es un permiso de bajo nivel que el administrador del recurso utiliza para identificar los procedimientos de seguridad. Se pueden utilizar algunas operaciones para llevar a cabo una tarea importante. (Con frecuencia, las operaciones no son expuestas o importantes para los administradores). Un ejemplo de una operación puede ser EscribirAtributos o LeerAtributos. El alcance es una colección de uno o más recursos físicos o lógicos (por ejemplo, una carpeta y/o archivos) asociados con una política de autorización respectiva. Una aplicación puede utilizar el alcance para agrupar recursos, para copiar un recurso solicitado por el usuario en el alcance (por ejemplo, cuando una aplicación revisa el acceso del usuario) y demás. En esta implementación, el administrador 202 de autorización permite la especificación de cero (0) o más grupos y sus roles correspondiente para cada miembro específico del grupo. Un grupo corresponde al rol del usuario, y un administrador de aplicación especifica los permisos que son necesarios por el rol al otorgar el permiso de grupo en una ACL para un objeto (por ejemplo, aplicación, recurso, etc.). La Tabla 1 muestra una definición de aplicación ejemplificativa del APS 214, que en esta implementación, es un formato de datos XML. TABLA 1 ESPECIFICACIÓN DE APLICACIÓN ESPECÍFICA <Az Adm i n Administrador VersiónPrincipal = "1"VersiónMenor="0"> <AzAplicación Guíd = "d9089f 17-5fa6-4ae9-bddf-8ca6cd 1 c06fb Nombre= "SitioAdminApp"> <AzGrupo Aplicación Guid = "bf9d00f0-2be3-4367-a931-680038b51d0a" Nombre = "GrupoMetabaseCambioOmisiónDoc> <Miembro>S-1-5-21-313123^Z2_3-616JL3LÍ}2-7JU9-37?^-2J 1032</Miembro> </AzAplicaciónGrupo> </AzAPIicac¡ón> </AzAdminAdministrador> Cada aplicación incluye muchos atributos como un identif icador único esencialmente global (un "GUID", por ejemplo, d9089f 17-5fa6-4ae9-bddf-8ca6cd1 c06fb), un nombre (por ejemplo, SitioAdministraciónAplicación) y demás. Los atributos de aplicación se utilizan, por ejemplo, para identificar a los particulares de las aplicaciones específicas en el almacenamiento 214 de políticas de autorización. En el ejemplo de la Tabla 1, la aplicación incluye un grupo (por ejemplo, consultar el par de etiqueta "AzAplícaciónGrupo) para especificar uno o más usuarios asignados a uno o más "roles" con respecto a la aplicación. Un rol es un grupo de permisos asignados al usuario para permitirle llevar a cabo un grupo de tareas. Cada grupo de aplicación incluye un atributo GUID (por ejemplo, valor bf9d00f0-2be3-4367-a931 -680038b51 dOa) y un atributo de nombre (por ejemplo, GrupoMetabaseCambioOmisiónDoc). Este grupo ejemplificativo ilustra un único miembro identificado por SID: S-1 -5-21 -3131233723-616130271-937215924-1032. Para el propósi9to de este ejemplo, supongamos que esta es la SID asociada con un usuario, "usuario 1". En esta implementación, un rol se aplica a un grupo de objetos asociados y entonces el grupo de usuarios se asigna al rol.

Definición de alcances y roles La aplicación de la tabla 1 incluye un grupo de aplicación (aunque se puede definir cualquier número de grupos) con un alcance. El alcance es la colección de uno o más recursos físicos o lógicos (por ejemplo, una carpeta y/o archivos) asociados con una política de autorización respectiva. Una aplicación puede utilizar el alcance para agrupar recursos, para copiar un recurso solicitado por el usuario en el alcance (por ejemplo, cuando una aplicación verifica el acceso del usuario) y demás. Lo siguiente es una sintaxis ejemplif ¡cativa para definir un alcance: <AzAlcance Guid = "ce010982-6b6g-4e93-804e-d04bf 1 ddff 78" Nombre = "Sitio Acceso para "Usuario 1"/>. Cada alcance tiene un identificador único (por ejemplo, Ce010982-6b6g-4e93-804e-d04bf1ddff78) y el nombre (por ejemplo, Acceso Sitio para "Usuario 1") que se pueden utilizar con una interfaz de programan de aplicación (API) para tener acceso al alcance. Para propósitos de descripción, el alcance ilustrado tiene una ID de sitio metabase de "w3svc/1". En una implementación, el módulo 202 administrador de autorización se utiliza como un almacenamiento de política de seguridad al especificar uno o más roles en un nivel de alcance (es decir, dentro de un alcance). Por ejemplo, un rol particular se puede especificar para cambiar el acceso de seguridad a un sitio respectivo, se puede generar otro rol para indicar un nuevo nodo, tal como (por ejemplo, "WebDirs") bajo el sitio. Un rol ejemplificativo dentro del alcance se ilustra para cambiar una lista de documentos por omisión para un sitio: "<AzRol Guid = "3ac117fd-7f 12-4287-a7ff-982770d6ce49" Nombre = "cambiopor omisiónDoc/>" . El rol tiene un identif icador único asignado en el momento de su creación (por ejemplo, 3ac117fd-7f 12-4287-a7ff-982770d6ce49" y un nombre por ejemplo, Cam bioporo m ¡siónDoc (el nombre también se puede especificar para que sea importante). La Tabla 2 muestra un ejemplo de un rol definido dentro de un alcance. TABLA 2 EJEMPLO DE UN ROL DEFINIDO DENTRO DE UN ALCANCE "<AzAlcanceGuid = "ce010982-6 b6f-4e 93-804e-d04bf 1 ddff78"Nombre = "SitioAcceso para "Usuario 1"" > "<AzRol Guid = "3ac117fd-7f 12-4287-a7ff-982770d6ce49" Nombre = "cambioporomisiónDoc>". "</AzRol> </AzAlcance> Un rol se define cuando por lo menos una tarea (1) ha sido especificada con respecto a un grupo de aplicación que tiene acceso a un alcance al cual pertenece el rol. Una tarea es una o más operaciones de bajo nivel para llevar a cabo una unidad de trabajo para un administrador. Por ejemplo, una tarea puede ser "cambiar contraseña". Una tarea puede abarcar una o más tareas. Por ejemplo, una tarea llamada "manejar cuentas del usuario" puede incluir tareas como "cambiar contraseña", "ajustar contraseña", -d-es-a-ct i vaT-cue-n†a~"~~y~d e nrás ta ~ ""crb†a ~"3 mTre~s ra" ü n ej emplome una definición de rol.

TABLA 3 DEFINICIÓN DE ROL EJEMPLIFICATIVA "<AzRol Gu¡d = "3ac117fd-7f12-4287-a7ff-982770d6ce49" Nombre = "cambioporomis¡ónDoc>". <AppMiembroEnlace>bf9d00f0-2be3-4367-a93-680038b51d0a <App iembroEnlace> <TareaEnlace>195d1ae4-3f63-4263-be00-76cb7c515b8a</TareaEnlace> </AzRol> E! ro! mostrado en !a Tabla 3 incluye un atributo AplicaciónMiembroEnlace que hace referencia a un grupo de aplicación con base en su identificador único, en este ejemplo: bf9d00f0-2be3-4367-a93-680038b51 dOa. La Tabla 4 muestra un alcance con un rol relacionado. TABLA 4 UN EJEMPLO DE ALCANCE CON ROL <AzAlcanceGuid = "ce010982-6 6f-4e93-804e-d04bf1ddff78"Nombre = "SitioAcceso para "Usuario 1"" > "<AzRol Guid="3ac117fd-7f 12-4287-a7ff-982770d6ce49" Nombre = "CambioSeguridadAjustes">. <AppMiembroEnlace> bf9d00f0-2be3-4367-a93-680038b51d0a </AppMiembroEnlace> <TareaEnlace>195 d 1 ae4-3f63-4263- eO0- 76cb7c515b8a</TareaEnlace> </AzRol> </AzAlcance> Definición de Tareas y Reglas de negocios Un rol puede definir una o más tareas. Una tarea consiste de una o más "operaciones" de bajo nivel, las cuales el usuario tiene permiso de llevar a cabo, junto con una regla de negocios, Una operación es un permiso de bajo nivel que identifica los niveles de seguridad asociados con una tarea. Algunas operaciones pueden comprender una tarea importante. Los ejemplos de operaciones incluyen: "EscribirAtributos" y "LeerAtributos". El siguiente ejemplo de la Tabla 5 ilustra una tarea que permite al usuario cambiar una propiedad (por ejemplo, una propiedad de "OmisiónDoc") para un sitio de la red. La tarea contiene dos operaciones: una es ajustar el valor de esta propiedad y otra es obtener el valor de esta propiedad.

