In diesem Abschnitt wird das Format der Autorisierungsregeldatei definiert. Der folgende Auszug verdeutlicht den grundlegenden Aufbau der Datei.
Der Abschnittstitel [authz] und die Versionsschlüssel müssen die ersten Einträge in der Datei sein.
Die einzelnen Abschnitte (timeRange, timeacl, URIMapping dnsmapping und IPAddWhiteList) müssen nicht alle vorhanden oder in einer vorgegebenen Reihenfolge angeordnet sein. Wenn sie jedoch vorhanden sind, müssen sie alle mit einem "end"-Schlüsselwort beendet werden.
Die Reihenfolge von Datensätzen innerhalb der einzelnen Abschnitte ist wichtig, und sie wird eingehalten.
Das Symbol '+*' am Ende mancher Zeilen gibt an, dass in einem Abschnitt mehrere Einträge vorhanden sein können. Es darf nicht in eine echte Datei eingegeben werden.
[authz]
RulesVersion=n
realm
{ Name xxx Anmerkungen yyy}+*
end
timeRange
{Name xxx aktiviert x Stunden hhh Typ ttt Wochentage www Jahr jjjj Monat mmm Tag ttt}+*
end
timeacl
{Name xxx aktiviert x SecPrincType xxx Ereignisse xxx RuleType xxx TimeRange xxx SecPrinc xxx SecObj xxx SecObjType xxx }+*
end
URIMapping
{URI xxx aktiviert x Typ xxx Bereich xxx}+*
end
IPAddWhiteList
{IPAddress aktiviert x xxx Typ xxx}+*
end
Eine detaillierte Darstellung der einzelnen Abschnitte und Einträge folgt.
Für alle Datensatztypen gilt: Wenn ein Wert Leerzeichen enthält, muss er in doppelte Anführungszeichen gesetzt werden, um den Anfang und das Ende des Wertes zu kennzeichnen. Beispiel:
Name "dies ist der Datensatzname"
Außerdem muss jeder Datensatz mit einer öffnenden geschweiften Klammer ('{') beginnen und mit einer schließenden ('}') enden.
Es gibt einige Attribute, die in zwei oder mehr Abschnitten verwendet werden. Diese werden hier genauer beschrieben.
Setzen Sie dieses Attribut auf '1', um den einzelnen Datensatz zu aktivieren, oder auf '0', um ihn zu deaktivieren.
Deaktivierte Datensätze werden dennoch verarbeitet, validiert und gespeichert, die Autorisierungskomponente führt jedoch keine Aktion für sie durch.
Ein lesbarer Name zur Beschreibung des timeRange- oder des timeacl-Eintrags. Dieser Name wird nicht zu Zwecken der direkten Autorisierung verwendet, er wird jedoch zu Diagnosezwecken und zum Erstellen eines Querverweises zwischen einem Zugriffssteuerungseintrag und einem Zeitbereich verwendet. Beispielsweise könnte ein timeRange-Eintrag für den 1. Januar "Neujahr" heißen.
Dieser Abschnitt definiert Bereichsnamen für nachfolgende Abschnitte.
Dieses Attribut definiert den Namen eines Bereichs zur nachfolgenden Verwendung. Normalerweise sollte der Bereichsname für die Mitgliedschaftsliste aussagekräftig sein.
Dieses Attribut bietet die Möglichkeit zum Hinzufügen von Anmerkungen für diesen Bereichseintrag. Die Anmerkungen werden in keiner Weise interpretiert, sie werden jedoch in der grafischen Benutzeroberfläche für die Autorisierungskonfiguration angezeigt.
Dieser Abschnitt definiert Zeitbereiche für die anschließende Verwendung durch den timeacl-Abschnitt.
Zeitbereiche können entweder generische Wochentagsbereiche oder ein bestimmtes Datum, wie einen Feiertag, eine geplante Wartung usw., beschreiben.
Das erste Attribut-Wert-Paar in jedem timeRange-Eintrag muss das Namensattribut sein.
Wie im Abschnitt zu den allgemeinen Attributen beschrieben.
Wie im Abschnitt zu den allgemeinen Attributen beschrieben.
Dieses Attribut beschreibt die Stunden, in denen der Zeitbereich wirksam ist. Der Eintrag 'Stunden' kann auf Zeiträume von 30 Minuten festgelegt werden. Der Wert für 'Stunden' kann als einzelner Eintrag, als Bereich mit einem Start- und einem Endzeitpunkt oder in Form von mehreren Bereichen angegeben werden.
Das Attribut 'Typ' bestimmt die Art des Zeitbereichseintrags. Seine möglichen Werte sind 'normal' und 'speziell'.
