GB/T 18794.3-2003
基本信息
标准号： GB/T 18794.3-2003
中文名称：信息技术 开放系统互连 开放系统安全框架 第3部分：访问控制框架
标准类别：国家标准(GB)
标准状态：现行
发布日期：2003-01-01
实施日期：2004-08-01
出版语种：简体中文
下载格式：.rar.pdf
下载大小：1410567
标准分类号
标准ICS号：信息技术、办公机械设备>>开放系统互连(OSI)>>35.100.01开放系统互连(OSI)综合
中标分类号：电子元器件与信息技术>>信息处理技术>>L79计算机开放与系统互连
关联标准
采标情况：ISO/IEC 10181-3:1996,IDT
出版信息
出版社：中国标准出版社
书号：155066.1-20583
页数：16开， 页数：37， 字数：73千字
标准价格：19.0 元
出版日期：2004-08-01
相关单位信息
首发日期：2003-11-24
复审日期：2004-10-14
起草人：刘嘉勇、周安民、戴宗坤、陈麟、罗万伯、屈立茄、谭兴烈
起草单位：四川大学信息安全研究所
归口单位：全国信息技术标准化技术委员会
提出单位：中华人民共和国信息产业部
发布部门：中华人民共和国国家质量监督检验检疫总局
主管部门：国家标准化管理委员会
标准简介
本部分为GB/T18794的第3部分，等同采用国际标准ISO/IEC10181-3:1996《信息技术开放系统互连开放系统安全框架：访问控制框架》(英文版)。 GB/T 18794.3-2003 信息技术 开放系统互连 开放系统安全框架 第3部分：访问控制框架 GB/T18794.3-2003 标准下载解压密码：www.bzxz.net
标准图片预览
标准内容
GB/I 18794.3-m2003/ISO/IEC 10181-3:1996前言
GB/T1874倍息议术开故系统立连开放系统安全证架>日前包活以下几个部分：第1部分（即GBT13714.1>：瑞述第3部分（即G/118794.2），框架第3形分\6）“木标准”一问政为\/18734的本部分\成“本部分”，c对\规范作用文“一章的语按H/T1.12CU的要求进行了修改：山）除“现池性以用文件\一章中未被本部分引用的标准）在引月的标谨中，凡巨制定了我国标准的各项标带，均用我回的拓业标准编号代普。对“动范性1用文件\—查中的标准按服GB/T1.1—2CC5的定重新行「排序：本部分的附录A谢示（都是资料性附录。本部分口中华人民共和国信息产业部据出。本部分田中国电子技术标准化研究所问门，本部分起草单位：川川大学信息安全佛究所。本部分丰些起草人：文嘉男、用安民，戴宗坤，前要万伯、同文流，谭兴烈：山
GB/T18794.3—2003/ISD/EC10181-3:1996引
irKAoNirKAca=
本部分定义一个费供访同控制的通用框架。访问控制内土要日标是对抗由涉及计种机或通信系统的非投权染作所造成的成胁；这些感脉经常被细分为非授投使用、耐露.修收、被坏和范范服务等炎则1慈图
CB/T 18794.3—20U3/ISO/IEC 10181-3:1996信息技术开放系统互连
开放系统安全框架
第3部分：访问控制框架
本开改系统安全带架的标确论述在开激系统坏境中安幸眠务的应用，比处术治“开效系统\包抢诺卵数越库、分布式应用，开效分审式处增利开故系统工连这伴.些领城：全架涉设定义对系统和系统内的对象据供保扩的方法，以及系统间的交五，本安全推案不涉发构建系统或机制的古法学安全柜架论述数据亢款和操作的事划（而不是协议元素》，这两君可被用来获得将定的安金最务。这皆安全服务应用于案统止在通估的实体，系统间交换的数渐，以及系统管理的款据，就访间控制而，认间既可以层对一个系统（即对系统内正生通信擎分的实体)的访间，也可以是对-个系统内部的访回，获取访问所要山示的信息项，以及请求诊访问间的顺序和该次间站果的趣炸部在本安全框集的专效范用之内，不过，低何只依赖丁特家应月的和严格限制在一个基统内的本地访同的息项和操作，则不在本安全概架考应范用之内。评象应用要求安全措施来防止对资源的成脉，这些效源包括出非政系统互连所产生的信息，在（SI环竞中，一吨众所周知的感助以及可用于防能这毕威胁的安全最务和机制在G/T9387.2都有所描逆。
决定开改系统称魔中允许德用向资源，以及在适当地方防止木授权访问的过查称作访问控制，书部分为提供法间控制股务定义通用据架.正安全装：
a）定义访间控制的基本期念：
h）示范将讲间控制的基本概态具体化来义持一些公认的访问控制服务和机制的法；定义效些眼务和柜应的许问控制机制：山认别为文持这毕访问控制取务和机制的协议的边能需求，识剧为支持这些访问控制服务知机制的抑需求：er
访问控制服等和机制其亿安全取务和机制的交业。E
和其他安全吸务，样.访问控制只能在为特定垃用而定义的安全策略工下文内供。访间惊制第略的定义不辰于本部分的收巨，但本部分将会付论判访问控制策略的一些特行，本部分不规定提供访间丝制服务可能要执行的协议交换的细节：本部分人视定支寺这些议问控制服务的具达机制，也不规定安全肾现联务和协议的纪节，准客不同类的标准能便用本性渠，包据：1）体现访惊制账念的标准：
规定含有访向控制的池象服参的标准：2
规定快用证问控到服务的标推；规定在开放系境环说中提供访阅控制方法的标准！3）规定访问控步机制的标准，
这些标推能按下列方式恢用框架，标准炎型）、书>.31、4>利5)能使用去根架的术语：标准深型2)、)、1)和5能生用车太架第？章定义的效施1
GB/F 18/94.3—20C3/[5/0/[KC10181-3:1996核布类型5)能基上第8章定义的机到类新，2规范性引用文件
TrKAoNrKca-
下述实行.的素款适过15/T18794的本部分的引用而家为本部分的条。凡是注口期的引月卡，其阻严斯在的悠改单（不包据动设的内窄）或修改版与不适月于本部分·然而，或励根其册分退成协议的务方研究是否可使用这些文件的最新版本：凡尽不让F期的引用义件，其新版本或十本邵
G/T867.：1998营息技齐开放系统五连地本参考模车筹1部分：基本模（idt1S)TEr: 7498-1:934)
2995信总处理系统，并放系洗立连基本您考模型第2部分：安全体系结构GH/T J387.2
(idt 150) 7498-2:1989)
非战需统去全懂架第1分：根述（idtI5)G/T18791.12002
信息疫术子
开款系统互述
JEC -0181 1:19953
剪2部分，鉴别框架(id
开放系统安全恒架
G15T18714.2-210信总技术并放系统丘进IS0/IEC:10181.2:1996)
3术语和定义
下列术语和定义适GH/T187的木部分。安金体系结构定义
在/T9357.21995确的下列术语和定义适用（B/T18794的本部分。a）访制acceRscunrul：
b守尚控制列表wnatrollist
可确认生onntability
d别nthenticatior
鉴制信息suchencicatiinf:rumtirres
轻权authorizulions
技aii
基三安的家全策略iderititybraedseeurilymlict
集于境的去会弟路rul-busel sesurinynlicy：安全市sceuyuid！
k“安全标签nruuri-yabc.
