XACML

在 “Modelling Access Control for a Complex Healthcare Organization” [25] 中，作者改進 了常用的 RBAC (Role-Based Access Control) 機制，但是並未將目的列入存取控管考慮 的因素之中；此外，該研究從系統建立初期就進行存取控管機制設計，而本論文希望 能在無需大幅度改寫的前提下改進現行系統的方向，相比之下會更加有彈性。而在

“Authorisation and access control for electronic health record systems” [24]，該研究著重於 如何將 System Modeling 的方法論 (methodologies) 應用到權限存取控管機制裡，和本 論文較為偏重系統實作的方向也不盡相同。

2.1.1 XACML

XACML 是 eXtensible Access Control Markup Language 的 縮 寫 ， 是 以 Security Assertion Markup Language (SAML, 安全宣示標示語言) 為基礎延伸發展，以 XML 實 作的宣告式權限控管政策的語言 (declarative access control policy language)。最新的 XACML 2.0 在 2005 年 2 月成為 oasis (Organization for the Advancement of Structured Information Standards) [7] 標準。

使用 XACML 有下列幾項好處 [8]：

 是業界標準，不需要再自己重新打造類似的解決方案，省時省力，而且提供跨

‧

 政策管理點(Policy administration point, PAP)：建立單一政策(policy)或政策集合 (policy set) 的系統實體

 政策執行點(Policy enforcement point, PEP)：依照既定的授權決策來執行存取控 制的系統實體 (即接收對授權的請求。PEP 向 PDP 發送 XACML 請求，然後根據 PDP 的決策行動)

 政策決策點(Policy decision point, PDP)：PDP 使用從 PAP 獲得的策略以及從 PIP 獲得的訊息來進行決策的系統實體

 政策資訊點(Policy information point, PIP)：PIP 可提供被存取資源的屬性，以及 試圖存取該資源的實體 (身份證明)

‧ 國

立 政 治 大 學

‧

N a tio na

l C h engchi U ni ve rs it y

XACML 的 Data Flow 如圖 2-1 所示：

圖 2-1: Data Flow of XACML [5]

Data Flow 說明如下：

1. PAP 建立授權單一政策(policy)或政策集合(policy set) 讓 PDP 可以使用，這些授 權政策代表了對特定目標(target) 的管理方式

2. 存取請求者 (例如應用程式) 送出存取請求到 PEP

3. PEP 將收到的存取請求，依原有請求格式送出給 context handler，包含 subjects,

‧

8. Context handler 送出包含目標的決策請求 (decision request) 到 PDP，PDP 依據 申請的政策從 context handler 取得需要的屬性值，然後評估是否要授權

9. PDP 回傳授權評估結果到 Context handler

10. Context handler 將收到的 XACML 格式的回覆轉換成原先請求的格式之後再傳到 PEP

11. PEP 依收到的內容執行「責任 (obligations)」 (即允許請求者存取資源與否) 12. (未出現在流程圖中) 如果該訊息的授權評估結果為允許，則允許請求者做資源

存取，否則中斷存取動作

舉例來說，當有使用者試圖存取檔案系統上的一份文件時，就會發出一個請求到保護 該文件的裝置 (可能是一台伺服器)，也就是政策執行點 (Policy Enforcement Point, PEP)。政策執行點會根據請求者的身份、請求的文件類型、動作以及附加訊息來建立 一個請求 (request)，然後政策執行點會將該請求發送到政策決策點 (Policy Decision Point, PDP ) 去。PDP 會評估該請求以及一些相關的存取控管政策，並回覆該要求是否

‧

EPAL (Enterprise Privacy Authorization Language) 是 IBM 開發的「企業隱私授權語 言」，是用來撰寫企業內隱私權政策的正式語言，讓資訊部門可以根據細緻的正反面授

4. 每個規則可以指定責任 (obligations)，表示如果該行動執行的話，該責任也必須 被執行