MXPA05003167A - Metodo y sistema para presentar y manejar informacion de seguridad. - Google Patents

Abstract

Se proporcionan un metodo y sistema para manejar informacion de seguridad para un dominio de sistemas de computadora. El sistema de seguridad presenta informacion de seguridad para un objeto de seguridad seleccionado, tal como un usuario o un sistema de computadora. El sistema de seguridad inicialmente recupera informacion de seguridad que incluye especificaciones de seguridad que cada una tiene la identificacion de una entidad, un recurso, y un derecho de acceso para el objeto de seguridad seleccionado. El sistema de seguridad despues presenta una identificacion de la entidad y el recurso junto con el derecho de acceso para cada especificacion de seguridad. Cuando la informacion de seguridad es almacenada en un almacenamiento de seguridad (es decir, el almacenamiento de seguridad principal) por recurso y, para cada recurso, las entidades que tienen derechos de acceso a ese recurso, el sistema de seguridad puede utilizar un almacenamiento de seguridad auxiliar para facilitar la recuperacion de la informacion de seguridad.

Description

MÉTODO Y SISTEMA PARA PRESENTAR Y MANEJAR INFORMACIÓN DE SEGURIDAD CAMPO TÉCNICO La tecnología descrita se refiere generalmente a manejar información de seguridad para un dominio de sistemas de computadora.

ANTECEDENTES Los sistemas de red actuales permiten que relaciones confiadas sean establecidas entre dominios de sistemas de computadora Un dominio de sistemas de computadora es una recolección de sistemas de computadora que comparten el atributo común de estar en el mismo dominio. Por ejemplo, todos los sistemas de computadora de una compañía pueden formar el dominio de la compañía, y los sistemas de computadora del departamento de recursos humanos de la compañía pueden formar el dominio de recursos humanos de la compañía. Frecuentemente, los usuarios de sistemas de computadora en un dominio pueden permitir a usuarios de otro dominio acceder sus recursos (por ejemplo, archivos de datos y archivos de aplicación). Por ejemplo, el presidente de la compañía cuyo sistema de computadora está en un dominio ejecutivo puede tener acceso a los archivos personales (es decir, un tipo de recurso) que están almacenados en los sistemas de computadora del dominio de recursos humanos. Para permitir acceso a archivos personales, un administrador de dominio de recursos humanos puede establecer una "relación confiada" con los usuarios del dominio ejecutivo. Una vez que la relación confiado es establecida, el presidente de la compañia, siendo un miembro del dominio confiado, puede ser capaz de acceder los archivos personales deseados. El administrador del dominio de recursos humanos se dice que establece una "confianza de entrada" para el dominio de recursos humanos con el dominio ejecutivo, que significa que los usuarios del dominio ejecutivo son confiados por el administrador del dominio de recursos humanos. El administrador del dominio ejecutivo también puede establecer una relación de confianza entre el dominio ejecutivo y el dominio de recursos humanos. Esta relación de confianza permite a los usuarios del dominio de recursos humanos acceder los recursos del dominio ejecutivo. En este caso, una "confianza de salida" para el dominio de recursos humanos con el dominio ejecutivo es establecida que permite a usuarios del dominio de recursos humanos acceder recursos del dominio ejecutivo. La "confianza de entrada" párale dominio de recursos humanos sería una "confianza de salida" para el dominio ejecutivo, y la "confianza de entrada" para el dominio ejecutivo sería una "confianza de salida" para el dominio de recursos humanos. Una vez que una relación de confianza es establecida entre dominios, el acceso a los recursos del dominio con la confianza de entrada puede ser controlado por una lista de control de acceso ("ACL") o algún otro mecanismo de control. Por ejemplo, un director dentro de un dominio de recursos humanos puede especificar que el presidente tiene acceso sólo de lectura a su archivo de personal y acceso de escritura-lectura a los archivos de personal de los otros ejecutivos de la compañía. Cuando el presidente solicite acceso a su archivo de personal, el mecanismo de seguridad del dominio de recursos humanos revisa la ACL de ese archivo de personal para asegurar que el acceso solicitado es consistente con los derechos de acceso del presidente. Sí no, al presidente el acceso es negado. Puede ser mucha perdida de tiempo para los administradores y usuarios de un dominio que tiene una relación de confianza de entrada para establecer los derechos de acceso apropiados para todos sus recursos para todos los usuarios del dominio confiado. Para ayudar a facilitar el establecimiento de los derechos de acceso, al menos un mecanismo de seguridad de red proporciona un derecho de acceso "autorizado para identificar" entre sistemas de computadora del dominio con la confianza de entrada y usuarios del dominio con la confianza de salida correspondiente. Por ejemplo, el administrador del dominio de recursos humanos puede especificar que los ejecutivos de la compañía son autorizados para autentificar al servidor de personal del dominio de recursos humanos que contiene los archivos de personal. Cuando el presidente solicite acceso a los archivos de personal, el sistema de computadora de! presidente primero intenta autentificar el servidor de personal. Sí el administrador de recursos humanos ha permitido al presidente el derecho para autentificar el servidor de personal, el mecanismo de seguridad de red autentifica al presidente para asegurar que es realmente el presidente que ha solicitado el acceso. Una vez que la autentificación es completada, después el presidente puede acceder los recursos (por ejemplo, archivos de personal) del servidor de personal de acuerdo con la ACL de esos recursos. Si ninguno de los recursos del servidor de personal tiene una ACL que otorga al presidente derechos de acceso, después aunque el presidente pueda ser autentificado, el presidente no será capaz de acceder cualquiera de los recursos. El procedimiento de autentificación utilizado por un mecanismo de seguridad de red puede ser una técnica de autentificación de Kerebos estándar en la que un cliente de Kerebos del sistema de computadora de presidente proporciona un nombre de usuario y contraseña a un servidor de Kerebos del dominio de recursos humanos. El servidor de Kerebos valídale nombre de usuario y contraseña, asegura que el usuario que tiene derechos de acceso autorizados para autentificar al sistema de computadora solicitado, y sí es así, proporciona un "boleto" al usuario. El boleto es utilizado cuando sea que el usuario intente acceder un recurso del sistema de computadora al que ha sido autentificado. Sí el boleto es válido, entonces el acceso al recurso es permitido de acuerdo con la ACL del recurso. Sí no, es acceso es negado. Algunos mecanismos de seguridad de red almacenan información de seguridad, tal como información autorizada para autentificar, para un dominio en un depósito central que utiliza un servidor de directorio tal como un directorio de LDAP o "DIRECTORIO ACTIVO DE MICROSOFT". Cada sistema de computadora de un dominio puede tener una entrada dentro de un depósito central que especifica que usuarios de dominios con confianzas de salida a este dominio están autorizados para autentificar a ese sistema de computadora. Por ejemplo, la entrada para el servidor de personal del dominio de recursos humanos puede especificar que un grupo de usuarios, referido como "ejecutivos", del dominio ejecutivo están autorizados para autentificar al servidor de personal. La entrada alternativamente puede poner en lista los nombres de usuario de cada ejecutivo. Un mecanismo de seguridad de red accede este depósito central cuando sea que un usuario de un dominio con una confianza de salida a este dominio solicite autentificar a un sistema de computadora de este dominio. Tales depósitos centrales de información de seguridad almacenan la información para cada sistema de computadora, pero no almacenan la información en una forma que todos los derechos de acceso de usuarios de individuo de dominios con confianzas de salida puedan ser determinados rápidamente. Para determinar los derechos de acceso de un usuario, el almacenamiento de entrada de información de seguridad necesitaría ser accedida para identificar a qué sistemas de computadora el usuario tiene derechos de acceso (por ejemplo, derechos de acceso autorizados para autentificar).