Das Attribut 'Wochentage' definiert die Zeiträume, in denen ein normaler Zeitbereich aktiv ist. Der Wert kann ein einzelner Tag, mehrere einzelne Tage, ein Tagebereich oder mehrere Tagebereiche sein.
Diese Attribute werden zusammengefasst, da sie alle für den Typ 'specialdaytype' vorhanden sein müssen.
Wenn einer der Sondertagwerte Null (0) ist, dient die Null als Platzhalterzeichen, das mit jedem Jahr, Monat oder Tag übereinstimmt.
Dieser Abschnitt definiert einzelne zeitbasierte Zugriffssteuerungseinträge (TACEs) für eine Zeit-ACL (zeitbasierte Zugriffssteuerungsliste).
Das erste Attribut-Wert-Paar in jedem timeacl-Eintrag muss das Namensattribut sein.
Wie im Abschnitt zu den allgemeinen Attributen beschrieben.
Wie im Abschnitt zu den allgemeinen Attributen beschrieben.
Dieser Attributwert definiert den Typ des Abgleichs, der bei der Verwendung dieses TACEs durchgeführt werden soll. Der Wert kann 'Normal', 'Muster' oder 'Bereich' lauten.
Dieses Attribut definiert das Ereignis oder die Ereignisse, für die dieser TACE gilt. Die Ereignisnamen sind die im Abschnitt "Ereignistypen" definierten Namen.
Dieses Attribut definiert den Typ des TACEs. Der Wert lautet 'zulassen' oder 'verweigern'.
Dieses Attribut ist ein Querverweis auf einen Zeitbereichseintrag. Es steuert, wann der TACE aktiv ist. Der Attributwert sollte mit dem Namen des Zeitbereichs übereinstimmen. Das Import-Hilfsprogramm überprüft, ob jeder TACE auf einen gültigen Zeitbereich verweist (es erzwingt jedoch nicht das Flag 'aktiviert' für einen Zeitbereich).
Hierbei handelt es sich um den expliziten Namen eines Sicherheitsprinzipals, einen regulären Ausdruck, der für eine Übereinstimmung mit mehreren Sicherheitsprinzipalen verwendet wird, oder um einen Bereichsnamen
Hierbei handelt es sich um den expliziten Namen eines gesicherten Objekts (das Ziel eines Vorgangs) oder einen regulären Ausdruck, der für eine Übereinstimmung mit mehreren gesicherten Objekten verwendet wird.
Dieses Attribut definiert den Zeichenfolgentyp im 'SecObj'-Attribut.
Derzeit sind die folgenden Typen definiert:
Dieser Abschnitt definiert, wie Sicherheitsprinzipalnamen Bereichen zugeordnet werden. Das erste Attribut-Wert-Paar in jedem Eintrag muss das Schlüsselwort 'URI' sein.
Diese Zeichenfolge wird für den Vergleich mit der Identität des Sicherheitsprinzipals verwendet, um die Bereichszugehörigkeit zu bestimmen.
Wie im Abschnitt zu den allgemeinen Attributen beschrieben.
Dieses Attribut definiert den Typ des Eintrags. Mögliche Werte sind 'Normal' oder 'Muster'.
Dieses Attribut definiert den Namen des Bereichs oder der Bereiche, denen der Sicherheitsprinzipal zugeordnet wird.
Mehrere Bereiche können angegeben werden, indem die einzelnen Bereichsnamen durch das Symbol '#' voneinander getrennt werden.
Es gibt den speziellen Bereichsnamen '*', der mit allen Bereichen übereinstimmt. Ein Prinzipal, der einem Bereich mit dem Namen '*' zugeordnet ist, kann auf alle Bereiche zugreifen. Die Bereichszugehörigkeit '*' sollte nur in seltenen Fällen verwendet werden, und nur dann, wenn Sie sich vollständig über die Auswirkungen für die Sicherheit im Klaren sind.
Der Abschnitt definiert die Liste von IP-Adressen, die eine Verbindung zum Zielknoten herstellen dürfen.
Das erste Attribut-Wert-Paar in jedem Eintrag muss das Schlüsselwort 'ipaddress' sein.
Diese Zeichenfolge definiert eine explizite IP-Adresse oder einen regulären Ausdruck für eine Musterübereinstimmung mit der eingehenden IP-Adresse.
Wie im Abschnitt zu den allgemeinen Attributen beschrieben.
Definiert den Typ dieses Eintrags der Weißen Liste. Mögliche Werte sind 'Normal' oder 'Muster'.
|
Copyright © 2013 CA.
Alle Rechte vorbehalten.
|
|