TABLA 5 UNA TAREA EJE PLIFICATIVA <AzO pe ración Guid="f6844d4e-c0d7-4d17-a9fa-da6fc328a1 a5" Nombre = "AjustarOmisiónDoc"> <OperaciónlD>1</OperaciónlD> <^Aí e-r-ae-tó-it-<AzOperación Guid=234534-g0f8-5k83-k9df-fd5cv546g5b0" Nombre = "ObtenerOtnisiónDoc"> <0 pe raci ón I D>2</0 pe ración ID> </AzOperación> En el ejemplo de la Tabla 5, se asigna un identif icador y un nombre a una operación, como es el caso con las definiciones de los atributos previos. Una de las características más importantes de una operación es el atributo OperaciónID. Una tarea se puede referir a una o más operaciones a través de la OperaciónID. La Tabla 6 ilustra la forma de definir una tarea ejemplificativa. TABLA 6 EJEMPLO DE DEFINICIÓN DE TAREA <AzTarea Guid = "195d1ae4-3f63-4263-be00-76cb7c515b8a" Nomb re = " Omisión AjustesDoc"> <BizReglaLenguaje>JGuión</BizReglaLenguaje> <BizRegla> var param=AZBizReglaContexto.ObtenerParámetro("OmisiónDoc"); Cuando (param ¡ = = "índ¡ce.htm") AZBizReglaContexto.BizReglaResultado=falso;otro AZBizReglaContexto.BizReglaResultado = verdadero; </BizRegla> <OperaciónEnlace>f6844d4e-c0d7-4d17-a9fa-tirsr6lc 2~8ia1 a5<AOperaciónbniace> <OperaciónEnlace>234534-g0f8-5k82-k9df-fd5cv546g5bO</OperaciónEnlace> </AzTarea> El ejemplo de la Tabla 6 muestra dos operaciones que son referenciadas por una tarea. Esto es para ilustrar la forma en que se puede definir un archivo de políticas. Es posible tener una tarea que se refiera a múltiples operaciones. Sin embargo, en una implementación, para asegurar los trabajos de la estructura funcional de Administración delegada US como se esperan, dentro del archivo de políticas utilizado con la herramienta, la tarea solamente hace referencia a una operación. En tal implementación, cuando una operación es referenciada por una tarea dentro de un rol, la operación no es referenciada por una tarea diferente dentro del mismo rol. Sin embargo, se debe observar que la operación puede ser referenciada por una tarea que está dentro de otro rol. Para mayor información acerca de la sintaxis ejemplificativa del almacenamiento de políticas de autorización, consultar la Tabla 11, más adelante. Una tarea es definida por una o más operaciones (por ejemplo, dos operaciones definidas en la Tabla 6) identificadas por sus ID únicas, y una regla de negocios o una BizRegla. Una regla de negocios también es llamada un guión de autorización escrito en un lenguaje de escritura como JScript o VBScript. En esta implementación, los guiones que se adjuntan a un objeto de tarea que se corren cuando se solicita una API de AccesoVerif icación para verificar que el usuario pueda ejecutar un método determinado. En esta implementación, el API de AccesoVerif icación se implementa por una API de Seguridad de Objeto Privado (POS) de un sistema 158 operativo (Figura 1). La API POS busca los miembros del grupo de usuario en una categoría y los compara con el contenido de la lista de control de acceso (ACL) para determinar si el usuario ha solicitado el acceso. Los guiones pueden utilizar la información que está disponible en el tiempo de ejecución, tal como "tiempo de día" o "monto de dinero solicitado" para hacer una decisión de autenticación . En el ejemplo de la Tabla 6, una regla de negocios JScript impone restricciones sobre las acciones que es usuario puede llevar a cabo. Supongamos que el usuario intenta llevar a cabo una operación con Operaciónl D= 1 como parte de la tarea. El guión puede invalidar el valor del parámetro OmisiónDoc, que el usuario ha pasado al método. En este ejemplo, el guión no permite al usuario establecer el valor de esta propiedad en una cadena que es diferente de "indice.htm". AzBizReglaContenido es un objeto para el cual el guión BizRegla tiene acceso. Su propiedad BizReglaContexto se utiliza para determinar si el usuario es permitido para llevar a cabo la operación . Delegar a un usuario con el acceso a un recurso hospedado Para compliancy con el administrador 202 de autorización, el módulo 204 de administración delgada (DA) utiliza un grupo de valores de entrada cuando realiza una interfaz con el administrador 202 de autorización y otro grupo de valores que son parámetros para la operación que el usuario desea llevar a cabo con respecto a un recurso hospedado (por ejemplo, un sitio de la red) a través de una aplicación de solicitud (por ejemplo, una aplicación 208 de administración del sitio de la red del cliente remoto). Por ejemplo, en la Tabla 6 posterior, para la operación de AjustarOmisiónDoc. , el DA 204 utiliza como entrada el nombre del alcance, el nombre del método y operación y un valor que es el valor del parámetro OmisiónDoc para la BizRegla anterior. El DA 204 utiliza un archivo 218 de configuración para determinar el almacenamiento 214 de políticas de autorización que contiene el alcance de entrada y para copiar la operación o método de entrada con una OperaciónID. En esta implementación, el archivo 218 de configuración es un archivo XML que especifica/define cada método asignado para un determinado grupo de usuarios y copia el método con el identif icador (ID) de operación correspondiente en el almacenamiento 214 de aplicaciones de autorización. El archivo 218 de configuración también incluye parámetros del método, copias del alcance, formato de datos del archivo de registro, y plantillas en línea de comandos. Cuando se copia el nombre del alcance, el DA 204 obtiene del archivo 218 de configuración, el trayecto del almacenamiento 214 de políticas de autorización en donde se ubica el alcance, y el nombre de la aplicación en el almacenamiento de aplicación de autorización bajo el cual se define el alcance.

Después de que el DA 204 analiza el archivo de configuración para tal información, el DA 204 inicia el administrador 202 de autorización con el uso del trayecto de almacenamiento, abre la aplicación deseada y obtiene el contexto del cliente que será utilizado para determinar si el usuario tiene acceso a la función/recurso solicitado. Ejemplo de formato de archivo de configuración La estructura funcional de la administración delegada US utiliza una entrada de registro del tipo "Cadena" para almacenar el trayecto completo del archivo 218 de configuración (por ejemplo, HKLM/Software/Entidad/AdminDelllS/TycCopiadoAdminDeleg (REG_SZ)). Tal cadena se almacene en el registro 220. La Tabla 7 muestra un archivo 218 de configuración ejemplif ¡cativo. TABLA 7 EJEMPLO DE UN ARCHIVO DE CONFIGURACIÓ DE ADMINISTRACIÓN DELEGADA <?xmlversión = "1.0"codificación = "utf'8"?> <IISDelegadaAdminCopiados> <l ISDAMétodos> <IISDAMétodoNombrePúblico = ""AZAIm aceña rl D = ""EjeTray = ""Comand oLínea = ""EsperarTiempoAgotado> ProcesoTipo = ""Separador=""Descripción = ""/> <ParámetroNom re = ""MetabasePropiedad = ""Descripción = ""/> <ln.taj.ta zUo m b.r_e = " " Ftiqueta = " " P r.o-g-LD = " "l> </IISDAMétodo> <IISDAMétodos> <l ISDAAIcances> <IISDAAIcanceNombrePúblico = " "AZNombre = ""Metabase odo = "" AZAImacénTrayecto = " " AZAApl¡cac¡ónNombre = ""GenerarAuditorías = ""AuditoríaNo mbre = "'7> </IISDAAIcances> <IISDARegistroTrayecto = ""> <CampoNom re = ""/> </IISDARegistro> <IISDACndLíneaClaves> -I IOri A ^ nJI ;„„„/"^ l„,,~~M,~m .-~ — "" At-; ..i~—""M,. ,J„ — ""/. M UJun iiuLiiicavjiavcaiiuinuic- mi IUUIU- IMUUVJ— </IISDAComandoLíneaClaves> </IISDelegadaAdm¡nCopiados> En esta ¡mplementación ejemplificativa, el archivo 218 de configuración incluye las siguientes entradas: una entrada para cada método que será permitido para un usuario; una entrada para cada alcance utilizado en un almacenamiento que contiene una tarea que hacer referencia al método existente en el archivo 218 de configuración. Cada entrada de alcance corresponde a un usuario que tiene el alcance en un almacenamiento de aplicación de autorización. Además, una entrada define el formato de datos de archivo de registro por omisión y/o deseado.

Método y Sintaxis de Parámetro La Tabla 8 muestra una plantilla ejemplificativa para definir un método dentro del nodo MSDAMétodo del archivo 218 de configuración. TABLA 8 EJEMPLO DE UNA DEFINICIÓN DE TAREA <IISDAMétodoNom rePúblico = " "AZAImacenarlD = " "EjecutarTrayecto = " "ComandoLínea = " "Tiem poEs eraAgotato = " " ProcesoTipo = ""Separador = ""Descripción = ""/> <ParámetroNombre = ""MetabasePropiedad = ""Descripción = ""/> <lnterfazNombre = ""Etiqueta = ""ProglD = "7> </IISDAMétodo> En esta implementación , se utilizan todos los atributos excepto Descripción. Cuando falta un atributo de la definido de nodo a ser utilizada por EjecutarMétodo, el método regresará un error. (EjecutarMétodo es una API 222 expuesta por el módulo 204 DA para llevar a cabo operaciones solicitadas por el usuario- cuando se autoriza) . La sintaxis del método utiliza los siguientes atributos: + NombrePúblico - EL nombre del método es como será expuesto al usuario, el nombre que la herramienta validará como entrada (un parámetro del método EjecutarMétodo de un objeto de Biblioteca de Enlace Dinámico (por ejemplo, una COM) a la cual se tiene acceso a través de una API222, expuesta por el módulo 204 DA) + EjecutarTrayecto - Define cualquier trayecto para el guión de línea de comando o ejecutable que será utilizado para ejecutar el método solicitado por el usuario o el ProgID del objeto COM que está designado para llevar a cabo la operación a través de uno de sus métodos. + AZAImacenarl D - Define la OperaciónID que corresponde a este método en el almacenamiento de aplicación de autorización. + ComandoLínea - Define la forma de la línea de comando para que se construya el módulo ejecutable, o el nombre del método cuando el EjecutarTrayecto especifica el ProgID de un objeto COM. Para un módulo ejecutable, en este atributo se puede especificar una palabra clave, un atributo nombre/valor (atributos de método, parámetro, y alcance) y un índice de parámetro. Para mayor información acerca de definir los valores ComandoLínea, consultar el Formato de Campo ComandoLínea más adelante. + TiempoEsperaAgotado - Indica al módulo DA 204 los segundos de espera después de llamar a la API CrearProceso antes de salir y registrar el resultado. Después de una llamada exitosa para CrearProceso, la herramienta llama EsperarUnSoloObjeto (procesoManejar, tiempofuera) para esperar a que acabe el proceso. Este atributo no se utiliza cuando la operación se asocia con un método COM. + ProcesoTipo - Especifica el tipo de proceso a ser usado para ejecutar el método. Los valores válidos para este atributo son "COM" (para especificar que un método COM ejecutará el método) y "COMANDO" (para especificar que una línea de comando ejecutable ejecutará el método). + Separador - Ayuda a realizar la salida del módulo ejecutable en forma más granular. Para caracteres especiales (como "/r" y "/n"), este campo incluye la versión escapada escaped del carácter (por ejemplo, "%D" y "%0A"). Esta herramienta siempre lee el valor del campo separador y luego lo desescapa, para que se puedan especificar estos caracteres especiales para ser reconocidos como separadores por la herramienta. Por ejemplo, supongamos que un resultado será una cadena con contenido de un grupo de direcciones IP que son denegadas para un sitio y también el resultado es una cadena que contiene todas estas direcciones separadas por "CRLF"(secuencia "/r/n"). Cuando este Separador = "%0D%0A" se define en el nodo HSDAMétodo, en lugar de una función de SalidaArreglo que regresa la cadena completa con las direcciones IP, la función regresa un arreglo de cadenas, cada una correspondiente con una dirección IP desde el resultado de cadena. + Descripción - Añade una descripción del método, la cual se puede utilizar en la aplicación, la cual expone el método al usuario. Por ejemplo, se utiliza por la muestra de la aplicación ASP.NET, admin.., para despegar la descripción del método cuando el usuario mueve el mouse sobre el nombre del método en la página. Sintaxis de parámetro Cada método puede definir (0) o más parámetros. La siguiente plantilla muestra la forma de definir un parámetro: <Parámetro Nombre = ""MetabaseProp¡edad = ""Descripción = ""/> Cuando se define una etiqueta XML de parámetro, se utilizan todos los atributos excepto Descripción. Cuando un atributo falta en una definición de un nodo y el nodo será usado por EjecutarMétodo, el método regresará un error. La sintaxis de parámetro del método utiliza los siguientes atributos: + Nombre - Enviado por la herramienta como operación a la función AccesoVerificación. El mismo nombre será utiliza do en la BizRegla de las tareas que hacen referencia a la operación ID correspondiente con el método en donde se definió el parámetro. + MetabasePropiedad - Se puede utilizar cuando el módulo de ejecución solicita una propiedad de metabase específica como parte de su línea de comando, por ejemplo, "Adsutil.exe. obtener w3svc/1 /AnónimoUsuarioNombre". En este ejemplo, el parámetro tiene el atributo MetabasePropiedad = "Anón¡moUsuarioNombre" y "w3svc/1" es el MetabaseNodo definido en el alcance. Para mayor información acerca del alcance, consultar Sintaxis del Alcance más adelante. + Descripción - Asocia una descripción con un parámetro. Por ejemplo, una aplicación que expone el método al cual pertenece el parámetro puede utilizar este campo para desplegar las restricciones impuestas en los valores de parámetro.