Debido a que los dominios tienen cientos de miles de sistemas de computadora y pueden tener relaciones de confianza de entrada con muchos dominios diferentes, cada uno con cientos de miles de usuarios, la información de seguridad del depósito central puede ser extremadamente grande, y puede tomar mucho tiempo identificar todos los derechos de acceso de un usuario individual. Por ejemplo, en un caso, a un programa de computadora le toma más de tres días compilar una lista que indicó, para cada usuario con un derecho de acceso autorizado para autentificar, la lista de sistemas de computadora a los que el usuario tiene derecho de acceso autorizado para autentificar. Como resultado, algunos administradores no utilizan ciertas características de seguridad de mecanismos de seguridad de red debido a que es ¡mpráctico identificar y controlar los derechos de acceso de usuarios individuales. Seria deseable tener una forma efectiva que permitiría a un administrador ver y controlar información de seguridad de control para usuarios individuales.

COMPENDIO DE LA INVENCIÓN Se proporciona un sistema de seguridad para mantener información de seguridad. En una modalidad, el sistema de seguridad proporciona un almacenamiento de seguridad principal para un dominio que contiene entradas para recursos del dominio que identifica entidades y sus derechos de acceso a los recursos. El sistema de seguridad también proporciona un almacenamiento de seguridad auxiliar con entradas que identifican los derechos de acceso de una entidad a un recurso. El sistema de seguridad utiliza el almacenamiento de seguridad auxiliar cuando proporciona una interfase de usuario a través de la cual un administrador puede ver y actualizar derechos de acceso. El sistema de seguridad utiliza el almacenamiento de seguridad principal cuando verifica derechos de acceso de una entidad a un recurso. Cuando un usuario especifica actualizar derechos de acceso, el sistema de seguridad actualiza tanto el almacenamiento de seguridad principal como el almacenamiento de seguridad auxiliar. De esta forma, el sistema de seguridad permite a un administrador controlar efectivamente información de seguridad en una base por entidad y mantiene el almacenamiento de seguridad principal sincronizado con el almacenamiento de seguridad auxiliar.