安全策ccuriypolies
安全服务securityacrvize；
灵敏性gensiivily。
3.2安全框翼概达定义
在:6G1/T18794.1确立的下到不语和迹义适用于(T3/T-3794的交部分，a）安全安百策略eureinerl.clignpoliryb）安全证sccurityrlifiae
e安全城-ilylnmain
l）安全#sec.aritydom.ainauthur:ty安企信息seaurityirfenuufr:
安全黄略规测utri'ypn.iemlcs:B）安全权标ximritytokcn
h）信任rist
3.3基本餐考模型定义
GB/T18794.3-2903/1S0/1EC15181-3;1996在GBTU3871—98中确文的下列术再和定义适用于GI3/:84的在部分，实系统-wilxyilem
3.4附加定文
下刻术语定义适用+GH/1:879的本部分，3.4.1
acres rmtrnl rertiflcate
访问控制证书
包舍A江的安全证书。
访问控制判决信息AeyeBontrulLheeisiunInformation(ALl?在作日一个特定请问控制判决时叫供AF使用的部分也可能基全部>ACI3. 4. 3
访问控制判决功能AccesscontrolDeclslo豆Functlon(ADF）码特定功够：它通过对该问请求、ADI（发起者的，日标的，访问讲求的或以前快策保用下来的AI)以及该动问详录的上下文.催用访问制策路规则而微高访问控制划决：3.4. 4
访问控制实功隧
AccesscontrolEnforcementFunliantAEF钟特亲功能，产-试问请求中制若机日杯之间许问路独的一部分·并实施山A1做出的决策。
访问控制信息AccessControlInformatlon(ACI)月于游问拉制的的任付信尽，共中包指上下文信息。3.4.6
访问控制策略
arcess cantrnl pnlicy
定义可发尘访问挖制象件的则集，3. 4. 7
访问控制策略规则
Iaccess cuntrul puliey rules与是供协间控制服务有关的去全策略热则，3. 4.8
访问控制权标
aeecsg eantral token
一个他含AC1的安全标记。
访问请求accesgreques1
换作和操作激，它们成·个试图进行的游向的基本录分、3. 4. 15
访问请求访问控制别决信身！访问求AD[]Laccegs reguest ADr?
自谢问请求绑定ACI导出的ADI。3.4.11
访问请求访问控制信息（访问请求ACT）ACI
有关语问请求能A
fcress Fequest arttes cutrul decisiun infurnulionacress request nceess tuntrul infurmalin(uess renestGD/T 18794.3—2003/S0/IEC 10181-3,19963.4.12
辨定访问请求访间控制情息（访问请求溯定ACI）(access requegt-bound Ac1)
沸定到访问请求的ACI。
许可权learance
aecess rcykst-buund acecss cuntrol inforuutior能用末与日标安全标签进行比较的发起者绑定1，3. 4.14
上下文息
cnntextinformaficn
与进行价间情求的环境有关的信息或出共异出的宿息（部时间）3.4.15
发起者initiutur
一个试图访问其他实体的交体（妇人类月广或基于计算矶的实体）。3. 4. 16
发起者坊问控制判决信息(发起者 ADl） inailintor uxess control derisinn infnrmatinn initiatnrALI)
由发起者邮定ACI导出的ADT。
发起膏访问控制信息（发起者ACl）Initlatoreecaswoatrulinfuruuation(initintorACn）有关发起者的AI.
发超绑定访问控制信（发起有绑定ACI）inltiator-bovndaccesseontrolinFarmatiun(initiatur-haundACI)
都定剃发起者的ACI
operand access control decisicn infurmatiun(uperund操作数访问控制判决信声（操作数AD1）AD
自操作数绑定A\【导出的ADI.
操作激访问控制信总（操作数AcI）operandaccesgcantrolinformationtoperandAt有关访有求操作数的A.
操作数练定访问控制信息（操作效绑定AC1）aperand-hnundaccexkconirolinformatlon（operdbaimd ACI)
绑定到试而质求率作数的ACI。
保留的ADIrulainxdADI
为用于将来的动问控制州决而被ADF从以据的议问控划判决中煤留下术的AI。3. 4, 23
targetbZxz.net
被试图访,间的实体。
目标访问控制到决销息（目标ADI）targetaccesscontroldecigioninrormaton(targetALL由万际绑定AC1导出的ADI。
GR/T18794.3—2003/ISO/IEC1C181-3,1996日标访问控制信忘（目标ACI）targelaccekscontrlinformatim(targetACI)）有关日标的aCI。
目标期定访间控制信且(目标纤定 ACI) target-bouutl wcess euntrol infurmalion(target-boundACL)
绑定到口标的AC1.
4缩陷语
向控划信息（AceessContro)Indarma:on）访间控制判决信息（AccessCont=olLerisinr:lnforn.atinn）话向控制划决能(aceesgConolLceisionFunion）诉河控制实施动能(Ara:nhCimiri,lFnfurueaentFunetioa）安全信息（Sesu:ityIntornuatian）安伞城机(Secur.tyomainAuthority5读问控制的一短性论述
访向控即的目标
作为安全框类，语问竞制的丰整日标足对抗涉及计算机或谨信系统的非授权操作的或助，这些成协常皱细分步下列儿类：
非按性使用
静收；
破邨，
拒绝股务。
本安全样梨的子日协显：
过过可以是优求人炎或共地进程的行为的述式、刘数期，不问进程或其他计算资两访间的控制：
在一个安全域内，或跨趋个或率个安全域的访问控制：按盈共上下文（例血，根期试图访间的时间、间者地点或动问路由等固索》的访向控制：在访问期间对见此授权做出反应的谢间控制5.2访问控制的基本方面
下山的列硕描述灿象的的问控制功能，大密数与访问控制策略和系统数无关。实系统中的讨问制与系种实的实体有关，如：
物理实体（如实系统）
遵册实体（如S1实体，文作、军织构，以及企业），人类用广：
实系统中的访问控制可脂需要复染的活视案，这学活效也括：建立防间控制策略的表示：
建文AC的表；
将AC1分配给元素（发起若、月标.办向京！；将AC绑定别元事：
GB/T18794.3—20C3/150/EC10181-3:1996一使A1对A1F可用；
一热行计问控需收能！
修改ACI（在分配AC江值以片的任何时间)其中包括搬销：报销ADT：
这此活动口分为以组：
快作活动《使A对AIF可用和执行访间控制功能）；曾理活动其余的所有范动）
TKAoNirKca-
上证的有些活动可综制放为实系统中单个可识别的范动。重然些访可控制消动市要光丁其他活动足它带需是相交的，产且有出活动还可以重执行，下面首先详细讨论执行济何控制功能中所泌及的摄念，因为新有其他活动都支停这一做认。5.2.1执行访问控制功能
本条款的口的是市图1和图说明证问接制的基本功能。就议间控制整体运行而声，其他功非叫能也是必要的，在后面的过抢中，将介留可能实现这些功能的种种力出，其中包括分布访问控制内能和A心1的不同方式：以及在同一个或合存安全城中均向控制功能之间通片的不同格式，提及者
同请求
爱起者
围1基本访问控制功能的田示
达则诸求
纸规贴
月标A!