Sintaxis de Interfaz Se pueden especificar las interfaces que serán utilizadas para ejecutar una BizRegla dentro de una tarea que se refiere a una operación con el uso de un nodo de Interfaz. El siguiente ejemplo muestra la sintaxis del nodo Interfaz <lnterfaz Nombre = ""Etiqueta = "" ProglD = ""/>. Los nodos de interfaz son opcionales, y se utilizan cuando los objetos COM se utilizan en la regla de negocios de una tarea, la cual hace referencia al método. Cuando se define el nodo de interfaz, se utilizan todos los atributos. Cuando falta un atributo de la definición de nodo y el nodo será usado por EjecutarMétodo, el método regresará un error. La sintaxis de interfaz utiliza los siguientes atributos: + Nombre - Identifica el nombre del objeto como será utilizado en la regla del negocio. + Etiqueta - Especifica la etiqueta que será utilizada para crear el objeto en el guión BizRegla. + ProgID - Especifica la versión independiente de ProgID del objeto COM. El nombre correspondiente en este nodo, de hecho, es un caso de este objeto. La BizRegla utiliza el objeto solamente a través del Nombre provisto. Cada atributo corresponde a un parámetro utilizado por un AccesoVerificación relacionado con las interfaces. Sintaxis del Alcance La siguiente entrada de plantilla define un alcance: <l ISDAAIcance PúblicoNombre = ""AZNombre = "" Meta base odo = " "AZAImacenamientoTr ayecto = " "AZApl¡caciónNombre = " "GenerarAuditorias = ""AuditoríaNombr e = > Todos los atributos se utiliza. Cuando falta un atributo y el nodo será utilizado por EjecutarMétodo, el método regresará un error. La sintaxis de alcance utiliza los siguientes atributos: + PúblicoNombre - El nombre provisto al usuario cuando se creó al alcance y el nombre que el usuario proporcionará para identificar el nivel en la metabase 212 en el cual se realizarán los cambios (debido a que el usuario pueden tener más de un sitio asignado). + AZNombre - El nombre el alcance en el archivo de almacenamiento de aplicación de autorización que corresponde a este alcance. El MetabaseNodo define el alcance real, que dehecho, es un nodo metabase en donde el usuario tiene acceso. + AZAImacenamientoTrayecto - El trayecto del almacenamiento de aplicación de autorización almacena la ubicación del alcance. Este atributo especifica el almacenamiento de aplicación de autorización en donde el módulo 204 DA buscará este alcance. + AZAplicaciónNombre - Especifica la aplicación, en el almacenamiento, bajo el cual se define el alcance. + Generar auditorias - Especifica si el intento para tener acceso a este alcance generó auditorías.

+ AuditoríaNombre - Especifica la cadena clave utilizada al añadir para identificar el objeto al que se tuvo acceso (en esta implementación, esto confirma que el alcance, en particular si tuvo acceso). Sintaxis de archivo de reqistro El archivo 218 de configuración también define el formato para el archivo 224 de registro, con el uso de la siguiente plantilla: <IISDARegistro Trayecto = ""> <Campo Nombre = ""/> <Campo Nombre = ""/> </<IISDARegistro> La sintaxis del archivo 224 de registro utiliza los siguientes atributos: + Trayecto - Define el trayecto en donde se almacena el archivo de registro. Este atributo se utiliza. La herramienta regresa un error cuando no esta presente. Este valor de atributo señala una carpeta válida o accesible, de otra forma, la herramienta de esta implementación no registra nada, pero generará una excepción.

Cuando se crea el archivo de registro por primera vez, la aplicación utiliza los ajustes de seguridad inherentes de la carpeta presente (identificada por el valor del atributo de Trayecto), lo cual significa que la identidad de la aplicación COM+ (consultar, otro módulo 210) tiene acceso de lectura/escritura) para esta carpeta. + Campo - Identifica cada campo en el archivo de registro, con el uso del atributo Nombre asociado. Para mayor información acerca de campos, consultar los Campos de Archivo de Registro a continuación. El resultado de EjecutarMétodo (EjecutarMétodo es una API 222 expuesta por el módulo 204 DA para llevar a cabo una operación solicitada por el usuario, cuando es autorizada. La operación o tarea ¡mplementada por EjecutarMétodo se muestra como el Módulo 208 de ejecución, se registra con el uso de un formato de registro con valores separados por una coma. En esta implementación, cuando una sección de registro no está presente en el archivo 218 de configuración, el DA 202 no registra nada y emite una excepción. Campos de Archivo de Registro El archivo de registro puede tener un número arbitrario de campo, cada uno de los cuales se identifica por el atributo Nombre del sub-nodo de Campo. El archivo de registro incluye los siguientes seis primeros campos por omisión: La fecha y la hora (campo Fecha) de la solicitud (llamar a EjecutarMétodo) . El nombre del usuario (campo Usuario, por ejemplo, cuando se llama a EjecutarMétodo dentro de una página aspx, se registrará el nombre el usuario a quien se le otorgó el acceso en la página .aspx). El nombre del Método (campo Método) provisto por el llamador. El nombre del alcance (campo Alcance) provisto por el llamador. Un valor del atributo EjecutarTrayecto correspondiente al Método (atributo ProcesoTipo, que es un atributo de la definición del método en el atributo de archivo de configuración).

Un valor del atributo Comando Línea correspondiente al método (Campo ComandoLínea). La administración 204 delegada también registra el resultado en las últimas dos posiciones (campo Resultado) de la función 208 de EjecutarMétodo y la información de excepción (campo Excepción). La información de excepción proporciona detalles en el contexto de la excepción (esto es, el paso de la ejecución del método en donde ocurrió la excepción) y el código de excepción que fue capturado por la herramienta. Formato de campo ComandoLínea El sexto campo, ComandoLínea, utiliza una mención especial. En el caso de un nodo I ISDAMétodo con ProcesoTipo ="COM", el valor registrado en este campo también aparece definido en el archivo 218 de configuración en el atributo ComandoLínea. En el caso de un nodo I ISDAMétodo con ProcesoTipo = "COMANDO", el valor registrado en este campo será como aparece definido en el archivo 218 de configuración en el atributo ComandoLínea o (en caso de una cadena, se refiere a MSDAComandoLíneaClaves), el valor de la línea de comando completa del módulo ejecutable, cuando el EjecutarMétodo en realidad construyó la línea de comando para el módulo antes de regresar. Esto proporciona más información en el archivo de registro para ayudar a obtener tantos elementos de una solicitud como sea posible, y para facilitar el proceso de arranque. Cuando no existe un nodo de Campo definido, el módulo 204 DA registra, por ejemplo, los ocho (8) campos antes mencionados y el nodo lISDARegistro se utiliza solamente para obtener el trayecto de archivo de registro. Por lo general, el nombre del campo está en la forma de "Parámetrol ", "Parámetro2" y demás, debido a que los campos antes mencionados registrados por omisión, estos otros campos podrían ser útiles. En esta implementación, los campos "param" se registran después de seis campos antes descritos. Cuando la lista de los valores de parámetros contiene más elementos que el número real de campo/nodos en el nodo de lISDARegistro, no se registran todos los valores de parámetros. Sin embargo cuando existen menos valores de parámetros para un método que el número de nodos de campo en el nodo lISDARegistro, el resto de los valores de campo en la entrada de registro consiste de un espacio (" "). Formato de Parámetro de Linea-Comando En el archivo 218 de configuración, se puede definir el formato para el parámetro comando-línea de los métodos que serán ejecutados (en otras palabras, la forma en que se interpretará el valor de atributo ComandoLínea de HSDA étodo cuando el atributo de ProcesoTipo es "COMANDO"). La siguiente plantilla muestra el formato de un parámetro de comando-línea. <IISDAComandoLíneaClaves> < MSDAComandoLíneaClaves Nombre = ""AtributoN o mbre = ""Nodo = ""/> </IISDAComandoLíneaClaves > MSDAComandoLíneaClaves tiene los siguientes atributos: + Nombre - Utilizados en la cadena de línea-comando como una clave. + AtributoNombre - Especifica el nombre de un atributo dentro del archivo de configuración, bajo el HSDAMétodo, HSDAAIcance, o nodos de parámetro, a los cuales se refiere la clave. Este atributo permite especificar cualquier nombre de atributo por sí mismo o el valor del atributo al cual se refiere. + Nodo - Identifica el nodo bajo el cual se ubica el AtributoNombre. El atributo Nodo puede tener uno de los siguientes valores: "HSDAMétodo", " II SDAAIcance" , "Parámetro". La plantilla de comando-línea permite a la administración 202 delegada dar soporte a la categoría dentro de la definición de comando-línea para un método (el atributo ComandoLínea del nodo I ISDAMétodo). Tales categorías incluyen por ejemplo, las cateogorías mostradas en la Tabla 9.

TABLA 9 CATEGORÍAS EJEWIPLIFICATIVOS DE UNA PLANTILLA COMANDO- LÍNEA Nombre del nodo ISDAComandoLíneaClaves) puede ser un nombre de atributo dentro de los siguientes nodos: MSDAMétodo, 1 ISDAAIcance, y Parámetro. Como se mencionó, la ubicación exacta se especifica en el atributo Nodo del nodo ISDAComandoLíneaClaves. El método busca un valor CLAVE, revisa si existe un nodo MSDAComandoLíneaClave bajo el nodo MSDAComandoLíneaClaves, y también verifica si existe un atributo definido por un AtributoNombre correspondiente a un nodo identificado por Nodo. Cuando existen un nodo y un atributo, el método reemplaza la categoría con el nombre($CLAVE$) o el valor (#CLAVE#) de ese atributo.

#CLAVE# Especifica un valor de atributo. Para las categorías #CLAVE# y $CLAVE$. CLAVE (especificada en el atributo Nombre del nodo ISDAComandoLíneaClaves) puede ser un nombre de atributo dentro de los siguientes nodos "MSDAMétodo", "MSDAAIcance" "Parámetro". Como se mencionó, la ubicación exacta se especifica en el atributo Nodo del nodo ISDAComandoLíneaClaves. El método busca un valor CLAVE, revisa si existe un nodo MSDAComandoLíneaClave bajo el nodo 11 SDAComandoLíneaClaves, y también verifica si existe un atributo definido por un AtributoNombre correspondiente a un nodo identificado por Nodo. Cuando existen un nodo y un atributo, el método reemplaza la categoría con el nombre($CLAVE$) o el valor (#CLAVE#) de ese atributo. #CLAVE@D# Cuando la línea de comando utiliza un valor de atributo de cierto parámetro, utiliza la categoría # CLAVE@D #. La interpretación de esta categoría es "el valor del atributo especificado por CLAVE para el parámetro del índice D".