BREVE DESCRIPCIÓN DE LOS DIBUJOS La Figura 1 es una página de presentación que ilustra entrada de un objeto seleccionado cuyas especificaciones de seguridad van a ser presentadas en una modalidad. La Figura 2A es una página de presentación que ilustra la presentación de especificaciones de seguridad autorizadas para autentificar para una entidad en una modalidad. La Figura 2B es una página de presentación que ilustra la presentación de especificaciones de seguridad autorizadas para autentificar un recurso en una modalidad. La Figura 3 es una página de presentación que ilustra la creación de una especificación autorizada para autentificar en una modalidad. La Figura 4 es un diagrama de bloque que ilustra componentes de un dominio que implementa el sistema de seguridad en una modalidad. La Figura 5 es un diagrama de flujo que ilustra ei procesamiento del componente de almacenamiento de seguridad auxiliar de iniciación en una modalidad. La Figura 6 es un diagrama de flujo que ilustra el procesamiento del controlador de Ul en una modalidad. La Figura 7 es un diagrama de flujo que ilustra el procesamiento del componente de información de entidad de presentación en una modalidad. La Figura 8 es un diagrama de flujo que ilustra el procesamiento del componente de especificación de seguridad de presentación en una modalidad. La Figura 9 es un diagrama de flujo que ilustra el procesamiento del componente de especificación de seguridad de actualización en una modalidad.

DESCRIPCIÓN DETALLADA Se proporciona un método y sistema para manejar información de seguridad para un dominio de sistemas de computadoras. En una modalidad, el sistema de seguridad presenta información de seguridad para un objeto de seguridad seleccionado, tal como un usuario o un sistema de computadora. El sistema de seguridad inicialmente recupera información de seguridad que incluye especificaciones de seguridad que cada una tiene la identificación de una entidad, un recurso, y un derecho de acceso para el objeto de seguridad seleccionado. Una entidad puede incluir un usuario o grupos de usuarios, un recurso puede incluir sistemas de computadora, y un derecho de acceso puede especificar sí la entidad esta autorizada para autentificar el recurso. El sistema de seguridad después presenta una identificación de una entidad y el recurso junto con el derecho de acceso para cada aplicación de seguridad. Cuando la información de seguridad es almacenada en un almacenamiento de seguridad (es decir, el almacenamiento de seguridad principal) por recurso y, para cada recurso, las entidades que tienen derechos de acceso a ese recurso, el sistema de seguridad puede utilizar un almacenamiento de seguridad auxiliar para facilitar la recuperación de la información de seguridad. En una modalidad, el almacenamiento de seguridad auxiliar contiene una entrada para cada especificación de seguridad especificada en el almacenamiento de seguridad principal.