十下文息
快%的A
图2ADF的国示
方问控制中排及的量木实本和功能尼发起者议问控制高施攻能（ALI），访间决策边能（AI)式甘标。
发起若代表动问或试耳记问日标的人和業下计算机的安沐。本一个实累梳中，发起者田个并一计禁机的实计来代表，尽昏基丁计氧机的空体代该安起者所准的访问计求可受到该于计算机的安体的ACI的进步限到，
日标代表被安起省所访问或试以访问的基十计界机或通信的实体。例如，口标可能是一人因实体，一个文件或一个实离统。访问请求代衣操作和操作，它们挡成-个试图违行的访问的基本成分，f
GR/T 18794.3—2003/1N(/1FC 10181-3:1996AEE确保发起考在日上！能按行出AIF码定充许的访，当发起者整山工日杯上执特定说问的请求时，AEF郭通知ADF，需要进行虹次以便能做出决定。为了做出这一妞决，变治4I抵供访问请求（作为该判决计求的·部分和下列几种访问控制判决信息（ADI)：
左起者A由绑定别流发起者的A所异出的AF标ADI(左绑烂到该口标的ACI所导出的AII>：—问谐求[由辨定到该可求内所出节A】ADF的其他龄人是前问控制策略规训（末自该ADF的安全机快).以及解释AEI或策略F需典的行何：下信息：上下文信息药示到包指起者的位胃，谢间时间：成使用的行妹通倍路径点于这些输人，可能还有以前别决市保留下来的ADI.可以做出金许变禁止发危各试图对三标逆行访向的判划决：该判决链传递给FF，然后AFF成若允许将议问请求情非日标，或者来取其他适当的动作。
在许多情况下，发起者对个日标所做出对连续访问请求是相关能。个典的示例是：在个应币元与对等日标应用进差的连接后，试图用同一（保留的）A1I按行个访向：对·有些随后证过该连越进行通信的访问请求.可能需要给AF报情两如的ADF以便它允许访可请求，在身一些青况，安全策略可要求一个或非个发起者与一个或多个月标之间的基些相关访问请求受纠限制，在这神情况下，ADF可使吊先前源及多个变连者和日标的判决中所保由的AJ家特定说向请求做山判伙，对在条效，：个询向请求如果得到EF充许：产点涉及一个表起名层一个日标拍一个艾五：管发起者和日标之间的有些访问请求与其他访问调求完全无关但常带会存在这样：的情况，吓两个实件进人个相的访请求举合，如询间啦应慎式，在这样的情记下，实位怀我需要向时或交格承打变起者利日标色，并叫能深用各自的4EF组件，AIF组件和读问掉制策降来对每个话问消求执行防的整制动能，
5.2.2其他访问控制活动
5. 2. 2. 1谨立访问控制策联的表示通带用自然语言将访问控剑带略陈述为据性的原剧，例如，只充计某绒别以[.的营占才能趋吉准出的工资估息。将这原转换成规期是一项工堂设计活动，它必须在其他访问整制运动之前进行，但它不展于本安全拖架的范博。第（产中格努速访问梳制策略的概念5.2.2.2谨立A心1的表示
在这攻活动中，要对实系统（效据结构）中的八（表示和实系统之间的交换（语法）按出选择。士安全渠讨论了案列可懂的表示。AI的表不必能够支动定访问垫制成略的需求。有些A表示能在实系统中和实系统之间部适用，不同的4门1表示可用于不间的日的以支用下特定的儿专十间。
经选押药示叫君成投啦，为安全城中的元索试以特定的A值（如下条款讨论的服样）。准文ACI表示均.个方而染是决定可被指定龄安全域中亲的A1值的类型和范围（而不足那种类型可以指定给特定的元求》。为进行访间控制雪是或变现变体还访向控制动能乏间的AC1空接，而在实系统之问出行交换的AI的表示品候选的US标化对家，任S环准化并个美心在实系统中如划表示AI或好何将ACI阅交给车地，保护AI的交换在7.2中法论，就S1iH以改可前的其应用>，合适的做法把A心1表示右作山晨性类型一属长值对组成的展性，5.2.2.3给发起者和目标分配ACI在这活动中，分结·个元案的AH体件类单和网性偿是由SDA.SA优理或具他实体（如资函据有者指定的。这比实体可根括安全域策略指定或修AI的分配。山一个实体分配的A可通过出另一个实体已经绑定到它AI以限制：当有新元添加到安全域十时给儿豪分死7
GB/T:8794.3—2003/S0/1E:10181-3;1995AC一个不间断的活动，
TrKAoNrKca-
注，投于\访厅拟“的告理活动有叶就大毒授段，个输发起或目标分配ACI时就包含些一层百思，AI可以店关一单·实体的信息，也可以关实体闭关系的信息。分配论个发起者的A】可以完全是关于那个发起者的，成者是关丁那个发起费特定日标之间的关采或者是关十那个发前者与可能的[下之司的美要。于分肥给一个表起音的ACI以包括发起者AI日标AC1或1.下文信户：类似均·分配给日标的A可以包括日标ACI.发起者AC[对于一个或多个发起者！·或上下信总
在实标操作户，AC1必须放就定剂一个元需上（见.2.8.1），快得一市从绑足AC1早出AI)的AF信任那系信息，因此，尽咨给元素死AI讨将选纬定ACI而言起先决杀牛，但！方绑东到个元素的A小空际出现在实并放系中，5.2.2.4．定A1CI到发起者、目标和访问请求将ACI潮定到·人元衰（即发起上标或访问南求公在元求和分配给孩元系的，AC1之回谢建一个安全链按。部定对问控制均举和其他元载郝提供保证，该A心确实品指定缩这特定元本的，H绑定后设有发牛江何更收，通过使用完整评服务而获得，川能有几种挪定机制、其中有典依模于元索AC1的位立·见-些叫能依靠·些案码签名或封印处埋。将A1挪定到索的完整性需要在发起者和F标系统内受到保护（例血，依满诸如文件保护和进程分商之类闪探作系统功能）并且在AC1交换巾也是这样。既然一个元素的AI可存在几种可能的表示包括在系窥中以这系统之川！·部么对同一个AT可使用不内的制定抗制，在某些安全黄降下，还需要维护ACI的划需性有新案能抑到安分域户例，对元的A激定后钟不间断的括动。一个S的A，它的代理其他允许的实体，可根据追用的安全策陷任意制除或涨加A代1定。在需要表达对安全常略成函性的更讨,SDA可对绑定到元案的ALI进行修改，娜定ALI可包持有效期指小端，以而使双后可能需要撤销的量减到少
A绑定到一元案的时机以改速该定机制被用的实体，与元索类型有美。发起者将通过一个SA波的代理在它们有能力进行访间时把A绑定到它们上面。所与日标淘通过一个S4或S1A的代理在可议问前把AI绑定到它门上而，邮些山代表--个用户的虚用成见一个应用创建的日标，将在座或建之后把绑定划它们上面，绑定到字钟月标的A汀可受绑定到该用户或该应用的A1的局限性的限别：弃试用济阿前，出·个用户或声T，或者由代表用户或流币的SDA或S>A的代理扫A(I绑定到个近间请求」而上定到改访问请求的I可受到绑定到该用户或度用的AI的高证性的限制，通常的情况足访问请求致创建个新的日标实任（例如.在来些系统问传选一个文件时）.可在绑定到核证而声求的AC中带定（或H此导出！这样的个日标ALE，5.2.2. 5使AI对AIF可用