En esta implementación, debido a que # y $ se utilizan para construir la línea de comando, estos caracteres quedan restringidos en el sentido de que si no existe una secuencia de dos de estos caracteres (como #cadena# o $cadena$), la herramienta intentará encontrar un nodo I ISDAComandoLíneaClave que tiene el atributo Nombre igual a la "cadena". Esta es una característica dependiente de implantación que se puede modificar como lo implica la arquitectura de diseño. Esta técnica para definir los parámetros de comando-línea permite especificar variables del ambiente, como %SISTEMARAÍZ% en la comando-línea del módulo. Cuando se crea un nodo MSDAComandoLíneaClave, todos los atributos se utilizan. De otra forma, EjecutarMétodo fallará otra vez cuando intente analizar el nodo. Para mayor información acerca de la definición de nodos MSDAComandoLíneaClave y la forma de interpretarlos, consultar los ejemplos de ComandoLínea e MSDAComandoLíneaClaves.

Métodos ejemplificativos (API 222) expuestos por el módulo de administración delegada El módulo 202 de administración delegada expone los siguientes métodos a través de una API 222: + Método de parámetros: Ajusta los parámetros asociados con una operación. Los parámetros de este método pueden ser variantes del tipo VT_ARREGLO (en donde cada elemento en el arreglo es del tipo VT_BSTR) o del tipo VT_BSTR. Este método se llama antes de llamar EjecutarMétodo. + Método ParamError - verifica si los parámetros se ajustaron correctamente por el método de Parámetros. Cuando los parámetros se ajustaron correctamente, regresa 0. Llama a este método para evitar llamar a EjecutarMétodo cuando los parámetros no se ajustaron correctamente por el método Parámetros. + Método de EjecutarMétodo - Lleva a cabo la operación solicitada por el usuario. Regresa 0 luego de una compleción exitosa. Antes de llamar a este método, llamar al método Parámetros, cuando la operación utiliza por lo menos un parámetro. Para información acerca de los códigos de error que se regresan para una ejecución sin éxito, consultar Valores de retorno de la administración delegada. El método EjecutarMétodo tiene los siguientes parámetros: + Nombre del alcance - El alcance asociado con el usuario que solicita la ejecución de una operación. La aplicación que expone los métodos para que el usuario recolecte este alcance del usuario. Por ejemplo, con el uso de una aplicación ASP.NET de muestra, el usuario especifica el nombre del sitio a ser administrado. Este nombre se almacena como una sesión variable y se utiliza cada vez que se llama a EjecutarMétodo. El tipo de parámetro es BSTR. + Nombre del método - El nombre del método que el usuario intentará ejecutar. El nombre corresponde al valor de un atributo de PúblicoNombre de un nodo HSDAMétodo dentro del archivo de configuración. Este tipo del parámetro es BSTR. + RegistroResultado - Valor boolean que especifica si el método va a registrar el resultado de la operación.

+ EjecutarOperación - Valor boolean que especifica si EjecutarMétodo ejecuta la línea de comando o llama al método COM asociado con el método. Este parámetro es útil cuando uno desea utilizar EjecutarMétodo hasta el punto en donde AccesoVerif ¡cación decide si otorgar el acceso al usuario para ejecutar el método. Si se selecciona no ejecutar un método o una línea de comando (al ajustar este parámetro en FALSO), se pueden dejar los valores de los atributos correspondientes del nodo HSDAMétodo como cadenas vacías. Después de que AccesoVerificación regresa, el resultado se registra.

Procedimiento ejemplificativo para delegar la administración de un sitio de la red La Figura 3 muestra un procedimiento 300 ejemplificativo para la administración delegada de un sitio de la red. En particular, el procedimiento ilustra el procesamiento ejemplificativo que ocurre cuando un usuario intenta modificar propiedades del sitio de la red, en donde el sitio de la red está hospedado por un ISP que implementa la estructura funcional de delegación de administración US de las Figuras 1 y 2. De conformidad con esto, y con propósitos de ilustración, las operaciones del procedimiento se describen con respecto a las características de las Figuras 1 y 2. Como se mencionó antes, en las Figuras, el dígito de la izquierda de un número de referencia de componente identifica la Figura particular en donde aparece el componente por primera vez.

En el bloque 302, una entidad administrativa (por ejemplo, un miembro del grupo administrativo) proporciona uno o más parámetros para una operación con respecto a una aplicación y/o recursos hospedados por una computadora 130 (Figura 1). Esto se proporciona a través de la API 216 expuesta por el módulo 202 de autorización (Figura 2). En el bloque 304, un usuario ejecuta una aplicación tal como una aplicación 206 de administración remota de sitio de la red (RWSA) (Figura 2) hospedada por la computadora 130 (Figura 1). La aplicación 206 RWSA permite al usuario, tal como a un propietario del sitio de la red, modificar, probar o administrar el contenido y/o funcionalidad, o cualquier otro aspecto del sitio de la red o recurso hospedado por la computadora 130 (Figura 1). Como se describe más adelante, la autorización para tal administración se determina en forma dinámica por el módulo 204 de delegación de administración (DA). Para propósitos de este ejemplo, el usuario no es miembro de un grupo de administradores con respecto a administrar la configuración y/o recursos asociados con la computadora 130 de la Figura 1, aunque el usuario puede ser un miembro de tal grupo administrativo. En el blql 306, el usuario solicita llevar a cabo por lo menos una operación con respecto al recurso hospedado (por ejemplo, un sitio de la red, etc.). Hasta este punto, la aplicación (por ejemplo, la aplicación 206 RWSA) llama a una o más de las API 222 expuestas por el módulo 204 de administración de delegación (DA) para solicitar el acceso para la operación. Como ya se observó, el acceso para operación por parte del usuario para un recurso hospedado se controla por varios estratos de funcionalidad como se muestra en la Tabla 10. TABLA 10 ESTRATOS EJEMPLIFICATEOS DE OPERACIÓN Estrato Descripción Almacenamiento El almacenamiento 214 de políticas de autorización 214 de políticas se utiliza para verificar el acceso del usuario a un de autorización método/tarea solicitado. Una tarea hace referencia a una única operación en donde se pueden controlar los valores de parámetro. Una regla de negocio asociada permite el denegado del acceso a ese método con base en la entrada del usuario. Para mayor información acerca de escribir un guión de regla de negocios para cada tarea, consultar la Tabla 11, un almacenamiento ejemplificativo de aplicación de administrador de autorización. Módulo (proceso El módulo es un proceso 210 autorizado que lleva a autorizado) cabo la operación después de los estratos precedentes de verificación que el usuario puede desarrollar la operación (esto es, ejecutar el método). El módulo es un módulo de comando- línea o un método CO . Aplicación Proporciona una interfaz para una tarea al llamar a hospedada los respectivos del módulo 202 de delegación de (ejemplo, administración API 222. En este estrato, se puede aplicación 206 controlar la entrada del usuario al especificar las RWSA) características como longitud, valores y formato. En esta implementación, la aplicación 206 de administración remota de sitio de la red proporciona las interfaces a ser expuestas por la API 222 del módulo 202 de delegación de administración.

En el bloque 308, el módulo 204 de administración delegada determina s i el usuario está autorizado para acceder al recurso a través de la operación solicitada. Esta determinación es completamente independiente de si el usuario es miembro del grupo de administradores con respecto a la administración de recursos de la computadora 130 (Figura 1). Hasta este punto, el módulo 204 DA a través de la API 222 del método de parámetros ajusta los parámetros de EjecutarMétodo. EjecutarMétodo busca una entrada de registro 220 al proporcionar el trayecto para el archivo 218 de configuración. El archivo 218 de configuración especifica todos los métodos posibles para llevarse a cabo por todos los usuarios y la entidad administrativa puede agregar una entrada (esto, es un nodo HSDAAIcance) para cada usuario. En este punto, el bloque 306, EjecutarMétodo lee el archivo 218 de configuración e intenta copiar el nombre, alcance y parámetros de la operación solicitada para las entradas en ese archivo. Cuando se encuentran las entradas, se recupera la información relacionada con el almacenamiento 214 de políticas de autorización, (es decir, derivada del atributo del nodo MSDAAIcance). El EjecutarMétodo recupera la información del almacenamiento 214 de políticas de autorización y verifica (por ejemplo, una llamada al AccesoVerificación) si el usuario tiene acceso al alcance especificado, con base en el método y parámetros provistos. Para lograr esto, EjecutarMétodo pide al llamador presentar la identidad del cliente a los recursos que hospeda en beneficio del cliente, para verificar el acceso o para la autenticación a ser llevada a cabo contra la identidad del cliente. (El pedido es la capacidad de una ristra para ejecutar en un contexto de seguridad diferente al del proceso que es dueño de la ristra). En el bloque 310, cuando se determina que el usuario no está autorizado para llevar a cabo la operación solicitada, se le niega el acceso al usuario para la operación. Sin embargo, en el bloque 312, cuando se le otorga el acceso al usuario hacia el alcance y el método referido está en la tarea dentro del alcance del usuario, EjecutarMétodo lleva a cabo un proceso (es decir, un proceso 210 autorizado) o construye una línea de comando para ejecutar un proceso que lleva a cabo la operación solicitada por el usuario (es decir, ejecutar a través de un objeto (por ejemplo, un objeto COM o una línea de comando). Por ejemplo, ya sea que el módulo 202 DA construya una línea de comando para el módulo ejecutable que ejecutará la operación/método o intenta iniciar un objeto COM asociado con la operación y obtener un DISPID del método especificado. Entonces, el módulo 202 DA llama a CrearProceso o un método COM asociado con la operación, dependiendo de lo especificado en el primer parámetro Bolean. En caso de CrearProceso, el módulo 202 DA utiliza una línea de comando recién construida y el proceso inicia bajo el contexto del usuario de una aplicación (por ejemplo, una aplicación COM). Para propósitos de descripción, tal aplicación se muestra como un proceso 210 autorizado. En el bloque 314 cuando la operación solicitada corre con éxito, el proceso 210 autorizado construye un arreglo de salida y registra el arreglo de salida con el archivo 224 de registro. Para descripción, tal arreglo de salida se muestra como una porción respectiva de "otros datos" 226. En esta implementación, cuando el tipo de regreso es un método VT_BSTR o un VT_ARREGLO, todos los elementos en el arreglo son del tipo VT_BSTR.

ADMINISTRACIÓN DELEGADA EJEMPLI Fl CATIVA La Tabla 11 muestra un formato ejemplif ¡cati o de un almacenamiento 214 de políticas de autorización. Para mayor información acerca de la sintaxis de este tipo de archivo, consultar el formato de archivo de almacenamiento de aplicación de autorización .