Una especificación de seguridad define un tripleto de una entidad, un recurso, y un derecho de acceso, que significa que la entidad tiene el derecho de acceso especificado al recurso. La entidad también puede ser referida como una "fuente" del derecho de acceso, y el recurso también puede ser referido como el "destino" del derecho de acceso. Esta terminología de fuente y destino es similar a la terminología utilizada por mecanismos de muro a prueba de incendios que especifican qué fuentes tienen qué derechos de acceso a qué destinos. El sistema de seguridad puede utilizar el almacenamiento de seguridad auxiliar cuando provee a un administrador con acceso a la información de seguridad. En particular, cuando un administrador quiere ver información de seguridad, el sistema de seguridad recupera las especificaciones de seguridad del almacenamiento de seguridad auxiliar, más que el almacenamiento de seguridad principal. Además, cuando un administrador quiere modificarla información de seguridad, el sistema de seguridad utiliza las especificaciones de seguridad del almacenamiento de seguridad auxiliar para ayudar al administrador al especificar que información de seguridad va a ser modificada El sistema de seguridad también actualiza tanto el almacenamiento de seguridad principal y el almacenamiento de seguridad auxiliar para reflejar la modificación. De esta forma, un administrador puede utilizar el sistema de seguridad, que utiliza el almacenamiento de seguridad auxiliar, para manejar efectivamente la información de seguridad para su dominio, y el mecanismo de seguridad de red aún puede utilizar el almacenamiento de seguridad principal cuando revisa sí una entidad solicita acceso a un recurso tiene derechos de acceso suficientes para el acceso solicitado. En una modalidad, el sistema de seguridad ¡nicialmente puede poblar el almacenamiento de seguridad auxiliar al compilar especificaciones de seguridad de la información de seguridad del almacenamiento de seguridad principal. Aunque puede tomar mucho tiempo recuperar y procesar la información de seguridad del almacenamiento de seguridad principal, la recuperación y procesamiento necesita ser hecho sólo una vez. Después de que el almacenamiento de seguridad auxiliares inicialmente poblado, el sistema de seguridad actualiza tanto el almacenamiento de seguridad principal y el almacenamiento de seguridad secundario cuando sea que la información de seguridad sea actualizada. Debido a que es importante para el almacenamiento de seguridad principal y el almacenamiento de seguridad auxiliar ser consistentes, el sistema de seguridad después de actualizar tanto el almacenamiento de seguridad principal y el almacenamiento de seguridad secundario puede recuperar la información de seguridad de los almacenamientos de seguridad para asegurar que las actualizaciones sean completadas correctamente. Sí no, el sistema de seguridad puede notificar a un administrador para que la acción correctiva pueda ser tomada. El sistema de seguridad también puede registrar todas las actualizaciones a la información de seguridad con el fin de que las actualizaciones para los almacenamientos de seguridad puedan ser giradas hacia delante o hacia atrás como es apropiado. En una modalidad, el sistema de seguridad puede asegurar que sólo usuarios (por ejemplo, administradores) con el privilegio para autorizar o no autorizar los derechos de acceso (por ejemplo, autorizados para autentificar) manejados por el sistema de seguridad están autorizados para actualizar la información de seguridad. En una modalidad, el sistema de seguridad autoriza derechos de acceso para ser heredados de objetos de seguridad padres. Por ejemplo, sí a un usuario se le ha otorgado el derecho para autorizar a un dominio de sistemas de computadora, entonces cada sub-contenedor del dominio hereda ese otorgamiento. Además, cada sistema de computadora de cada sub-contenedor también hereda ese otorgamiento. Sin embargo, el sistema de seguridad, autoriza a un administrador para traslapar un derecho de acceso heredado. Por ejemplo, un administrador puede especificar que un usuario no tiene el derecho de acceso a un cierto sistema de computadora del sub-contenedor para traslapar el otorgamiento heredado. El sistema de seguridad, en una modalidad, no autoriza traslapes anidados de derechos de acceso. Por ejemplo, sí un administrador traslapa el otorgamiento heredado para un sub-contenedor, el sistema de seguridad no permitiría a un administrador traslapar el traslape heredado por un sistema de computadora de un sub-contenedor. De esa forma, el administrador puede no especificar que al sub-contenedor no es otorgado el derecho de acceso heredado, pero a un sistema de computadora del sub-contenedor es otorgado el derecho de acceso heredado Sí un administrador necesita que al sistema de computadora sea otorgado el derecho de acceso, entonces la estructura jerárquica de los objetos de segundad pueden ser reorganizados con el fin de que el sistema de computadora no este en el sub-contenedor cuyos derechos heredados han sido traslapados Alternativamente, el sistema de computadora también puede estar en otro dominio a través del cual hereda el derecho de acceso Las Figuras 1-3 son páginas de presentación que ilustran el manejo de información de seguridad autorizada para autentificar en una modalidad La Figura 1 es una página de presentación que ilustra entrada de un objeto seleccionado cuyas especificaciones de seguridad van a ser presentadas en una modalidad La pagina de presentación 100 contiene campos de entrada de datos 101 y 102 para entrada de la identificación de una entidad o un recurso Los campos de entrada de datos pueden proporcionar listas descendientes o capacidades de navegación para facilitar la selección del objeto de seguridad El botón de sumisión 103 es seleccionado por un administrador cuando las especificaciones de seguridad autorizadas para autentificar van a ser identificadas por la entidad o recurso Por ejemplo, para ver la información de seguridad para el presidente de una compañía, el administrador ingresaría el nombre del presidente, John Doe, en el campo de entidad y seleccionar el botón de sumisión Alternativamente, el administrador ingresaría el nombre de un recurso en el campo de recurso y seleccionaría el botón de sumisión para ver información de seguridad para ese recurso Después de que el botón de sumisión es seleccionado, entonces las especificaciones de seguridad para el objeto de seguridad identificado son presentadas como se muestra en la Figura 2A La Figura 2A es una página de presentación que ilustra la presentación de especificaciones de seguridad autorizadas para autentificar para una entidad en una modalidad La página de presentación 200 incluye un campo de identificación de objeto de seguridad 201, y un área de información de segundad 202 El campo de identificación de objeto de seguridad identifica el objeto de seguridad a través de la página de presentación de la Figura 1 Es este caso, el usuario con el nombre "John Doe" es la entidad cuyas especificaciones de seguridad van a ser presentadas El área de información de segundad contiene una lista de los recursos a los que "John Doe" tiene el derecho para autentificar En este ejemplo, "John Doe" tiene el derecho para autentificar a "computadoral ", "computadorad", "computadorad", y "computadoral 2" Un experto en la técnica apreciará que las especificaciones de seguridad pueden ser seleccionadas en una forma que refleja la jerarquía sobresaliente de los objetos de seguridad Por ejemplo, una entidad puede ser un grupo de usuarios que es definido por varios sub-grupos El sistema de seguridad puede permitir a un administrador ver las especificaciones de seguridad para el grupo y perforar los sub-grupos y finalmente un usuario individual Similarmente, un recurso puede estar especificado como un dominio dentro de sub-dominios, y un administrador puede seleccionar ver todas las especificaciones de segundad para recursos dentro del dominio o sub-dommio La Figura 2B es una página de presentación que ilustra la presentación de especificaciones de seguridad autorizadas para autentificar de un recurso en una modalidad La pagina de presentación 250 incluye un área de identificación de dominio 251 y un área de especificación de seguridad 252 Cuando un administrador selecciona un dominio, el sistema de seguridad presenta las especificaciones de seguridad para ese dominio en el área de especificación de segundad El área de especificación de seguridad incluye una columna de recurso 253, una columna de entidad 254, y una columna de derecho de acceso 255 cada fila de! área de especificación de seguridad identifica un recurso y entidad y derecho de acceso correspondiente La Figura 3 es una pagina de presentación que ilustra la creación de una especificación de seguridad autorizada para autentificar en una modalidad La página de presentación 300 incluye un campo de identificación de entidad 301, un campo de identificación de recurso 302, botones de radio de especificación de acción 303, y un botón para agregar 304 La identificación de entidad identifica la entidad para la que una especificación de seguridad va a ser creada El campo de identificación de entidad puede contener una lista descendiente de entidades En este ejemplo, el objeto de segundad es la entidad John Doe El campo de identificación de recurso es utilizado para especificar el recurso para el que la entidad va a tener una especificación de seguridad agregada. El campo de identificación de recurso puede contener una lista descendiente de sistemas de computadora del dominio con la lista de entrada. Los botones de radio de acción especifican sí la entidad está autorizada para autentificar a! recurso. El administrador, después de especificar la entidad, recurso, y acción, selecciona el botón para agregar para agregar la especificación de seguridad al almacenamiento de seguridad auxiliar y por consiguiente para actualizar el almacenamiento de seguridad principal. La Figura 4 es un diagrama de bloque que ilustra componentes de un dominio que implementa el sistema de seguridad en una modalidad. El dominio incluye sistemas de computadora 401, un sistema de seguridad 410, y un servidor de directorio 420 interconectado a través de enlaces de comunicaciones 402. El servidor de directorio proporciona acceso a un almacenamiento de seguridad principal 421 y un almacenamiento de seguridad auxiliar 422. Un experto en la técnica apreciará que el almacenamiento de seguridad auxiliar puede ser localizado en un servidor separado del servidor en el que el almacenamiento de seguridad principal está localizado. El sistema de seguridad ¡ncluye un controlador de Ul 411, un componente de almacenamiento de seguridad auxiliar de iniciación 412, un componente de entrada de entidad de para encontrar 413, un componente de entrada de recurso para encontrar 414, y un componente de entrada de actualización 415, que puede ejecutar el sistema de computadora en el que el sistema de seguridad está instalado. El controlador de Ul proporciona la ¡nterfase de usuario para el sistema de seguridad como se ¡lustra, por ejemplo, por las Figuras 1-3. El controlador de Ul invoca el componente de entrada de entidad para encontrar y el componente de entrada de recurso para encontrar para recuperar información de seguridad del almacenamiento de seguridad auxiliar. El controlador de Ul invoca el componente de entrada de actualización para actualizar información de seguridad tanto en el almacenamiento de seguridad principal y el almacenamiento de seguridad auxiliar. El componente de almacenamiento de seguridad auxiliar de iniciación puebla el almacenamiento de seguridad auxiliar inicialmente basándose en información de seguridad del almacenamiento de seguridad principal. El dispositivo de cómputo en el que el sistema de seguridad es implementado puede incluir una unidad central de procesamiento, memoria, dispositivos de entrada (por ejemplo, teclado y dispositivos de señalamiento), dispositivos de salida (por ejemplo, dispositivos de presentación), y dispositivos de almacenamiento (por ejemplo, unidades de disco). Los dispositivos de memoria y almacenamiento son medios legibles por computadora que pueden contener instrucciones que implementan el sistema de seguridad. Además, las estructuras de datos y estructuras de mensaje pueden ser almacenadas o transmitidas a través de un medio de transmisión de datos, tal como una señal en un enlace de comunicaciones. Varios enlaces de comunicaciones pueden ser utilizados, tal como Internet, red de área local, una red de área ancha, o una conexión de Mamado punto a punto. La Figura 4 ilustra un ejemplo de un ambiente operativo adecuado en el que el sistema de seguridad puede ser implementado. Este ambiente operativo es sólo un ejemplo de ambiente operativo adecuado y no pretende sugerir cualquier limitación al alcance de uso o funcionalidad del sistema de seguridad. Otros sistemas de cómputo bien conocidos, ambientes, y configuraciones pueden ser adecuados para utilizar incluyendo computadoras personales, computadoras de servidor, dispositivos portátiles o laptop, sistemas de multiprocesador, aparatos electrónicos programables para el consumidor, PCs de red, minicomputadoras, macrocomputadoras, ambientes de cómputo distribuidos que incluyen cualquiera de los sistemas o dispositivos anteriores, y similares. El sistema de seguridad puede ser descrito en el contexto general de instrucciones ejecutables por computadora, tal co o módulos de programa, ejecutados por una o más computadoras u otros dispositivos. Generalmente, los módulos de programa incluyen rutinas, programas, objetos, componentes, estructuras de datos, y así sucesivamente que realizan tareas particulares o implementan tipos de datos abstractos particulares. Típicamente, la funcionalidad de los módulos de programa puede ser combinada y distribuida como es deseado en varias modalidades.