如果许问控制策略允许以及使出中的绑定机制认川的话.可由发起者或日标海详一个绑足到发起书或日标的I于集，车A1)F中特定近间控制判测时使市。绑定到一个元帝的A心可书时绑定到为个元素，例如，当一个实体代表另一人实休行动时。为了完成它的的能，用的年种AI必对AF可用，意本象款中实本，边能AT的物即分布没有做何最授，也没有假设知样箱人寸可对ADF可用。在5.3，5.1和附录中将论实体和分布式访问控制组件向川能的一些关系，对发者ADI、日际ADI或证请求ADI，存车·种u货外：】分配AC值片·AL\被须个多～A[组件：h）A)可由在访间控制进程（可曾与试图进行的访向连同）中递交给AF组件的绑定ACT享出：
ADI可由以其他采源(赖如，一个求胀务代理)所获得的谢定ALI异出，根据需要或者士FA/T18794.3—2003/INO/IEC:10181-3:1996发起者成日标获得绑定AC对ADF来说这·点不与)区分]或者由ATF获得绑定ACI[别左起者变目标来说，这--点不与区分]。没有规定A工F通对例钟达获得定AL1式早HI个ADI，发定餐统定ACI设有必要出发起者逆交，月标期定ACI没有必要山日标逆炎，访间请求沸定A不必与访同请求道递交。AIF必纳能够明确地确定AT>L出适当的SLA从沸定到元成的ACI导：在7.2中讨论提供此保近的力法。
5.2.2.6快改ACT
SDA可投批需要筛改山分配并娜定到一个元索的AC，以表示变化中的安全属性。A(IH在分配给元素后的证何时而被修改。如果修改降成了发起者对日标访问的可诊，则这种变更有可能要求激转该ACI以出其导出而可被AI>F保单的ADI。5.2.2.7撤销AJ1
搬销ACI后·任何试制使用该A:导出的AI必然引起访可不诺接受：在微销ACI之前虚防止选一步使用口该AI导山的A1川个测试图使用它必然引态的可遭测拒终，当经销A1对如果基于以前导山，AI的一个访问正在继继，部么，在起作用的访间制策吨有可能要求落止该访间。5.2.3ACI转发
在布式系慌中，带别为需求是一些实体销求其他实体代充它们去执行决问，发题者和月标是由实区所承担的角色，尽管并不是所有的实休都叫承扭这两个角色：个实体左它本身当另“个作为变起者的实体的日标的时假，还同时承担心个实体的发起著医3示出实体A请求实体13其\人实休（实施访间的成本概念，车图3中站有总明在这样一钟式访间问中为能涉及的此认问控判组许：亲体
图3ACI兼发
这一基术概念有许等变种。这些变种在策略房要求的A的组合上有明很冶不同，这些策些必须在，以允许进行这样的链接切可，儿走明如何使液AI对合适的问源制组件叫月，在某此策略下，除为了4而技行违问口将ACI辨定B以外.可以不需恶AC1:在另-专策略下，H将仅使用从A得到闪该计可扣关的ACI.而在款价况下必领使开期定到A和T的4CT。下也的示负将说明可能的·些变种；u：在最简单的司能排中，A要求执行一次动间·国为B的ACI行A的邮个访间请成是充分的。
t）刘活当的访问控制红件所非消的防间请求，A川能需要担问部分或全部ACTI）A提供ACI.办达是巴它与访问请求一起传给B：2）在清求B执行该问之前.A可请求采白的预步没放。在这种情况下.A应将AC供治心而（按着给A提供·个权杯。A等这个权示随心销求的访问一道发给B，然法心将这个权标识别火先前控权的一个记录，（条见附录下对这种情况的更计潮描述，）图：可广在何数的是有整实体的间实体，这站要以从列内或涨个实体中所快得的ACI为依据做访间划决。附录3对三杂门按访问能中发起老和日标之间的交互有患计卵的损述，
，访司整材策的设川远芭识到销下阅更，这和专逆证向可能独环造京本关不鼓自后许可的功获得许可均5.3仿间控制组件的分布
AH或ADF叫一或率个证问挖制组件均成：谢间控制动能可分布在折间控制装略充评的组件中。上而所握山的苯本访问教制动能卡了单件位置，它们之间的通信或它们的可能分布方而的考愿GB/T15794.3—2503/180/1EC.10151-3;1996TrKAoNrKca-
无关的，
AE1配置在个零者一日标实例之间以使发尺者仪过AEF就能性用于日标。AH和A[F组件几可留的物埋示例。AIF组件可以，也可以一个AF组件配保用。F组件可为一个或多·个AKF适件服务，间样，AEF年件I使用个或多个ADF组件。一人AF下组处和一个A止组件的搭配可能在效率和改性（成然遇）力面有优劳，准且起可以免除AEF私AL之间源信保的告求。为几个AFF生件服务的ADF件可能车减少分发AI所源求和社相关安全功谨如计之美诚沙复虐度为而有快势：在附录中AT>即A组件、位置以改关系示例节讨论它是成用于单入发起者和单个日标内，州件位骨的安排可能基干下划种吸客种的考虑。5.3.1入访问控割
可认为，在个日起上入访问控制判就足解「，在这钟情况下，个日快AEF件实施一个人访问控制策路，并小月标不能接收与该月标的访可控制策略不致的访间请求：这就意魅若由发起者发送的访.同请求海到达日标AEF,并将受到日标AEF的检查以证实它们满足ATF纪件实随的访n控制策略。
5.3.2出访问控制
S江A河认为、重要的是使用发起者本地的访向控制组件事限止对日标的授权访间（例好，当标谢问控制系统离闻的质盘不高时，或者，如果没有百先枪测该清求的访向已整获得了授权，就不度该清耗可用的落资源）在这种节况一，发起者AEF对高访司控制是必要的。此，发提者不能实现与在冠者安全诚的访间控制策略不一改的证问。5.3.3播入访问控制
ST4可认步，互要的是对发者和百标之间的谢间违行过滤，在这种情况下.AFF可：重在发起名和日标之间，拥人的A然后可实能人两种访问控制策略，这共让而控制策略叫与发起考的及日标的安全或访同空制策吨无关5.4跨多个安全城的访问控制组件分布安全域之间出许会形成关使得在个安全威的资源前被别的安全域议闯。可催创及到多个安企域的情况，但弃许多实例中并不店历与的安全域部明确。一些安全城据供A(I，一些对一个访向实随控，坏有比则两者部做。这栏的安全城可他括：一净A的邮是到该发起者的表全域一发起者新在的安企域：
特A心1绑定划该游问请求的安全城：一一率A定到该已标的安全划：
标所在的羽个安伞城，
做出访问控制判决的安全域；
热行访防问择制判决的表全.