TABLA 11 EJEMPLO DE UN ALMACENAMIENTO DE APLICACIÓN DE AUTORIZACIÓN < Az A dmin Administrador Versión Principal = " 1 " VersiónMenor="0"> <¡La versión se define abajo--> <AzAplicación Guid = "d9089f 17-5fa6-4ae9-bddf-8ca6cd1 c06fb" Nombre = "SitioAdminApp"> <¡-EI grupo de aplicación se define abajo--> <AzAplicaciónGrupo Guid = " d9089f 17-5f a6-4ae9-bddf-8ca6cd1 c06fb" Nom bre= "G rupoMetabaseCambioporOm isión. Doc"> <¡EI grupo de aplicación tiene un solo miembro--> <Miembro>S-1 -5-21 - 3131233723-616130271 -937215924-1032</miembro> </AzAplicaciónGrupo> <¡-La primera operación se define abajo--> <AzO pe ración Guid = "f6844d4e-c0d7-4d 17-a9f a-da6fc328a 1 a 5" Nombre = "AjustarPorOmisiónDoc"> <OperaciónlD>1</Ope ración ID> </AzOperación> <¡-La segunda operación se define abajo--> <AzO pe ración Guid = "234534-g0f8-5k82-k9df-fd5cv546g5b0" ombre = "ObtenerPorOmisiónDoc"> <OperaciónlD>2</OperaciónlD> </AzOperación> <¡-La tarea se define abajo-incluye operaciones ZZ y una regla de negocios asociada--> <AzTarea Guid = "195d1 ae4-3f63-4263-be00-76cb7c515b8a" Nombre: "O misión DocAjustes"> <BizReglaLenguaje>JScript</BizReglaLenguaje> <BizRegla> var param = AZBizREglaCOntexto.ObtenerParámetro("PorOmisiónDoc"); cuando (param ¡ = = "índice.htm") AZBizReglaContexto. BizReglaResultado = falso; Otro AZBizReglaContexto. BizReg la Resultad o = verdadero; </BizRegla> <OperaciónEnlace>f6844d4e c0d7 4dl7<a9fa>da6fc328a1 a5</OperaciónEnlace> <OperaciónEnlace>ZZ34534-g0f8-5k82-k9df-fd5cv546g5bO</OperaciónEnlace> </AzTarea> <¡-EI alcance se define abajo - sólo tiene un rol--> <AzAlcance Guid = "ce010982-6bdf-4e93-804e-d04bf 1 ddff78" Nombre= "SitioAcceso para "Usuario1""> <¡-EI rol se define abajo - solo tiene una tarea y solo los miembros del grupo de aplicación específico pueden ejecutar las tareas dentro del rol--> <AzRol Guid = "3ac117fd-7f 12-4287-a7ff-982770d6ce49" Nombre = "CambioPorOmisiónDoc"> <AppMiembroEnlace>bf9d00f0-2be3-4367-a931-680038b51 dOa</AppMiembroEnlace> <Tarea Enlace>195d 1 ae4-3f63-4263-be00- 76cb7c515b8a</TareaEnlace> </AzRol> </AzAlcance> </AzAplicac¡ón> </AzAdminAdministrador> Ejemplos de CornandoLínea y DAComandoLíneaCiaves Los siguientes ejemplos muestran la forma en que se construye una línea de comando para un módulo, con base en los ajustes en un archivo 218 de configuración, y los parámetros que se pasan a los métodos Ejecutar étodo y Parámetros.

TABLA 12 EJEMPLO 1 - LÍNEA DE COMANDO E J E M PLI F I CATIVA "AJUSTAR w3svc/1 /Ra íz/AccesoEtiq uetas 3" El siguiente ejemplo muestra la sintaxis ejem pl if ¡cativa de un archivo 218 de configuración del cual se deriva la línea de comando ejemplificativa de la Tabla 11. <†TSOelegadoAdminCopiados <IISDA étodos> <IISDAMétodoNombrePúbl¡co = ""AjustarEtiquetas" AZAImacenarlD = "1 " EjeTray = ""C:/adsutil.exe" ComandoLínea = "AJUSTAR#mn#/#mp@l##1#"EsperarTiempoAgotado = " 10"> ProcesoTipo = "COMAN DO" Separa dor=""> <ParámetroNombre = "Et¡quetas"MetabasePropiedad = ""AccfesoEt iq uetas"/> </IISDAMétodos> <IISDAComandoLíneaClaves> <IISDACOMANDOLíneaClaveNombre = "nm" AtributoNombre = "MetabaseNodo" Modo = "!!SDAA!cancs"/> <l IS DAComa ndoLí n ea Cía ve Nombre = "mp" Atribuí o Nombre=" "Meta basePropiedad" Nodo = "Parámetro"/> </IISDAComandoLíneaClaves> </IISDelegadaAdm¡nCopiados> Los siguientes parámetros se pasan a EjecutarMétodo ("Alcance"!", "ajustarEtiquetas", verdadero, verdadero. El siguiente parámetro se pasa a los parámetros "3·. El valor del atributo ComandoLínea del método es "AJUSTAR #mn#/#mp@1# La administración 202 delegada ("la herramienta") busca la primera secuencia delimitada por dos caracteres # o $, en este ejemplo, #mn#. La herramienta intenta encontrar un sub-nodo de I ISDAComandoLíneaClavez, con el atributo Nombre = "mn". La administración delegada US ubica el AtributoNombre al que se refiere, en este ejemplo, MetabaseNodo, y el Nodo en donde se define el atributo, en este ejemplo I ISDAAIcance. La herramienta reemplaza la secuencia #mn# con el valor del atributo MetabaseNodo definido en el alcance "Alcancel", ya que "Alcancel" es el alcance especificado por el llamador de EjecutarMétodo. En este ejemplo, este valor es "w3svc/1 /Raíz" . La administración 202 delegada evalúa la siguiente secuencia, delimitada por dos caracteres # o $, en este ejemplo # m p @ 1 # , para ubicar un subnodo de I ISDAComandoLíneaClaves con el atributo Nombre = "mp". La administración 202 delegada ubica el AtributoNombre al que se refiere, en este ejemplo, MetabasePropiedad y el nodo en donde se define el atributo, en este ejemplo, Parámetro. Ya que está presente en la categoría, la herramienta reemplaza la categoría #mp@1 # con el valor del atributo MetabasePropiedad definido para el parámetro del índice 1, en este ejemplo "AccesoEtiquetas". En vista de lo anterior, toman lugar las siguientes acciones para producir esta línea de comando: "AJUSTAR", se utiliza como está ya que no está delimitada por caracteres # o por $; #mn# se reemplaza por "w3svc/1; "/" se utiliza como está ya que no está delimitado por caracteres # o $, # m p @ 1 # se reemplaza por "AccesoEtiquetas" y #1# se reemplaza con el valor del parámetro del índice 1 , que es 3.

TABLA 13 EJEMPLO 2 LINEA DE COMANDO EJEMPLIFICATIVA "AJUSTAR MetabaseNodo AccesoEtiquetas 3" El siguiente ejemplo muestra la sintaxis ejemplificativa de un archivo 218 de configuración del cual se deriva la línea de comando ejemplificativa de la Tabla 12. <l ISDelegadoAdm i nCo iados <IISDAMétodos> <IISDAMé todoNomb re Público = ""Aju star Etiquetas" AZAImacenarl D = "1 " EjeTray = ""C:/adsutil.exe" ComandoLínea = "AJUSTAR$mn$#mp@l##1 #"EsperarTiempoAgotado = " 10"> ProcesoTipo = "COMA DO" Separador=""> <ParámetroNombre = "Etiquetas"MetabasePropiedad = ""AccfesoEt iquetas"/> </IISDA étodos> <l ISDAC ornando LíneaC la ves> <IISDACO MAN DOLÍ neaClaveNombre = "nm"AtributoNombre = "Metabase Nodo" Nodo = "IISDAAIcance"/> <l ISDAComandoLíneaClave ombre="mp"Atributo ombre = " " eta basePro piedad "Nodo = " Parámetro "/> </IISDAComandoLíneaClaves> </IISDelegadaAdm¡nCop¡ados> Los siguientes parámetros se pasan a EjecutarMétodo ("Alcance1","AjustarEtiquetas"). El siguiente parámetro se pasa a los parámetros: "3". Referirse a la sintaxis de archivo de configuración para entender la siguiente descripción de la forma en que se construye una línea de comando. El valor del atributo ComandoLínea del método es $mn$ #mp@l##1#. La administración 202 delegada busca una primera secuencia delimitada por dos caracteres # o $, en este ejemplo $mn$, e intenta buscar un subnodo de lISDAComandoLíneaClaves con el atributo Nombre = "mn". La administración delegada encuentra el AtributoNombre al que se refiere -MetabaseNodo- y el Nodo en donde se define este atributo -I ISDAAIcance- y reemplaza la secuencia $mn$ con el nombre del atributo MetabaseNodo que está definido en el "Alcancel", ya que "alcancel" es el alcance especificado por el llamador de EjecutarMétodo. La administración delegada busca en la siguiente secuencia delimitada por dos caracteres # o $, en este ejemplo #mp(5?1# e intenta ubicar un subnodo de lISDAComandoLíneaClaves con el atributo Nombre = "mp". La administración delegada ubica el AtributoNombre al que se refiere -MetabasePropiedad- y el nodo en donde se define este atributo -Parámetro. Ya que @1 está presente en la categoría, la herramienta reemplaza la categoría $ m @ 1 $ con el valor del atributo MetabasePropiedad definido para el parámetro del índice 1 - que en este ejemplo es "AccesoEtiquetas".

En resumen, se llevan a cabo las siguientes acciones para producir esta línea de comando: "AJUSTAR" se utiliza como es ya que no está limitado por caracteres # o $; $mn$, se reemplaza por " MetabaseNodo" , #mp(5>1# se reemplaza por "AccesoEtiquetas" y #1# se reemplaza con el valor del parámetro del índice 1, que es 3.

TABLA 14 EJEMPLO 3 - LÍNEA DE COMANDO EJ EM PLI F ICATI VA "AJUSTAR 111 Línea de comandóEl siguiente ejemplo muestra la sintaxis del archivo de configuración de la cual se deriva la línea de comando de la Tabla 12 <IISDelegadoAdminCopiados <IISDAMétodos> <IISDAMétodoNombrePúblico = ""AjustarEtiquetas" AZAImacenarlD=" 1 " EjeTray = ""C:/adsutil.exe" ComandoLínea = "AJUSTAR#1##2##3#"TiempoEsperaAgotado = "10"> ProcesoTipo = "COMA DO" Separador=""> <ParámetroNombre = "Leer"MetabasePropiedad = ""AccesoLeer"/> <ParámetroNomb re = " Escribí r"MetabasePropiedad = ""AccesoEscr ibir"/> <ParámetroNomb re = " Guión "MetabasePro iedad = ""AccesoGuión" 1> </IISDAMétodos> </IISDAMétodos> </IISDelegadaAdminCopiados> Los siguientes parámetros se pasan a EjecutarMétodo: ("Alcancel", "AjustarEtiquetas" = . Los siguientes parámetros se pasan a los parámetros. Un arreglo contiene las siguientes cadenas: "1", "1", "1". Referirse a la sintaxis del archivo de configuración para entender la siguiente descripción de la forma en que se construye la línea de comando. El valor del atributo ComandoLínea del método es "AJUSTAR #1# #2# #3#. La herramienta busca la primera secuencia delimitada por dos caracteres # o $, en este ejemplo Debido a que hay un número entre los dos caracteres #, la herramienta reemplaza esta categoría con el valor del primer parámetro. La herramienta lleva a cabo el mismo procedimiento para los siguientes dos categorías: #2# y #3#.