La Figura 5 es un diagrama de flujo que ilustra el procesamiento del componente de almacenamiento de seguridad auxiliar de iniciación en una modalidad. Este componente recupera información autorizada para autentificar del almacenamiento de seguridad principal y puebla el almacenamiento de seguridad auxiliar con especificaciones de seguridad derivadas de la información de seguridad recuperada. En los bloques 501-505, las vueltas de componente que seleccionan cada recurso del almacenamiento de seguridad principal y cada entidad que tiene información autorizada para autentificar especificada por ese recurso. En el bloque 501, el componente selecciona el siguiente recurso del almacenamiento de seguridad principal. En el bloque de decisión 502, sí todos los recursos del almacenamiento de seguridad principal ya han sido seleccionados, entonces el componente completa, también el componente continúa en el bloque 503. En el bloque 503, el componente selecciona la siguiente entidad para el recurso seleccionado del almacenamiento de seguridad principal. En el bloque de decisión 504, sí todas las entidades ya han sido seleccionadas, entonces el componente gira al bloque 501 para seleccionar el siguiente recurso, también el componente continúa en el bloque 505. En el bloque 505, el componente agrega una especificación de seguridad al almacenamiento de seguridad auxiliar que especifica el recurso seleccionado y entidad seleccionada junto con la acción de autorizada para autentificar (es decir, negar o autorizar). El componente entonces gira al bloque 503 para seleccionar la siguiente entidad para el recurso seleccionado. La Figura 6 es un diagrama de flujo que ilustra el procesamiento del controlador de Ul en una modalidad. En el bloque 601, el controlador de Ul presenta una página de presentación tal como aquella de la Figura 1. En el bloque de decisión 602, el administrador ha ingresado la identificación de una entidad, después el componente continúa en el bloque 603, también el componente continúa en el bloque 604. En el bloque 603, el controlador de Ul invoca un componente de información de entidad de presentación para controlar la presentación de las especificaciones de seguridad para la entidad identificada. El componente después gira al bloque 601 para re-presentar la página de presentación. En el bloque de decisión 604, sí el administrador ha ingresado la identificación de un recurso, entonces el controlador de Ul continúa en el bloque 605, también el controlador de Ul gira para re-presentar la página de presentación. En el bloque 605, el controlador de Ul invoca el componente de información de recurso de presentación para presentar las especificaciones de seguridad para el recurso identificado y después gira al bloque 601 para re-presentar la página de presentación. La Figura 7 es un diagrama de flujo que ilustra el procesamiento del componente de información de entidad de presentación en una modalidad. A este componente es pasado la identificación de una entidad y controla la presentación de especificaciones de seguridad de la entidad identificada. En el bloque 701, el componente identifica los grupos a los que pertenece la entidad. El componente puede identificar los grupos al contactar el dominio de esa entidad y solicitarlo para identificar los grupos a los que pertenece la entidad. El dominio puede cruzar un "miembro de" árbol para identificar todos los grupos a los que pertenece la entidad transitivamente. En los bloques 702-704, el componente gira recuperando las entradas del almacenamiento de seguridad auxiliar para los grupos. La misma entidad puede ser considerada por si misma un grupo. En el bloque 702, el componente selecciona el siguiente grupo. En el bloque de decisión 703, sí todos los grupos ya han sido seleccionados, entonces el componente continúa en el bloque 705, también el componente continúa en el bloque 704. En el bloque 704, el componente recupera especificaciones de seguridad para el grupo seleccionado del almacenamiento de seguridad auxiliar y después gira al bloque 702 para seleccionar el siguiente grupo. En el bloque 705, el componente presenta las especificaciones de seguridad recuperadas, por ejemplo, como se muestra en la Figura 2A. La Figura 8 es un diagrama de flujo que ilustra el procesamiento del componente de especificación de seguridad de presentación en una modalidad. Al componente es pasada la identificación de un dominio y presenta las especificaciones de seguridad que se relacionan al dominio identificado. En el bloque 801, el componente recupera las especificaciones de seguridad del almacenamiento de seguridad auxiliar para el dominio identificado.

