4.1.2.3. Ретрансляция виуд

Существует общее требование в распределённых системах для объектов, которые обращаются к другим объектам с целью обеспечения доступа для них и от их имени. Объекты выступают в роли инициаторов и целевых объектов, хотя не все объекты могут исполнять обе эти роли. Один объект может быть инициатором по отношению к другому объекту и одновременно сам быть целе­вым объектом по отношению к третьему объекту, выступающему в роли ини­циатора.

На рис. 4.3 проиллюстрирована ситуация, при которой объект А запраши­вает объект В, чтобы последний обеспечил доступ к объекту С. На этом ри­сунке не отображены некоторые компонента УД, которые мог ли бы участво­вать в процедуре установления доступа.

Существует несколько разновидностей процедуры ретрансляции ВИУД. Очевидно, что разновидности зависят от комбинации ВИУД, определяемой ПЛУД, которая обязательно должна быть представлена с целью установления порядка обработки таких последовательных (ретранслируемых) запросов дос­тупа. Кроме того, политика обязана определять порядок обработки поступив­шей ВИУД, чтобы последняя была доступна для соответствующих компонен­тов УД. В соответствие с некоторыми политиками объекту В в дальнейшем может не понадобиться ВИУД, которая уже привязана к нему с целью обеспе­чения доступа для объекта А. А в соответствие с некоторыми другими полити­ками объект В будет использовать только ВИУД, полученную от объекта А, и которая очень важна для предоставления доступа, несмотря на то, что в общем случае должна использоваться ВИУД, которая привязана к А и В.

Рис.4.3. Ретрансляция ВИУД

Следующие примеры дают представление о диапазоне возможных разно­видностей ретрансляции ВИУД:

1. среди наиболее простых разновидностей, объект А может запрашивать объ­ект В с целью обеспечения доступа, и при этом ВИУД, привязанная к объекту В, будет вполне приемлемой и достаточной для доставки запроса доступа в интересах объекта А;

2. объекту А может понадобиться предоставить часть или всю ВИУД, необхо­димую для запроса доступа, который был бы санкционирован всеми компонентами УД:

1. объект А может предоставить необходимую ВИУД путём её передачи объекту В при запросе доступа;

2. объект А может запросить предварительную авторизацию у объект С до того, как он запросит объект В обеспечить доступ. В таком случае объект А мог бы предоставить ВИУД объекту С, который, в свою оче­редь, мог бы в ответе передать объекту А соответствующий маркер доступа. Этот маркер доступа может быть передан объектом А объекту В вместе с запросом доступа. И затем, объект С может распознать мар­кер доступа, как запись о предварительной авторизации.

На рис. 4.3 может быть показано произвольное число промежуточных объектов, и касаясь ФПРИ-модуля последнего целевого объекта, то получение решения о доступе, как правило, основано на ВИУД, полученной от одного или нескольких участвующих в ретрансляции объектов.

(Примечание. Разработчик ПЛУД обязан осознавать, что без обеспечения промежуточных процедур УД можно предоставить доступ, который мог быть на­прямую запрещён.)