TABLA 15 EJEMPLO 4 - LÍNEA DE COMANDO EJEMPLI FICATIVA #2# #4#" El siguiente ejemplo muestra una línea de comando que provoca un error al proporcionar un número incorrecto de parámetro para el método Parámetros. La sintaxis del archivo de configuración de la cual se deriva la Tabla 14 es como sigue: <IISDelegadoAdminCopiados <l ISDAMétodos> <IISDAMétodoNombrePúblico = ""AjustarEtiquetas" AZAImacenarlD=" 1 " EjeTray = ""C:/adsut¡l.exe" ComandoLínea = "AJUSTAR#1##2##4#"TiempoEsperaAgotado = "10"> ProcesoT¡po = "COMA DO" Separador=""> <ParámetroNombre = " Lee r"MetabasePropiedad = " Acceso Le er"/> <ParámetroNomb re = " Escribí r"MetabasePropiedad = "Ac ce soEscrib¡r"/> <ParárnetroNombre = "Guión"MetabasePropiedad = "AccesoGuión"/> </l ISDAMétodos> </IISDAMétodos> </IISDelegadaAdminCopiados> Los siguientes parámetros se pasan a EjecuíarMétodo ("Alcancel", "AjustarEtiquetas"). Los siguientes parámetros se pasan a parámetros: Un arreglo que contiene las siguientes cadenas: "1", "1", "1". En este ejemplo, el módulo 202 de delegación de administración regresa un error debido a que la línea de comando se refiere a un parámetro con un índice 4 (por haber especificado #4# en el atributo ComandoLínea) , pero los parámetros recibe solamente tres parámetros. De conformidad con ello, no se construye la línea de comando.

Archivo de configuración eiemplif ¡cativo El siguiente archivo 2T8~~ de configuración define el método de "AjustarPropiedad" y sus copias asociadas: un alcance llamado www.fabrikam.com, para un usuario, un formato de archivo de registro, y una plantilla para las categorías de línea comando. TABLA 16 ARCHIVO DE CONFIGURACIÓN E J E M P Ll Fl CATIVO <?xml.versión = "1.0codificación = "utf-8?> <IISDelegadoAdminCopiados <IISDAMétodos> <IISDAMétodoNombrePúblico = ""AjustarEtiquetas" AZAImacenarl D=" 1 " EjeTray = " "C:/adsutil.exe" ComandoLínea = "AJUSTAR#mn##1#"TiempoEsperaAgotado = "10"> ProcesoTipo = "COMANDO" Separador=""Descripción = ""> <ParámetroNomb re = " Etiquetas "MetabasePropiedad = "AccesoEtiq uetas"Descripción = ""/> <lnterfazNombre = "MiObjeto"Etiqueta = "9600" ProglD = "Guión.ArchivoSistemaObjeto"/> </IISDAMétodos> </IISDAMétodos> <IISDAAIcances> <l ISDAAIcancePúblico ombre=www.fabrikam. com Aznombre = "Alcance1 " MetabaseNodo = "IIS://localhospedadp/w3scv/1" AZAImacenarTrayecto = "C:/Almacenar.xml" AZAplicaciónNombre = "SeguridadAplicación" GenerarAuditorías = "1"AuditoríaNombre = "Alcance1"> </IISDelegadaAdminCopiados> <l ISDAAIcances> <IISDAAIcances> <IISDARegistroTrayecto = "c:/registros"> <Campo Nombre = "Parámetro1 "/> <Campo Nombre = "Parámetro2"/> </IISDA egistro> <IISDAComandoLineaClaves> <IISDAComandoLineaClaves Nombre = "mn" Atributo = "IVletabaseNodo Nodo = "IISDAAIcance'7> </IISDAComandoLineaClaves> </iiSDeiegadaAdminCopiados> Método Ai ustarPropiedad En el ejemplo de la Tabla 15, este método corresponde a un método con OperaciónlD = 1 en el almacenamiento 214 de aplicaciones de autorización. El trayecto de la línea 210 de comandos o ejecutable que lleva a cabo la acción solicitada es "C:/Adsutil.exe. La plantilla de línea comando para este método es "AJUSTAR #mn# #1#. El tiempo de espera para este método para ser ejecutado es 10 segundos. No se define un separador o descripción. El método tiene solamente un parámetro llamado "etiquetas", el cual corresponde a la propiedad "AccesoEtiquetas" en ía metabase IIS. El método define el nombre del objeto como "MiObjeto" (correspondiente a un caso de "Guión, Archivo, Sistema, Objeto) y tiene la capacidad de ser usado por la BizRegla asociada con la tarea que se refiere a la operación con ID 1 en el almacenamiento de aplicaciones de autorización. En un ejemplo de la Tabla 15, el alcance, definido como www.fabrikam.com corresponde al alcance llamado "Alcancel" en el almacenamiento ubicado en "C:/Almacenam¡ento.xml". Este alcance dentro de esta almacenamiento se define bajo la aplicación "SeguridadAplicación". El acceso a este alcance genera una auditoría con el uso del nombre "Alcancel" para identificar la entrada en el EventoRegistro.

Formato de Categoría de Línea de comando Esta plantilla especifica que el atributo ComandoLínea del método "AjustarPropiedad" puede utilizar (además de palabras clave y categorías #D# para los valores de parámetros) solamente las categorías que incluyan la clave "mn", la cual identifica por nombre (con el uso de $mn$ o por valor (con el uso de #mn#), el atributo con el nombre "MetabaseNodo" definido bajo el "MSDAAIcance", correspondiente al alcance especificado como un parámetro para EjecutarMétodo.

Escenario ejemplif ¡cativo: Funcionamiento de EiecutarMétodo Se hace referencia a la siguiente configuración simplificada y a los archivos de administrador de autorización para entender la forma en que funciona EjecutarMétodo en este ambiente. El archivo 218 de configuración es como sigue: <?xml.versión = "1.0codificación = "utf-8?> <IISDelegadoAdminCopiados <IISDAMétodos> <l ISDAMétodoNombrePúblico = " "AjustarAccesoPropiedad"AZAImacena rlD = "1" EjeTray = ""C:/adsutil.exe"ComandoLínea = "AJUSTAR#tray#/raiz/#etiqu eta@1# TiempoEsperaAgotado = "10" ProcesoTipo = " COMAN DO" Separado r = ""> <ParámetroNomb re = " Etiquetas "MetabasePropiedad = "AccesoEtiq uetas"/> <lnterfazNombre = "M ¡Objeto FSO" Etiqueta = "9600" ProglD = "Sistema.ArchivoSistemaObjeto'7> </IISDAMétodo> </IISDAMétodos> <l ISDAAIcances> <l ISDAAIcancePúblicoNombre=www.fabrikam .comAznom re = "AI cancel " MetabaseNodo = "MS:// local hospedadp/w3scv/1" AZAImacenarTrayecto = "C:/DelegarAdmin/Almacenar/usuar i o 1. x m I " AZAplicaciónNombre = "SitioAdminApp"GenerarAuditorías = " 1 "Auditoría Nombre = "Alcance 1 "> <l ISDAAIcances> <IISDARegistroTrayecto = "c:/registros"> <Campo Nombre = "Parámetro1 "/> <Campo Nombre = " Parámetro2"/> </IISDARegistro> <l ISDACo mando LíneaCI aves > <IISDAComandoLíneaClaves Nombre = " Trayecto" Atributo = "MetabaseNodo Nodo = "MSDAAIcance"/> </IISDAComandoLíneaClaves Nombre = "etiqueta" Atr¡buto = "MetabaseProp¡edad" odo = "Parárr¡etrc/> </IISDAComandoLíneaClaves> </IISDelegadaAdminCop¡ados> Un almacenamiento 214 de aplicaciones de autorización ejemplificativo es como sigue: <AzAdminAd ministrador VersiónPrincipal = "1"VersiónMenor = "0"> <AzAplicación Guid = "d9089f 17-5fa6-4ae9-bddf-8ca6cd 1 c06fb Nombre = "SitioAdminApp"> <AzGrupoAplicación Guid = "bf9d00f0-2be3-4367-a931 -680038b51 dOa" Nomb re = " Aplicación AccesoGrupo"> <Miembro>S-1 -5-21 -3131233723-616130271-937215921 -1032</Miembro> </AzApl¡caciónGrupo> </AzOperación Guid = "f6844d4e-c0d7- -4d17-a-9fa-da6fc328a1a5" Nombre = "AjustarAccesoEtiquetas"> <OperaciónlD>1</OperaciónlD> </AzOperac¡ón> <AzTarea Guid = " 195d 1 ae4-3f63 -4263-beOO- 76cb7c515b8a"Nombre = " Seguridad Ajustes> <BizReglaLenguaje>Jscript</BizReglaLenguaje> <BizRegla> var bArch¡voExisíe = MiFSOObjeto. Arc ivoExiste('':/usuarios/usuario1.íxt") var param =AZBizReglaContexto.BizReglaResultado =falso; AZBizReglaContexto.BizReglaResultado = Verdadero; </BizRegla> <OperaciónEnlace>f6844d4e-c0d7-4d17-a9fa-da6fc328a1a5</OperaciónEnlace> <AzAlcance Guid= "ce010982-6b6f-4e93-804e-d04bf1 ddff78"Nombre = "alcance1 " > "<AzRolGuid = "3ac117fd-7f 12-4287-a7ff-982770d6ce49" Nombre = "CambioSeguridadAjustes"> <AppMiembroEnlace>bf9d00f0-2be3-4367-a931 -680038b51d0a" </AppM¡embroEnlace> <TareaEnlace>"195d1 ae4-3f63-4263-be00- 76cb7c515b8a</TareaEnlace> </AzRol> </AzAlcance> </AzAplicación> </AzAdminAdministrador> Las siguientes suposiciones aplican con este ambiente ejemplif ¡cativo: La entrada de registro HKLM/Software/Microsoft/IISDelAdmin/DelegAdminCopiadoTrayecto (REG_SZ) se define y contiene la siguiente cadena: "C:/DelegAdmin/Config/Config.xml" - el archivo 218 de configuración.