许向挖制过程类概于在可一SDA下全部AFF和A组件的情妇.述，共十雕加了D间积域间系以及域间逆信的发来性，叫证信他括
SDA之间的通告，点者详行了新的第定ACI作或A(I修改换作的SDA代理之间的追告一在试图访间时为证实准转换A1利访问控制策喀的表示而进行的情求，以及对建比讲求作口的询应；
一一试问请求以及对这些情求的询应5.5对访问控制的感助
AI和访向控功能可分布在若下实系统和安全域中，AC江可能过不安伞的通信设所进行通iu
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。
GB/T1874倍息议术开故系统立连开放系统安全证架>日前包活以下几个部分：第1部分（即GBT13714.1>：瑞述第3部分（即G/118794.2），框架第3形分
GB/T18794.3—2003/ISD/EC10181-3:1996引
irKAoNirKAca=
本部分定义一个费供访同控制的通用框架。访问控制内土要日标是对抗由涉及计种机或通信系统的非投权染作所造成的成胁；这些感脉经常被细分为非授投使用、耐露.修收、被坏和范范服务等炎则1慈图
CB/T 18794.3—20U3/ISO/IEC 10181-3:1996信息技术开放系统互连
开放系统安全框架
第3部分：访问控制框架
本开改系统安全带架的标确论述在开激系统坏境中安幸眠务的应用，比处术治“开效系统\包抢诺卵数越库、分布式应用，开效分审式处增利开故系统工连这伴.些领城：全架涉设定义对系统和系统内的对象据供保扩的方法，以及系统间的交五，本安全推案不涉发构建系统或机制的古法学安全柜架论述数据亢款和操作的事划（而不是协议元素》，这两君可被用来获得将定的安金最务。这皆安全服务应用于案统止在通估的实体，系统间交换的数渐，以及系统管理的款据，就访间控制而，认间既可以层对一个系统（即对系统内正生通信擎分的实体)的访间，也可以是对-个系统内部的访回，获取访问所要山示的信息项，以及请求诊访问间的顺序和该次间站果的趣炸部在本安全框集的专效范用之内，不过，低何只依赖丁特家应月的和严格限制在一个基统内的本地访同的息项和操作，则不在本安全概架考应范用之内。评象应用要求安全措施来防止对资源的成脉，这些效源包括出非政系统互连所产生的信息，在（SI环竞中，一吨众所周知的感助以及可用于防能这毕威胁的安全最务和机制在G/T9387.2都有所描逆。
决定开改系统称魔中允许德用向资源，以及在适当地方防止木授权访问的过查称作访问控制，书部分为提供法间控制股务定义通用据架.正安全装：
a）定义访间控制的基本期念：
h）示范将讲间控制的基本概态具体化来义持一些公认的访问控制服务和机制的法；定义效些眼务和柜应的许问控制机制：山认别为文持这毕访问控制取务和机制的协议的边能需求，识剧为支持这些访问控制服务知机制的抑需求：er
访问控制服等和机制其亿安全取务和机制的交业。E
和其他安全吸务，样.访问控制只能在为特定垃用而定义的安全策略工下文内供。访间惊制第略的定义不辰于本部分的收巨，但本部分将会付论判访问控制策略的一些特行，本部分不规定提供访间丝制服务可能要执行的协议交换的细节：本部分人视定支寺这些议问控制服务的具达机制，也不规定安全肾现联务和协议的纪节，准客不同类的标准能便用本性渠，包据：1）体现访惊制账念的标准：
规定含有访向控制的池象服参的标准：2
规定快用证问控到服务的标推；规定在开放系境环说中提供访阅控制方法的标准！3）规定访问控步机制的标准，
这些标推能按下列方式恢用框架，标准炎型）、书>.31、4>利5)能使用去根架的术语：标准深型2)、)、1)和5能生用车太架第？章定义的效施1
GB/F 18/94.3—20C3/[5/0/[KC10181-3:1996核布类型5)能基上第8章定义的机到类新，2规范性引用文件
TrKAoNrKca-
下述实行.的素款适过15/T18794的本部分的引用而家为本部分的条。凡是注口期的引月卡，其阻严斯在的悠改单（不包据动设的内窄）或修改版与不适月于本部分·然而，或励根其册分退成协议的务方研究是否可使用这些文件的最新版本：凡尽不让F期的引用义件，其新版本或十本邵
G/T867.：1998营息技齐开放系统五连地本参考模车筹1部分：基本模（idt1S)TEr: 7498-1:934)
2995信总处理系统，并放系洗立连基本您考模型第2部分：安全体系结构GH/T J387.2
(idt 150) 7498-2:1989)
非战需统去全懂架第1分：根述（idtI5)G/T18791.12002
信息疫术子
开款系统互述
JEC -0181 1:19953
剪2部分，鉴别框架(id
开放系统安全恒架
G15T18714.2-210信总技术并放系统丘进IS0/IEC:10181.2:1996)
3术语和定义
下列术语和定义适GH/T187的木部分。安金体系结构定义
在/T9357.21995确的下列术语和定义适用（B/T18794的本部分。a）访制acceRscunrul：
b守尚控制列表wnatrollist
可确认生onntability
d别nthenticatior
鉴制信息suchencicatiinf:rumtirres
轻权authorizulions
技aii
基三安的家全策略iderititybraedseeurilymlict
集于境的去会弟路rul-busel sesurinynlicy：安全市sceuyuid！
k“安全标签nruuri-yabc.
