XMLコンソーシアムWeek 2005/06/07

XML Consortium
SOX法対策とｱｸｾｽ制御
XACML v2.0の概要
eXtensible Access Control Markup Language
OASIS Standard, 1 Feb 2005
2005年12月15日
XMLコンソーシアムセキュリティ部会
山根利夫（株）日立製作所
© XML Consortium
アジェンダ

XML Consortium



全体統制としてのｱｸｾｽ制御
ﾛｰﾙﾍﾞｰｽｱｸｾｽ制御
XACMLの概要
V2.0の強化点と製品化状況
© XML Consortium
-2-
Security SIG
15-Dec-2005
1. 全体統制としてのｱｸｾｽ制御
「職務分離」と「ｱｸｾｽ制御」は、SOX法対応
に於いて、ｼｽﾃﾑを保障する「IT全体統制」
の基本要素。（日本版SOX法 2006年？）
XML Consortium

© XML Consortium

ｼｽﾃﾑへ利用者を登録する方式での問題点
ｼｽﾃﾑ毎／職務毎の利用者登録
充分に複雑なﾊﾟｽﾜｰﾄﾞ／定期的なﾊﾟｽﾜｰﾄﾞ変更
退職、職務変更等に対する保守

IT全体統制としてのﾛｰﾙﾍﾞｰｽｱｸｾｽ制御
利用者認証とｱｸｾｽ制御の分離
職位等、利用者の属性／役割（ロｰﾙ）による
自動的なｱｸｾｽ権の保守
-3-
Security SIG
15-Dec-2005
2. ﾛｰﾙﾍﾞｰｽｱｸｾｽ制御：RBAC
XML Consortium
Role-Based Access Control
ANSI INCITS 359-2004.
2004/3
静的な割当に対する
職務分離の強制
ﾛｰﾙ割当
ﾛｰﾙ階層
認証
利用者
ﾛｰﾙ
ﾛｰﾙへのｱｸｾｽ
許可割当
ｾｯｼｮﾝ生成
© XML Consortium
セッション
操作
対象
ｱｸｾｽ許可
利用形態（セッション）に
よる動的な割当に対する
職務分離の強制
-4-
Security SIG
15-Dec-2005
3. XACMLの概要
XML Consortium
•大組織では「利用者」と「ﾛｰﾙ」の関連管理が膨大
•XACMLでは、既存の組織管理上の「属性」情報を活用
ｱｸｾｽ制御
属性に対するﾎﾟﾘｼｰ
ﾎﾟﾘｼｰ
によるｱｸｾｽ許可
ﾎﾟﾘｼｰ階層
認証
© XML Consortium
主体
属性
PEP
動作
ﾘｿｰｽ
ｱｸｾｽ許可
属性の割当は
XACMLの範囲外
PEP:Policy Enforcement Point
-5-
Security SIG
15-Dec-2005
3.1 XACMLの位置付け
PDP: Policy Decision Pont
SAML: Security Assertion Markup Language
WS-TRUST: WEB Service Trust
認証
XML Consortium
認証
ｱｻｰｼｮﾝ
要求者
SAML
WSﾘｸｴｽﾄ
ｾｷｭﾘﾃｨﾄｰｸﾝ
PEP
認証
ｱｻｰｼｮﾝ
承認
ｱｻｰｼｮﾝ
WS-TRUST
© XML Consortium
制御
ｱｸｾｽ
WSﾎﾟﾘｼｰ
(分散型)
判断
PDP
XACML
属性 WS-TRUST
ｱｻｰｼｮﾝ
RBAC
主体⇔属性
-6-
ﾘｿｰｽ
ｱｸｾｽ制御
ﾎﾟﾘｼｰ
関連定義
職務分離
Security SIG
15-Dec-2005
3.2 XACMLのﾃﾞｰﾀﾌﾛｰ詳細
13.責務責務ｻｰﾋﾞｽ
PEP
2.ｱｸｾｽ要求
要求者
ﾎﾟﾘｼｰ実行ﾎﾟｲﾝﾄ
XML Consortium
XACMLのｽｺｰﾌﾟ
3.要求
4.要求通知
5.属性検索
PDP
ﾎﾟﾘｼｰ判定ﾎﾟｲﾝﾄ 10.属性
11.応答
ｺﾝﾃｷｽﾄ
12.応答
9.ﾘｿｰｽ
ｺﾝﾃｷｽﾄ
ｺﾝﾃｷｽﾄ
ﾊﾝﾄﾞﾗｰ
ﾘｿｰｽ DB
ﾘｿｰｽ
6.属性検索 8.属性
1.ﾎﾟﾘｼｰ
PIP
7c. ﾘｿｰｽ属性
ﾎﾟﾘｼｰ情報ﾎﾟｲﾝﾄ
7b. 環境属性
ﾎﾟﾘｼｰDB
7a. 属性
PAP
属性DB
ﾎﾟﾘｼｰ管理ﾎﾟｲﾝﾄ
© XML Consortium
主体
-7-
環境
Security SIG
15-Dec-2005
XML Consortium
3.3 ポリシー定義例
<Policy PolicyId=“Policy1” RuleCombiningAlgID=“Deny-Override”>
<Rule RuleID=“Rule1” Effect=Permit>
何れかのruleで否なら不許可
<Target>
ｱｸｾｽを許可する
<Subjects>
<Subject>
<SubjectMatch MatchId=“function:string-match”>
<SubjectAttributeDesignatir AttributeId=“identifier:subject:role”/>
<AttributeValue>administrator</AttributeValue>
</Subject>
</Subjects>
roleがadministratorで
<Actions>
<Action>
<ActionMatch ActionMatchId=“function:string-equal”>
<TargetAttributeDesignator AttributeId=“urn:xx:target:action”/>
<AttributeValue>read</AttributeValue>
</ActionMatch>
</Action>
actionがreadの場合
</Actions>
</Target>
</Rule>
:
</Policy>
© XML Consortium
-8-
Security SIG
15-Dec-2005
4. V2.0の強化点と製品化状況

V2.0での主な強化点
XML Consortium




プロファイルの整備（SAML,Digital Signature，
LDAP 等）
ﾌﾟﾗｲﾊﾞｼｰポリシｰ対応
複数ﾘｿｰｽ、複数の属性値対応
製品化状況
© XML Consortium

SUN Microsystems
’05/1 SUNXACMLでXACMLv2.0をサポート済み。

ORACLE
買収したOblix製品をﾍﾞｰｽに、Identity Managementで
’06半ばに、XACMLをサポート予定。
-9-
Security SIG
15-Dec-2005
付録1 ﾎﾟﾘｼｰ言語仕様
XML Consortium
PolicySet
PolicyCombining
Algolothm
Policy
Target
Obligation
"send-mail"
PolicyCombining
Algolothm
Subject Resource Action Environment
"bs@si- "file:Bartmpsons Simpson" "read" "current-date"
.com"
© XML Consortium
Rule
Condition
“string-equal"
- 10 -
:Deny-overrides
:Permit-overrides
:First-applicable
:Only-one-applicable
Effect
"permit"
:Permit
:Deny
Security SIG
15-Dec-2005

Download Report