Service Promotion in a Federation of Security Domains
Résumé
Service Oriented Architecture (SOA) implemented with web services technologies, provides standardised solutions to share services between various security domains. But access control to services is defined for each domain, and therefore the federation of security domains brings some flexibility to users of the services. To facilitate the authentication of users, a solution is a federated access control that relies on the identity federation, which allows users to authenticate once in one domain and to access the services of others according to its authorisation attributes. Since the access control requirements of services are specified using domain-specific authorisation attributes, the secure sharing of services in the federation becomes a real challenge. On the one hand, domains cannot abandon their access control models in favour of a global one; on the other hand, the redefinition of the access control requirements of services compromises the existing service consumers.
In this paper, we propose the promotion of services as a method that consists in publishing the services of domains at the federation level by redefining their access control requirements with the federation’s authorisation attributes. Our promotion method relies on mappings between federation’s authorisation attributes and those of domains to preserve existing service consumers and to support domain autonomy. We formally describe interaction and access to promoted services using operational semantics.
L’architecture orientée services (SOA), mise en œuvre par des services Web, fournit des solutions standards pour partager des services entre divers domaines de sécurité. Cependant, le contrôle d’accès aux services est défini au niveau de chaque domaine de sécurité, et par conséquent la fédération des domaines apporte une certaine souplesse aux usagers des services des domaines. Pour faciliter l’authentification des utilisateurs, une solution est le contrôle d’accès fédéré, basé sur la fédération d’identité et qui permet aux utilisateurs de s’authentifier une fois dans un domaine et d’accéder aux services des autres en fonction de ses droits et attributs. Malheureusement les exigences de contrôle d’accès des services sont spécifiées à l’aide d’attributs d’autorisation spécifiques au domaine, le partage sécurisé des services dans la fédération devient un véritable défi. Les domaines doivent à la fois être autonomes et interopérables vis-à-vis de la fédération.
Dans cet article, nous proposons la promotion des services comme solution consistant à publier les services des domaines au niveau de la fédération en redéfinissant leurs exigences de contrôle d’accès avec les attributs d’autorisation de la fédération. Notre méthode de promotion repose sur des correspondances entre les attributs d’autorisation de la fédération et ceux des domaines pour préserver les clients hors fédération. Nous décrivons formellement l’interaction et l’accès aux services promus en utilisant des règles sémantiques opérationnelles.
| Origine | Fichiers produits par l'(les) auteur(s) |
|---|
Loading...