El objeto Delegadm.dll corre dentro de la aplicación COM+ (es decir, el proceso 210 autorizado) cuya identidad ha leído el acceso para esta entrada de registro. Un usuario, por ejemplo, el usuario 1 se identifica en el almacenamiento por la siguiente SID bajo el grupo de AplicaciónAccesoGrupo: <Miem bro>S-1 -5-21-3131233723-616130271 -937215921 -1032</Miembro>. El usuario hace una solicitud dentro de una aplicación (por ejemplo, una aplicación 206 de administración remota de sitio de la red del cliente) para la ejecución del método "AjustarAccesoPropiedad". En la solicitud el alcance es -A-Lca nce-U-s-u-a-r-i-o-1- -,- -el — rr+ +od o e¾ — -Afti-s-ta r A c e-s-o-Propie d ad" — y — ¡TFT parámetro para el método es "1". Con base en esta solicitud, se puede ejecutar el siguiente código simplificado en una página .asp: Dim objDelegAdmin = CrearObjeto ("Microsoft. IIS.DelegadaAdmin"); ObjDelegAdmin.Parámetros = "1"; y ObjDelegAdmin. Ejecuta rMétodo(" Al canee Usuario 1 ", "AjustarAcceso Propiedad"). El código intentará permitir al usuario 1 ajustar la propiedad de AccesoEtiquetas para 1 para el sitio correspondiente para "AlcanceUsuariol ", al llamar al método "Aj ustarAccesoPropiedad" y utilizar el administrador de autorización API. Procesamiento ejemplif ¡cativo de EjecutarMétodo Para lograr esta tarea, se llevan a cabo los siguientes pasos dentro de EjecutarMétodo: Los parámetros especificados se validan. Como se nota en la sintaxis del método "Parámetros", un parámetro para el método Parámetros puede ser una cadena o un arreglo de cadenas. En este ejemplo, se acepta el parámetro, ya que es una cadena. Cuando se rechaza el parámetro, el código de error correspondiente se registra. El objeto intenta obtener el valor de la entrada registro HKLM_Software_Microsoft_IISDelAdmin_DelegAdminCopiadoTrayecto En este ejemplo, el valor se define como C:/DelegAdmin/Config/Config.xml. La identidad de la aplicación COM+ tiene acceso a este valor. Cuando la aplicación no puede leer el valor de entrada del registro, registra un error.

Debido a que la operación no se ejecutó, el campo CmdLínea en el archivo de registro puede contener el valor del atributo ComandoLínea del nodo MSDAMétodo que corresponde a un método de AjustarAccesoPropiedad. Después de que la aplicación obtiene el acceso al archivo de configuración, busca el archivo de configuración para el alcance "AlcanceUsuariol", que está especificado como un parámetro. Cuando no se encuentra el alcance, se registra un error. Un error puede aparecer aun cuando exista un nodo "HSDAAIcance" que contenga el atributo PúblicoNombre con el valor www.fabrikam.com cuando este nodo no tenga todos los atributos utilizados. Después de que se encuentra el alcance, el nodo HSDAAIcance correspondiente se lee y la aplicación conoce que el "AlcanceUsuariol" se copa en un alcance llamado "Alcancel" en el almacenamiento de aplicaciones de autorización definido en el atributo AZAImacenamientoTrayecto, que en este ejemplo es "C:/DelegAdmin/Almacenar/Usuario1.xml". La aplicación también obtiene el nombre de aplicación dentro del almacenamiento bajo el cual se define el "Alcance 1", a través del valor del atributo AZAplicaciónNombre, que en este ejemplo es "SitioAdminApp". Después de que se valida el nombre público del alcance, el nombre del método se valida. La aplicación busca el nombre específico del método en el archivo 118 de configuración, que es el "AjustarAccesoPropiedad" en este ejemplo. Cuando no se encuentra el método, se registra el código de error apropiado. Un error puede aparecer aun cuando exista un nodo " I ISDAMétodo" que contenga el atributo PúblicoNombre con valor "AjustarAccesoPropiedad" cuando este nodo no tenga todos los atributos utilizados. Después de que se encuentra el nombre del método, se lee el método MSDAMétodo. La herramienta ahora copia el método "AjustarAccesoPropiedad" para la operación definida en el atributo AZAImacenamientoID, que en este ejemplo es "1". Como se especifica en la sintaxis del archivo de aplicaciones, solamente una tarea en el almacenamiento de aplicaciones de autorización se puede referir a este md. Cuando más de una tarea en el almacenamiento de aplicaciones de autorización se refiere a este método, el AccesoVerif icación puede negar el acceso al alcance. Esto puede ocurrir debido a que la regla de negocios en una de las tareas tiene el acceso denegado al alcance. Junto con los atributos, los subnodos del nodo MSDAMétodos se leen para recuperar la información acerca de los parámetros del método y las interfaces que serán utilizadas en la regla de negocios de la tarea que se refiere a esta operación (en este ejemplo, la operación con ID "1"). Cuando ocurre un error en el proceso de validación, se registra un código de error correspondiente. Un error puede ocurrir debido a que los atributos utilizados dentro de los subnodos de parámetro o Interfaz faltan en la definición del nodo de MSDAMétodo. El número de parámetros definidos en el archivo de configuración coincide con el número de parámetros que se ajustan antes de llamar a EjecutarMétodo (con el uso de métodos de Parámetros). De otra forma, se registra un código de error. La aplicación intenta iniciar el objeto de almacenamiento de autorización con el uso del trayecto del almacenamiento, que en este ejemplo es "C:/DelegAdmin/Almacenar/usuario1.xml" y para abrir esta aplicación correspondiente dentro del almacenamiento, que en este ejemplo es "SitioAdminApp" . Cuando una de las operaciones falla, la excepción se captura y el resultado se registra. La aplicación recolecta la información acerca del llamador ( que en este ejemplo es el usuario 1) y construye los parámetros para AccesoVerificación. La Tabla 16 a continuación, describe los parámetros de AccesoVerificación utilizados en este ejemplo.

TABLA 17 GRUPO EJEMPLIFICATIVO DE PARÁMETROS DE ACCESOVERIFICACIÓN Parámetro de Descripción AccesoVerificación BstrObjetoNombre Debido a que el nodo HSDAAIcance, en donde el "AlcanceUsuario 1 " se define, especifica que GenerarAuditorías = 1 , este parámetro tiene el valor del atributo AuditoríaNombre que en este ejemplo es "Alcance-I". VarAlcanceNombre El parámetro "AlcanceUsuario 1 " copia el nombre de alcance "Alcancel" en el almacenamiento de autorización. Este es el valor del parámetro para AccesoVerificación. VarOperaciones Este parámetro contiene la ID de la operación de almacenamiento en la que estamos interesados, en este ejemplo es 1. VarParámetrosNombres Este parámetro contiene el arreglo de nombres de parámetros. En este ejemplo, el método tiene un solo subnodo de parámetro definido que es "Etiquetas".

VarParámetrosValores Este parámetro contiene un arreglo de valores de parámetro, correspondiente a los nombres de parámetros definidos en el arreglo anterior. El ejemplo utiliza un solo parámetro, con un valor de "1". VarlnterfazNombre Este parámetro contiene una lista de nombres de objetos, ya que estos nombres se utilizan en la regla de negocios definida en la tarea que se refiere a la operación con ID 1. En este ejemplo, solo hay un subnodo de interfaz, y el arreglo contiene solo el valor de atributo Nombre de este subnodo, que es "MiFSOObjeto". VarlnterfazEtiquetas Este arreglo contiene un elemento, correspondiente al nombre del objeto antes descrito. Este es el valor del atributo de Etiquetas en el subnodo de Interfaz, que es 9600. Varlnterfaces Este parámetro es un arreglo (con un elemento, en este ejemplo) de los punteros dispatch obtenidos durante los intentos para crear un ejemplo del objeto que se define por el ProgID definido en el atributo ProgID del subnodo Interfaz. En este ejemplo, ProgID es "sistema.Arc ivoSistemaObjeto". Cuando un caso de este objeto no se puede crear, se regresa un código de error especifico.

Cuando el proceso de construcción de parámetros para el AccesoVerif icación tiene éxito, la función se llama y se verifica el resultado. En este ejemplo, se otorga el acceso al usuariol al alcance "Alcancel" con base en los parámetros y los dos archivos XML definidos. Cuando esta función falla, se genera una excepción. Cuando el AccesoVerif icación niega el acceso al usuario, se registra un código de error específico.

Cuando la función otorga el acceso al usuario para el "Alcance"!", se crea la línea 210 de comando para el módulo ejecutable (es decir, ya que el valor del atributo de ProcesoTipo en este ejemplo es "COMANDO") y se llama al módulo de ejecución con el uso de una línea de comando recién construida. En este ejemplo, la línea de comando se construye como sigue: #Trayecto#, se reemplaza con un valor del atributo MetabaseNodo definido bajo el nodo lISDAAIcance que corresponde al alcance encontrado, que es I IS://Localanf itrión/W3svcv/1. #Etiqueta@1# se reemplaza con un valor del atributo MetabasePropiedad definido para un valor de parámetro de índice 1, que en este ejemplo es AccesoEtiquetas. #1# se reemplaza con el valor del primer parámetro, que en este ejemplo es 1. Esto significa que la línea de comando para el módulo ejecutable es "AJUSTAR I IS://W3svc/1 /Raíz/AccesoEtiquetas 1". El siguiente ejemplo muestra la línea de comando completa que se ejecuta: C:/adsutil.exe AJUSTAR IIS://w3svc/1/Raíz/AccesoEtiquetas 1. En general, cuando ocurre un error mientras se construye la línea de comando (por ejemplo, cuando se utilizan secuencias inválidas, como definir una clave como #CLAVE$, o cuando se utilizan claves no definidas), la aplicación registra un error.

CONCLUSIÓN Los sistemas y métodos descritos para generar una copia saliency con base en contraste para el análisis de atención de imagen. Aunque los sistemas y método han sido descritos con un lenguaje específico para sus características estructurales y operaciones metodológicas, la materia se define en las reivindicaciones anexas y no se limita necesariamente a las características u operaciones antes descritas. Más bien, las características y operaciones específicas se describen como formas ejemplificativas para implementar la materia en cuestión.

Claims (38)

REIVINDICACIONES

1. Un método para ser utilizado por un servidor acoplado con uno o más dispositivos del cliente en un ambiente de computación distribuido, el método está caracterizado porque comprende: hospedar un grupo de recursos; recibir una solicitud desde un usuario para llevar a cabo una operación en un recurso de los recursos, la solicitud se recibe a través de una aplicación hospedada por el servidor; y determinar si autorizar o no la operación como una función de si el usuario ha delegado autoridad para llevar a cabo la operación con respecto al recurso, la autoridad es independiente de si el usuario es miembro de un grupo de administradores asociados con cualquier recurso del servidor.

2. El método de conformidad con la reivindicación 1, caracterizado porque la determinación de autorizar para llevar la cabo la operación se lleva a cabo por una estructura funcional de delegación de administración segura.

3. El método de conformidad con la reivindicación 1, caracterizado porque la operación se asocia con una modificación de contenido y/o la funcionalidad del recurso.

4. El método de conformidad con la reivindicación 1, caracterizado porque el recurso está representado como un nodo metabase de un Servicio de Información Internet (US).

5. El método de conformidad con la reivindicación 1, caracterizado porque la solicitud comprende un alcance asociado con el usuario y el nombre de un método asociado con la operación.