安全策ccuriypolies
安全服务securityacrvize；
灵敏性gensiivily。
3.2安全框翼概达定义
在:6G1/T18794.1确立的下到不语和迹义适用于(T3/T-3794的交部分，a）安全安百策略eureinerl.clignpoliryb）安全证sccurityrlifiae
e安全城-ilylnmain
l）安全#sec.aritydom.ainauthur:ty安企信息seaurityirfenuufr:
安全黄略规测utri'ypn.iemlcs:B）安全权标ximritytokcn
h）信任rist
3.3基本餐考模型定义
GB/T18794.3-2903/1S0/1EC15181-3;1996在GBTU3871—98中确文的下列术再和定义适用于GI3/:84的在部分，实系统-wilxyilem
3.4附加定文
下刻术语定义适用+GH/1:879的本部分，3.4.1
acres rmtrnl rertiflcate
访问控制证书
包舍A江的安全证书。
访问控制判决信息AeyeBontrulLheeisiunInformation(ALl?在作日一个特定请问控制判决时叫供AF使用的部分也可能基全部>ACI3. 4. 3
访问控制判决功能AccesscontrolDeclslo豆Functlon(ADF）码特定功够：它通过对该问请求、ADI（发起者的，日标的，访问讲求的或以前快策保用下来的AI)以及该动问详录的上下文.催用访问制策路规则而微高访问控制划决：3.4. 4
访问控制实功隧
AccesscontrolEnforcementFunliantAEF钟特亲功能，产-试问请求中制若机日杯之间许问路独的一部分·并实施山A1做出的决策。
访问控制信息AccessControlInformatlon(ACI)月于游问拉制的的任付信尽，共中包指上下文信息。3.4.6
访问控制策略
arcess cantrnl pnlicy
定义可发尘访问挖制象件的则集，3. 4. 7
访问控制策略规则
Iaccess cuntrul puliey rules与是供协间控制服务有关的去全策略热则，3. 4.8
访问控制权标
aeecsg eantral token
一个他含AC1的安全标记。
访问请求accesgreques1
换作和操作激，它们成·个试图进行的游向的基本录分、3. 4. 15
访问请求访问控制别决信身！访问求AD[]Laccegs reguest ADr?
自谢问请求绑定ACI导出的ADI。3.4.11
访问请求访问控制信息（访问请求ACT）ACI
有关语问请求能A
fcress Fequest arttes cutrul decisiun infurnulionacress request nceess tuntrul infurmalin(uess renestGD/T 18794.3—2003/S0/IEC 10181-3,19963.4.12
辨定访问请求访间控制情息（访问请求溯定ACI）(access requegt-bound Ac1)
沸定到访问请求的ACI。
许可权learance
aecess rcykst-buund acecss cuntrol inforuutior能用末与日标安全标签进行比较的发起者绑定1，3. 4.14
上下文息
cnntextinformaficn
与进行价间情求的环境有关的信息或出共异出的宿息（部时间）3.4.15
发起者initiutur
一个试图访问其他实体的交体（妇人类月广或基于计算矶的实体）。3. 4. 16
发起者坊问控制判决信息(发起者 ADl） inailintor uxess control derisinn infnrmatinn initiatnrALI)
由发起者邮定ACI导出的ADT。
发起膏访问控制信息（发起者ACl）Initlatoreecaswoatrulinfuruuation(initintorACn）有关发起者的AI.
发超绑定访问控制信（发起有绑定ACI）inltiator-bovndaccesseontrolinFarmatiun(initiatur-haundACI)
都定剃发起者的ACI
operand access control decisicn infurmatiun(uperund操作数访问控制判决信声（操作数AD1）AD
自操作数绑定A\【导出的ADI.
操作激访问控制信总（操作数AcI）operandaccesgcantrolinformationtoperandAt有关访有求操作数的A.
操作数练定访问控制信息（操作效绑定AC1）aperand-hnundaccexkconirolinformatlon（operdbaimd ACI)
绑定到试而质求率作数的ACI。
保留的ADIrulainxdADI
为用于将来的动问控制州决而被ADF从以据的议问控划判决中煤留下术的AI。3. 4, 23
targetbZxz.net
被试图访,间的实体。
目标访问控制到决销息（目标ADI）targetaccesscontroldecigioninrormaton(targetALL由万际绑定AC1导出的ADI。
GR/T18794.3—2003/ISO/IEC1C181-3,1996日标访问控制信忘（目标ACI）targelaccekscontrlinformatim(targetACI)）有关日标的aCI。
目标期定访间控制信且(目标纤定 ACI) target-bouutl wcess euntrol infurmalion(target-boundACL)
绑定到口标的AC1.
4缩陷语
向控划信息（AceessContro)Indarma:on）访间控制判决信息（AccessCont=olLerisinr:lnforn.atinn）话向控制划决能(aceesgConolLceisionFunion）诉河控制实施动能(Ara:nhCimiri,lFnfurueaentFunetioa）安全信息（Sesu:ityIntornuatian）安伞城机(Secur.tyomainAuthority5读问控制的一短性论述
访向控即的目标
作为安全框类，语问竞制的丰整日标足对抗涉及计算机或谨信系统的非授权操作的或助，这些成协常皱细分步下列儿类：
非按性使用
静收；
破邨，
拒绝股务。
本安全样梨的子日协显：
过过可以是优求人炎或共地进程的行为的述式、刘数期，不问进程或其他计算资两访间的控制：
在一个安全域内，或跨趋个或率个安全域的访问控制：按盈共上下文（例血，根期试图访间的时间、间者地点或动问路由等固索》的访向控制：在访问期间对见此授权做出反应的谢间控制5.2访问控制的基本方面
下山的列硕描述灿象的的问控制功能，大密数与访问控制策略和系统数无关。实系统中的讨问制与系种实的实体有关，如：
物理实体（如实系统）
遵册实体（如S1实体，文作、军织构，以及企业），人类用广：
实系统中的访问控制可脂需要复染的活视案，这学活效也括：建立防间控制策略的表示：
建文AC的表；
将AC1分配给元素（发起若、月标.办向京！；将AC绑定别元事：
GB/T18794.3—20C3/150/EC10181-3:1996一使A1对A1F可用；
一热行计问控需收能！
修改ACI（在分配AC江值以片的任何时间)其中包括搬销：报销ADT：
这此活动口分为以组：
快作活动《使A对AIF可用和执行访间控制功能）；曾理活动其余的所有范动）
TKAoNirKca-
上证的有些活动可综制放为实系统中单个可识别的范动。重然些访可控制消动市要光丁其他活动足它带需是相交的，产且有出活动还可以重执行，下面首先详细讨论执行济何控制功能中所泌及的摄念，因为新有其他活动都支停这一做认。5.2.1执行访问控制功能
本条款的口的是市图1和图说明证问接制的基本功能。就议间控制整体运行而声，其他功非叫能也是必要的，在后面的过抢中，将介留可能实现这些功能的种种力出，其中包括分布访问控制内能和A心1的不同方式：以及在同一个或合存安全城中均向控制功能之间通片的不同格式，提及者
同请求
爱起者
围1基本访问控制功能的田示
达则诸求
纸规贴
月标A!