En el bloque 802, el componente presenta las especificaciones de seguridad recuperadas, por ejemplo, como en la Figura 2B. El componente después se completa. La Figura 9 es un diagrama de flujo que ¡lustra el procesamiento del componente de especificación de seguridad de actualización en una modalidad. Al componente es pasada una especificación de seguridad que identifica una entidad, un recurso, y un derecho de acceso. Este componente es invocado después de que un administrador ha especificado una especificación de seguridad (por ejemplo, que utiliza la página de presentación de la Figura 3). En el bloque de decisión 901, sí una especificación de seguridad para el par de entidad y recurso ya está en el almacenamiento de datos auxiliar, entonces el componente continúa en el bloque 902, también el componente continúa en el bloque 904. Aunque no se ¡lustra en la figura, también puede ser pasada una bandera que indica sí se borra la especificación de seguridad. En el bloque 902, el componente actualiza la especificación de seguridad del almacenamiento de seguridad auxiliar para reflejar el nuevo derecho de acceso de la especificación de seguridad pasada. En el bloque 903, el componente actualiza la información de seguridad del almacenamiento de seguridad principal y después regresa. En el bloque 904, el componente agrega la especificación de seguridad pasada al almacenamiento de seguridad auxiliar. En el bloque 905, el componente actualiza la información de seguridad en el almacenamiento de seguridad principal como se indica por la especificación de seguridad pasada y después regresa. Un experto en la técnica apreciará que aunque modalidades específicas del sistema de seguridad han sido descritas aquí para propósitos de ilustración, varias modificaciones pueden ser hechas sin apartarse del espíritu y alcance de la invención. Un experto en la técnica apreciará que un dominio puede ser definido en términos de usuarios o sistemas de computadora, o ambos. Un experto en la técnica apreciará que el sistema de seguridad puede ser adaptado para manejar muro a prueba de fuego o reglas de filtro de seguridad que pueden ser almacenadas en un almacenamiento de seguridad principal. Por consiguiente, la invención no está limitada excepto por las reivindicaciones anexas.