6. El método de conformidad con la reivindicación 1, caracterizado porque el recurso es un sitio de la red hospedado por un proveedor de Servicio Internet (ISP) y en donde el usuario no está autorizado para llevar a cabo actividades administrativas en cualquiera de los recursos asociados con el ISP excepto al enviar una solicitud al ISP para permiso por evaluación mediante una estructura funcional de delegación de administración segura.

7. El método de conformidad con la reivindicación 1, caracterizado porque la solicitud también comprende una indicación de si el usuario desea ejecutar la operación a través de una línea de comando construida en forma dinámica o a través de un objeto ejecutable asociado con la operación.

8. El método de conformidad con la reivindicación 1, caracterizado porque la solicitud también comprende una indicación de si el usuario desea registrar un resultado de la operación.

9. El método de conformidad con la reivindicación 1, caracterizado porque la estructura funcional de delegación de administración segura es segura por lo menos porque no permite el acceso al usuario para copiar un permiso con base en el rol del usuario para llevar a cabo la operación dirigida al recurso.

10. El método de conformidad con la reivindicación 1, caracterizado porque el método también comprende: instalar la aplicación en el servidor; responder a la instalación, la aplicación identifica un grupo de operaciones que la aplicación puede llevar a cabo; copiar, por un miembro del grupo de administradores, las operaciones con un grupo de permisos de seguridad con base en los roles específicos de autorización de un grupo de usuarios que comprende al usuario; y en donde la determinación también comprende la aplicación que utiliza el copiado para identificar si el usuario tiene permiso para llevar a cabo la operación.

11. El método de conformidad con la reivindicación 1, caracterizado porque el método también comprende: especificar por el miembro del grupo de administradores, permisos de acceso para el usuario con base en el rol, con nodos de una metabase de servicios de información de Internet (US) que identifica los recursos; indicar una interfaz para una tarea, la interfaz comprende un grupo de parámetros y un nombre, la tarea comprende la operación; y en donde la determinación también comprende: ubicar la interfaz en un archivo de configuración; responder a la ubicación de la interfaz, presentar una identidad del usuario para el recurso, con el fin de evaluar un alcance en vista de los parámetros, el nombre y el recurso; y responder a la presentación, identificar si el usuario ha sido delegado con un permiso de acceso con base en el rol para llevar a cabo la operación con respecto al recurso.

12. El método de conformidad con la reivindicación 1, caracterizado porque responde a la determinación de que el usuario tiene autoridad delegada para llevar a cabo la operación con respecto al recurso, el método también comprende: ajustar parámetros asociados con la operación; y ejecutar la operación dentro de un alcance asociado con el usuario.

13. Un medio legible por computadora para ser utilizado por un ambiente de computación distribuido que incluye un servidor acoplado con uno o más dispositivos de computación del cliente, el medio legible por computadora está caracterizado porque comprende instrucciones ejecutables por computadora para: hospedar un grupo de recursos, un recurso particular de recursos permite a un usuario determinar si el usuario tiene autoridad delegada para tener acceso al recurso de los recursos; recibir una solicitud desde un usuario para llevar a cabo una operación en un recurso; determinar si autorizar o no la operación como una función de si el usuario ha delegado un alcance con base en el rol de autoridad para llevar a cabo la operación, el alcance con base en el rol no requiere que el usuario sea miembro de un grupo de administradores asociados con cualquier recurso del servidor.

14. El medio legible por computadora de conformidad con la reivindicación 13, caracterizado porque la operación se asocia con una modificación de contenido y/o la funcionalidad del recurso.

15. El medio legible por computadora de conformidad con la reivindicación 13, caracterizado porque el recurso está representado como un nodo metabase de un Servicio de Información Internet (US).

16. El medio legible por computadora de conformidad con la reivindicación 13, caracterizado porque la solicitud comprende un alcance asociado con el usuario y el nombre de un método asociado con la operación.

17. El medio legible por computadora de conformidad con la reivindicación 13, caracterizado porque el recurso es un sitio de la red hospedado por un proveedor de Servicio Internet (ISP) y en donde el usuario no es un miembro del grupo de administradores.

18. El medio legible por computadora de conformidad con la reivindicación 13, caracterizado porque la solicitud también comprende una indicación de si la operación va a ser ejecutada a través de una línea de comando construida en forma dinámica o a través de un objeto ejecutable asociado con la operación.

19. El medio legible por computadora de conformidad con la reivindicación 13, caracterizado porque las operaciones asociadas con la determinación para autorizar las operaciones es segura por lo menos porque el usuario no tiene acceso a los permisos con base en el rol para llevar a cabo la operación.

20. El medio legible por computadora de conformidad con la reivindicación 13, caracterizado porque las instrucciones ejecutables por computadora también comprenden instrucciones para: identificar un grupo de operaciones asociadas con el recurso; copiar las operaciones con un grupo de permisos de seguridad con base en los roles específicos de autorización de un grupo de usuarios que comprende al usuario; y en donde las instrucciones para la determinación también comprenden instrucciones para utilizar el copiado para identificar si el usuario tiene permiso para llevar a cabo la operación.

21. El medio legible por computadora de conformidad con la reivindicación 13, caracterizado porque las instrucciones ejecutables por campo también comprenden instrucciones para: especificar en forma segura los permisos de acceso para el usuario con base en el rol, con nodos de una metabase de servicios de información de Internet (MS) que identifica los recursos; indicar una interfaz para una tarea, la interfaz comprende un grupo de parámetros y un nombre, la tarea comprende la operación; y en donde las instrucciones ejecutables por computadora para la determinación también comprenden instrucciones para: ubicar la interfaz en un archivo de configuración; responder a la ubicación de la interfaz, presentar una identidad del usuario para el recurso, con el fin de evaluar un alcance en vista de los parámetros, el nombre y el recurso; y responder a la presentación, identificar si el usuario ha sido delegado con un permiso de acceso con base en el rol para llevar a cabo la operación con respecto al recurso.

22. El medio legible por computadora de conformidad con la reivindicación 13, caracterizado porque las instrucciones ejecutables por computadora, que responden a la determinación de que el usuario tiene autoridad delegada para llevar a cabo la operación con respecto al recurso, las instrucciones también comprenden instrucciones para: ajustar parámetros asociados con la operación; y ejecutar la operación dentro de un alcance asociado con el usuario.

23. Un servidor para utilizarse en un ambiente de computación distribuido que incluye el servidor y uno o más dispositivos de computación del cliente acoplados con el servidor, el servidor está caracterizado porque comprende: un procesador; y una memoria acoplada con el procesador, la memoria comprende instrucciones ejecutables por computadora para: hospedar un grupo de recursos; recibir una solicitud desde un usuario para llevar a cabo una operación en un recurso de los recursos, y determinar si autorizar o no la operación como una función de si el usuario ha delegado un alcance con base en el rol para la autorización para llevar a cabo la operación, el alcance con base en el rol de autoridad no requiere que el usuario sea miembro de un grupo de administradores asociados con cualquier recurso del servidor.

24. El servidor de conformidad con la reivindicación 23, caracterizado porque la solicitud se genera por al menos un recurso de los recursos.

25. El servidor de conformidad con la reivindicación 23, caracterizado porque la operación se asocia con una modificación de contenido y/o la funcionalidad del recurso.

26. El servidor de conformidad con la reivindicación 23, caracterizado porque el recurso está representado como un nodo metabase de un Servicio de Información Internet (US).

27. El servidor de conformidad con la reivindicación 23, caracterizado porque la solicitud comprende un alcance asociado con el usuario y el nombre de un servidor asociado con la operación.

28. El servidor de conformidad con la reivindicación 23, caracterizado porque el recurso es un sitio de la red hospedado por un proveedor de Servicio Internet (ISP) y en donde el usuario no es un miembro del grupo de administradores.

29. El servidor de conformidad con la reivindicación 23, caracterizado porque la solicitud también comprende una indicación de si el usuario desea ejecutar la operación a través de una línea de comando construida en forma dinámica o a través de un objeto ejecutable asociado con la operación.

30. El servidor de conformidad con la reivindicación 23, caracterizado porque la estructura funcional de delegación de administración segura es segura por lo menos porque no permite el acceso al usuario para copiar un permiso con base en el rol del usuario para llevar a cabo la operación dirigida al recurso.

31. El servidor de conformidad con la reivindicación 23, caracterizado porque las instrucciones ejecutables por computadora también comprenden instrucciones para: identificar un grupo de operaciones asociadas con el recurso: copiar las operaciones con un grupo de permisos de seguridad con base en los roles específicos de autorización de un grupo de usuarios que comprende al usuario; y en donde las instrucciones para la determinación también comprenden instrucciones para utilizar el copiado para identificar si el usuario tiene permiso para llevar a cabo la operación.

32. El servidor de conformidad con la reivindicación 23, caracterizado porque las instrucciones ejecutables por computadora también comprenden instrucciones para: especificar en forma segura, permisos de acceso para el usuario con base en el rol, con nodos de una metabase de servicios de información de Internet (US) que identifica los recursos; indicar una interfaz para una tarea, la interfaz comprende un grupo de parámetros y un nombre, la tarea comprende la operación; y en donde las instrucciones ejecutables por computadora para la determinación también comprenden instrucciones para: ubicar la interfaz en un archivo de configuración; responder a la ubicación de la interfaz, presentar una identidad del usuario para el recurso, con el fin de evaluar un alcance en vista de los parámetros, el nombre y el recurso; y responder a la presentación, identificar si el usuario ha sido delegado con un permiso de acceso con base en el rol para llevar a cabo la operación con respecto al recurso.

33. El servidor de conformidad con la reivindicación 23, caracterizado porque las instrucciones ejecutables por computadora responden a la determinación de que el usuario tiene autoridad delegada para llevar a cabo la operación con respecto al recurso, las instrucciones también comprenden: ajustar parámetros asociados con la operación; y ejecutar la operación dentro de un alcance asociado con el usuario.

34. Un servidor caracterizado porque comprende: un medio para hospedar un grupo de recursos; un medio para recibir una solicitud desde un usuario para llevar a cabo una operación en un recurso de los recursos, y un medio para determinar si autorizar o no la operación como una función de si el usuario ha delegado un alcance con base en el rol para la autorización para llevar a cabo la operación, el alcance con base en el rol de autoridad no requiere que el usuario sea miembro de un grupo de administradores asociados con cualquier recurso del servidor.

35. El servidor de conformidad con la reivindicación 34, caracterizado porque la operación se asocia con una modificación de contenido y/o la funcionalidad del recurso.

36. El servidor de conformidad con la reivindicación 34, caracterizado porque el recurso es un nodo metabase de un Servicio de Información Internet (US).

37. El servidor de conformidad con la reivindicación 34, caracterizado porque el recurso es un sitio de la red hospedado por un proveedor de Servicio Internet (ISP) y en donde el usuario no es un miembro del grupo de administradores.

38. El servidor de conformidad con la reivindicación 34, caracterizado porque responde a la determinación de que el usuario tiene autoridad delegada para llevar a cabo la operación con respecto al recurso, el servidor también comprende: un medio para ajustar parámetros asociados con la operación; y ejecutar la operación dentro de un alcance asociado con el usuario.