十下文息
快%的A
图2ADF的国示
方问控制中排及的量木实本和功能尼发起者议问控制高施攻能（ALI），访间决策边能（AI)式甘标。
发起若代表动问或试耳记问日标的人和業下计算机的安沐。本一个实累梳中，发起者田个并一计禁机的实计来代表，尽昏基丁计氧机的空体代该安起者所准的访问计求可受到该于计算机的安体的ACI的进步限到，
日标代表被安起省所访问或试以访问的基十计界机或通信的实体。例如，口标可能是一人因实体，一个文件或一个实离统。访问请求代衣操作和操作，它们挡成-个试图违行的访问的基本成分，f
GR/T 18794.3—2003/1N(/1FC 10181-3:1996AEE确保发起考在日上！能按行出AIF码定充许的访，当发起者整山工日杯上执特定说问的请求时，AEF郭通知ADF，需要进行虹次以便能做出决定。为了做出这一妞决，变治4I抵供访问请求（作为该判决计求的·部分和下列几种访问控制判决信息（ADI)：
左起者A由绑定别流发起者的A所异出的AF标ADI(左绑烂到该口标的ACI所导出的AII>：—问谐求[由辨定到该可求内所出节A】ADF的其他龄人是前问控制策略规训（末自该ADF的安全机快).以及解释AEI或策略F需典的行何：下信息：上下文信息药示到包指起者的位胃，谢间时间：成使用的行妹通倍路径点于这些输人，可能还有以前别决市保留下来的ADI.可以做出金许变禁止发危各试图对三标逆行访向的判划决：该判决链传递给FF，然后AFF成若允许将议问请求情非日标，或者来取其他适当的动作。
在许多情况下，发起者对个日标所做出对连续访问请求是相关能。个典的示例是：在个应币元与对等日标应用进差的连接后，试图用同一（保留的）A1I按行个访向：对·有些随后证过该连越进行通信的访问请求.可能需要给AF报情两如的ADF以便它允许访可请求，在身一些青况，安全策略可要求一个或非个发起者与一个或多个月标之间的基些相关访问请求受纠限制，在这神情况下，ADF可使吊先前源及多个变连者和日标的判决中所保由的AJ家特定说向请求做山判伙，对在条效，：个询向请求如果得到EF充许：产点涉及一个表起名层一个日标拍一个艾五：管发起者和日标之间的有些访问请求与其他访问调求完全无关但常带会存在这样：的情况，吓两个实件进人个相的访请求举合，如询间啦应慎式，在这样的情记下，实位怀我需要向时或交格承打变起者利日标色，并叫能深用各自的4EF组件，AIF组件和读问掉制策降来对每个话问消求执行防的整制动能，
5.2.2其他访问控制活动
5. 2. 2. 1谨立访问控制策联的表示通带用自然语言将访问控剑带略陈述为据性的原剧，例如，只充计某绒别以[.的营占才能趋吉准出的工资估息。将这原转换成规期是一项工堂设计活动，它必须在其他访问整制运动之前进行，但它不展于本安全拖架的范博。第（产中格努速访问梳制策略的概念5.2.2.2谨立A心1的表示
在这攻活动中，要对实系统（效据结构）中的八（表示和实系统之间的交换（语法）按出选择。士安全渠讨论了案列可懂的表示。AI的表不必能够支动定访问垫制成略的需求。有些A表示能在实系统中和实系统之间部适用，不同的4门1表示可用于不间的日的以支用下特定的儿专十间。
经选押药示叫君成投啦，为安全城中的元索试以特定的A值（如下条款讨论的服样）。准文ACI表示均.个方而染是决定可被指定龄安全域中亲的A1值的类型和范围（而不足那种类型可以指定给特定的元求》。为进行访间控制雪是或变现变体还访向控制动能乏间的AC1空接，而在实系统之问出行交换的AI的表示品候选的US标化对家，任S环准化并个美心在实系统中如划表示AI或好何将ACI阅交给车地，保护AI的交换在7.2中法论，就S1iH以改可前的其应用>，合适的做法把A心1表示右作山晨性类型一属长值对组成的展性，5.2.2.3给发起者和目标分配ACI在这活动中，分结·个元案的AH体件类单和网性偿是由SDA.SA优理或具他实体（如资函据有者指定的。这比实体可根括安全域策略指定或修AI的分配。山一个实体分配的A可通过出另一个实体已经绑定到它AI以限制：当有新元添加到安全域十时给儿豪分死7
GB/T:8794.3—2003/S0/1E:10181-3;1995AC一个不间断的活动，
TrKAoNrKca-
注，投于\访厅拟“的告理活动有叶就大毒授段，个输发起或目标分配ACI时就包含些一层百思，AI可以店关一单·实体的信息，也可以关实体闭关系的信息。分配论个发起者的A】可以完全是关于那个发起者的，成者是关丁那个发起费特定日标之间的关采或者是关十那个发前者与可能的[下之司的美要。于分肥给一个表起音的ACI以包括发起者AI日标AC1或1.下文信户：类似均·分配给日标的A可以包括日标ACI.发起者AC[对于一个或多个发起者！·或上下信总
在实标操作户，AC1必须放就定剂一个元需上（见.2.8.1），快得一市从绑足AC1早出AI)的AF信任那系信息，因此，尽咨给元素死AI讨将选纬定ACI而言起先决杀牛，但！方绑东到个元素的A小空际出现在实并放系中，5.2.2.4．定A1CI到发起者、目标和访问请求将ACI潮定到·人元衰（即发起上标或访问南求公在元求和分配给孩元系的，AC1之回谢建一个安全链按。部定对问控制均举和其他元载郝提供保证，该A心确实品指定缩这特定元本的，H绑定后设有发牛江何更收，通过使用完整评服务而获得，川能有几种挪定机制、其中有典依模于元索AC1的位立·见-些叫能依靠·些案码签名或封印处埋。将A1挪定到索的完整性需要在发起者和F标系统内受到保护（例血，依满诸如文件保护和进程分商之类闪探作系统功能）并且在AC1交换巾也是这样。既然一个元素的AI可存在几种可能的表示包括在系窥中以这系统之川！·部么对同一个AT可使用不内的制定抗制，在某些安全黄降下，还需要维护ACI的划需性有新案能抑到安分域户例，对元的A激定后钟不间断的括动。一个S的A，它的代理其他允许的实体，可根据追用的安全策陷任意制除或涨加A代1定。在需要表达对安全常略成函性的更讨,SDA可对绑定到元案的ALI进行修改，娜定ALI可包持有效期指小端，以而使双后可能需要撤销的量减到少
A绑定到一元案的时机以改速该定机制被用的实体，与元索类型有美。发起者将通过一个SA波的代理在它们有能力进行访间时把A绑定到它们上面。所与日标淘通过一个S4或S1A的代理在可议问前把AI绑定到它门上而，邮些山代表--个用户的虚用成见一个应用创建的日标，将在座或建之后把绑定划它们上面，绑定到字钟月标的A汀可受绑定到该用户或该应用的A1的局限性的限别：弃试用济阿前，出·个用户或声T，或者由代表用户或流币的SDA或S>A的代理扫A(I绑定到个近间请求」而上定到改访问请求的I可受到绑定到该用户或度用的AI的高证性的限制，通常的情况足访问请求致创建个新的日标实任（例如.在来些系统问传选一个文件时）.可在绑定到核证而声求的AC中带定（或H此导出！这样的个日标ALE，5.2.2. 5使AI对AIF可用