Claims (39)

REIVINDICACIONES

1.- Un método en un sistema de computadora para presentar información autorizada para autentificar, el método comprende: recibir una selección de un objeto de seguridad; recuperar información autorizada para autentificar para el objeto de seguridad seleccionado, la información que identifica una entidad, un recurso, y una acción en donde cuando la entidad intenta autentificar al recurso, la acción indica sí autorizar o negar el intento para autentificar al recurso; y presentar una indicación del objeto de seguridad seleccionado junto con la información autorizada para autentificar recuperada.

2.- El método de acuerdo con la reivindicación 1, que incluye modificar la acción asociada con una entidad y recurso.

3.- El método de acuerdo con la reivindicación 1, que incluye crear nueva información autorizada para autentificar que especifica sí una entidad está autorizada para autentificar un recurso.

4.- El método de acuerdo con la reivindicación 1, en donde el objeto de seguridad seleccionado es una entidad.

5.- El método de acuerdo con la reivindicación 1, en donde el objeto de seguridad seleccionado es un recurso.

6.- El método de acuerdo con la reivindicación 1, que incluye cuando el objeto de seguridad seleccionado es un usuario, identificar todos los grupos de los que el usuario es un miembro y recuperar información autorizada para autentificar para los grupos identificados.

7.- El método de acuerdo con la reivindicación 1, en donde la información autorizada para autentificar es recuperada de un almacenamiento de seguridad auxiliar que está separado de un almacenamiento de seguridad principal utilizado por un mecanismo de seguridad cuando una entidad intenta autentificar un recurso.

8.- El método de acuerdo con la reivindicación 1, en donde las entidades están representadas como fuentes y los recursos están representados como destinos.

9.- El método de acuerdo con la reivindicación 1, en donde los recursos están en un dominio y las entidades están en otro dominio y el dominio tiene una relación de confianza de entrada con el otro dominio.

10.- Un método en un sistema de computadora para mantener información de seguridad, el método comprende: proporcionar un almacenamiento de seguridad principal para un dominio, el almacenamiento de seguridad principal contiene entradas para recursos del dominio, cada entrada para un recurso identifica entidades y un derecho de acceso de cada entidad al recurso; proporcionar un almacenamiento de seguridad auxiliar para el dominio, el almacenamiento de seguridad auxiliar contiene entradas para entidades, cada entrada para una entidad que identifica un recurso y derecho de acceso de la entidad al recurso; recibir de un usuario una selección de un objeto de seguridad; recuperar del almacenamiento de seguridad auxiliar entradas que se relacionan al objeto de seguridad seleccionado; y presentar las entidades, recursos, y derechos de acceso de las entradas recuperadas en donde el almacenamiento de seguridad principal es utilizado cuando se verifican los derechos de acceso de una entidad a un recurso.

11.- El método de acuerdo con la reivindicación 10, que incluye recibir una indicación para cambiar derechos de acceso de una entidad a un recurso y entradas de actualización tanto del almacenamiento de seguridad principal como del almacenamiento de seguridad auxiliar.

12.- El método de acuerdo con la reivindicación 10, que incluye inicialmente generar el almacenamiento de seguridad auxiliar de las entradas del almacenamiento de seguridad principal.

13.- El método de acuerdo con la reivindicación 10, en donde el derecho de acceso es sí una entidad está autorizada para autentificar a un recurso.

14.- El método de acuerdo con la reivindicación 10, en donde el almacenamiento de seguridad principal es ¡mplementado utilizando un servicio de directorio del dominio.

15.- El método de acuerdo con la reivindicación 14, en donde el servicio de directorio es un "DIRECTORIO ACTIVO".

16.- El método de acuerdo con la reivindicación 14, en donde el almacenamiento de seguridad auxiliar es ¡mplementado utilizando un servicio de directorio del dominio.