如果许问控制策略允许以及使出中的绑定机制认川的话.可由发起者或日标海详一个绑足到发起书或日标的I于集，车A1)F中特定近间控制判测时使市。绑定到一个元帝的A心可书时绑定到为个元素，例如，当一个实体代表另一人实休行动时。为了完成它的的能，用的年种AI必对AF可用，意本象款中实本，边能AT的物即分布没有做何最授，也没有假设知样箱人寸可对ADF可用。在5.3，5.1和附录中将论实体和分布式访问控制组件向川能的一些关系，对发者ADI、日际ADI或证请求ADI，存车·种u货外：】分配AC值片·AL\被须个多～A[组件：h）A)可由在访间控制进程（可曾与试图进行的访向连同）中递交给AF组件的绑定ACT享出：
ADI可由以其他采源(赖如，一个求胀务代理)所获得的谢定ALI异出，根据需要或者士FA/T18794.3—2003/INO/IEC:10181-3:1996发起者成日标获得绑定AC对ADF来说这·点不与)区分]或者由ATF获得绑定ACI[别左起者变目标来说，这--点不与区分]。没有规定A工F通对例钟达获得定AL1式早HI个ADI，发定餐统定ACI设有必要出发起者逆交，月标期定ACI没有必要山日标逆炎，访间请求沸定A不必与访同请求道递交。AIF必纳能够明确地确定AT>L出适当的SLA从沸定到元成的ACI导：在7.2中讨论提供此保近的力法。
5.2.2.6快改ACT
SDA可投批需要筛改山分配并娜定到一个元索的AC，以表示变化中的安全属性。A(IH在分配给元素后的证何时而被修改。如果修改降成了发起者对日标访问的可诊，则这种变更有可能要求激转该ACI以出其导出而可被AI>F保单的ADI。5.2.2.7撤销AJ1
搬销ACI后·任何试制使用该A:导出的AI必然引起访可不诺接受：在微销ACI之前虚防止选一步使用口该AI导山的A1川个测试图使用它必然引态的可遭测拒终，当经销A1对如果基于以前导山，AI的一个访问正在继继，部么，在起作用的访间制策吨有可能要求落止该访间。5.2.3ACI转发
在布式系慌中，带别为需求是一些实体销求其他实体代充它们去执行决问，发题者和月标是由实区所承担的角色，尽管并不是所有的实休都叫承扭这两个角色：个实体左它本身当另“个作为变起者的实体的日标的时假，还同时承担心个实体的发起著医3示出实体A请求实体13其\人实休（实施访间的成本概念，车图3中站有总明在这样一钟式访间问中为能涉及的此认问控判组许：亲体
图3ACI兼发
这一基术概念有许等变种。这些变种在策略房要求的A的组合上有明很冶不同，这些策些必须在，以允许进行这样的链接切可，儿走明如何使液AI对合适的问源制组件叫月，在某此策略下，除为了4而技行违问口将ACI辨定B以外.可以不需恶AC1:在另-专策略下，H将仅使用从A得到闪该计可扣关的ACI.而在款价况下必领使开期定到A和T的4CT。下也的示负将说明可能的·些变种；u：在最简单的司能排中，A要求执行一次动间·国为B的ACI行A的邮个访间请成是充分的。
t）刘活当的访问控制红件所非消的防间请求，A川能需要担问部分或全部ACTI）A提供ACI.办达是巴它与访问请求一起传给B：2）在清求B执行该问之前.A可请求采白的预步没放。在这种情况下.A应将AC供治心而（按着给A提供·个权杯。A等这个权示随心销求的访问一道发给B，然法心将这个权标识别火先前控权的一个记录，（条见附录下对这种情况的更计潮描述，）图：可广在何数的是有整实体的间实体，这站要以从列内或涨个实体中所快得的ACI为依据做访间划决。附录3对三杂门按访问能中发起老和日标之间的交互有患计卵的损述，
，访司整材策的设川远芭识到销下阅更，这和专逆证向可能独环造京本关不鼓自后许可的功获得许可均5.3仿间控制组件的分布
AH或ADF叫一或率个证问挖制组件均成：谢间控制动能可分布在折间控制装略充评的组件中。上而所握山的苯本访问教制动能卡了单件位置，它们之间的通信或它们的可能分布方而的考愿GB/T15794.3—2503/180/1EC.10151-3;1996TrKAoNrKca-
无关的，
AE1配置在个零者一日标实例之间以使发尺者仪过AEF就能性用于日标。AH和A[F组件几可留的物埋示例。AIF组件可以，也可以一个AF组件配保用。F组件可为一个或多·个AKF适件服务，间样，AEF年件I使用个或多个ADF组件。一人AF下组处和一个A止组件的搭配可能在效率和改性（成然遇）力面有优劳，准且起可以免除AEF私AL之间源信保的告求。为几个AFF生件服务的ADF件可能车减少分发AI所源求和社相关安全功谨如计之美诚沙复虐度为而有快势：在附录中AT>即A组件、位置以改关系示例节讨论它是成用于单入发起者和单个日标内，州件位骨的安排可能基干下划种吸客种的考虑。5.3.1入访问控割
可认为，在个日起上入访问控制判就足解「，在这钟情况下，个日快AEF件实施一个人访问控制策路，并小月标不能接收与该月标的访可控制策略不致的访间请求：这就意魅若由发起者发送的访.同请求海到达日标AEF,并将受到日标AEF的检查以证实它们满足ATF纪件实随的访n控制策略。
5.3.2出访问控制
S江A河认为、重要的是使用发起者本地的访向控制组件事限止对日标的授权访间（例好，当标谢问控制系统离闻的质盘不高时，或者，如果没有百先枪测该清求的访向已整获得了授权，就不度该清耗可用的落资源）在这种节况一，发起者AEF对高访司控制是必要的。此，发提者不能实现与在冠者安全诚的访间控制策略不一改的证问。5.3.3播入访问控制
ST4可认步，互要的是对发者和百标之间的谢间违行过滤，在这种情况下.AFF可：重在发起名和日标之间，拥人的A然后可实能人两种访问控制策略，这共让而控制策略叫与发起考的及日标的安全或访同空制策吨无关5.4跨多个安全城的访问控制组件分布安全域之间出许会形成关使得在个安全威的资源前被别的安全域议闯。可催创及到多个安企域的情况，但弃许多实例中并不店历与的安全域部明确。一些安全城据供A(I，一些对一个访向实随控，坏有比则两者部做。这栏的安全城可他括：一净A的邮是到该发起者的表全域一发起者新在的安企域：
特A心1绑定划该游问请求的安全城：一一率A定到该已标的安全划：
标所在的羽个安伞城，
做出访问控制判决的安全域；
热行访防问择制判决的表全.
许向挖制过程类概于在可一SDA下全部AFF和A组件的情妇.述，共十雕加了D间积域间系以及域间逆信的发来性，叫证信他括
SDA之间的通告，点者详行了新的第定ACI作或A(I修改换作的SDA代理之间的追告一在试图访间时为证实准转换A1利访问控制策喀的表示而进行的情求，以及对建比讲求作口的询应；
一一试问请求以及对这些情求的询应5.5对访问控制的感助
AI和访向控功能可分布在若下实系统和安全域中，AC江可能过不安伞的通信设所进行通iu
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。