17.- El método de acuerdo con la reivindicación 10, que incluye, cuando el objeto de seguridad seleccionado es una entidad, identificar grupos de los que la entidad es un miembro y recuperar del almacenamiento de seguridad auxiliar entradas que se relacionan a los grupos identificados.

18.- El método de acuerdo con la reivindicación 10, en donde las entidades están representadas como fuentes y los recursos están representados como destinos.

19.- El método de acuerdo con la reivindicación 10, en donde los recursos están en un dominio y las entidades están en otro dominio y el dominio tiene una relación de confianza de entrada con el otro dominio.

20.- Un sistema de computadora para presentar información de seguridad, que comprende: un componente que recibe una selección de un objeto de seguridad; un componente que recupera información de seguridad para el objeto de seguridad seleccionado, la información de seguridad identifica una fuente, un destino, y un derecho de acceso en donde cuando la fuente intenta acceder al destino, el derecho de acceso es utilizado para controlar acceso al destino; y un componente que presenta una indicación de la fuente, destino, y derecho de acceso de la información de seguridad recuperada.

21.- El sistema de computadora de acuerdo con la reivindicación 20, en donde la información de seguridad es información autorizada para autentificar.

22.- El sistema de computadora de acuerdo con la reivindicación 20, que ¡ncluye un componente que modifica el derecho de acceso asociado con una fuente y un destino.

23.- El sistema de computadora de acuerdo con la reivindicación 20, que incluye un componente que crea nueva información de seguridad que especifica un derecho de acceso de una fuente a un destino.

24.- El sistema de computadora de acuerdo con la reivindicación 20, en donde el objeto de seguridad seleccionado es una fuente.

25.- El sistema de computadora de acuerdo con la reivindicación 20, en donde el objeto de seguridad seleccionado es un destino.

26.- El sistema de computadora de acuerdo con la reivindicación 20 que incluye, cuando el objeto de seguridad seleccionado es un usuario, identificar todos los grupos de los que el usuario es un miembro y recuperar información de seguridad para los grupos identificados.

27.- El sistema de computadora de acuerdo con la reivindicación 20, en donde la información de seguridad es recuperada de un almacenamiento de seguridad auxiliar que está separado del almacenamiento de seguridad principal cuando una fuente intenta acceder un destino.

28.- El sistema de computadora de acuerdo con la reivindicación 20, en donde las fuentes son entidades y los destinos son recursos.

29.- El sistema de computadora de acuerdo con la reivindicación 20, en donde los destinos están en un dominio y las fuentes están en otro dominio y el dominio tiene una relación de confianza de entrada con el otro dominio.

30.- Un sistema de computadora para mantener información de seguridad, que comprende: un almacenamiento de seguridad principal para un dominio, el almacenamiento de seguridad principal contiene entradas para recursos del dominio, cada entrada para un recurso identifica entidades y un derecho de acceso de cada entidad al recurso; un almacenamiento de seguridad auxiliar para el dominio, el almacenamiento de seguridad auxiliar que contiene especificaciones de seguridad que cada una identifica un derecho de acceso de una entidad a un recurso; un componente que presenta entidades, recursos, y derechos de acceso recuperados del almacenamiento de seguridad auxiliar; y un componente que utiliza el almacenamiento de seguridad principal para verificar derechos de acceso cuando una entidad intenta acceder un recurso.

31.- El sistema de computadora de acuerdo con la reivindicación 30, que incluye un componente que recibe una indicación para cambiar derechos de acceso de una entidad a un recurso y un componente que actualiza tanto el almacenamiento de seguridad principal como el almacenamiento de seguridad auxiliar.

32.- El sistema de computadora de acuerdo con la reivindicación 30, que incluye un componente que genera el almacenamiento de seguridad auxiliar del almacenamiento de seguridad principal.

33.- El sistema de computadora de acuerdo con la reivindicación 30, en donde un derecho de acceso es sí una entidad está autorizada para autentificar a un recurso.

34.- El sistema de computadora de acuerdo con la reivindicación 30, en donde el almacenamiento de seguridad principal es implementado utilizando un servicio de directorio del dominio.

35.- El sistema de computadora de acuerdo con la reivindicación 34, en donde el servicio de directorio es un "DIRECTORIO ACTIVO"

36.- El sistema de computadora de acuerdo con la reivindicación 34, en donde el almacenamiento de seguridad auxiliar es implementado utilizando el servicio de directorio del dominio.

37.- El sistema de computadora de acuerdo con la reivindicación 30, que incluye un componente que identifica un grupo del que la entidad es un miembro y recupera del almacenamiento de seguridad auxiliar entradas que se relacionan a los grupos identificados.

38.- El sistema de computadora de acuerdo con la reivindicación 30, en donde las entidades están representadas como fuentes y los recursos están representados como destinos.

39.- El sistema de computadora de acuerdo con la reivindicación 30, en donde los recursos están en un dominio y las entidades están en el otro dominio y el dominio tiene una relación de confianza de entrada con el otro dominio.