23、灵活的 PERMIS 授权模块开发与 CA-in-a-Box 解决方案

灵活的 PERMIS 授权模块开发与 CA-in-a-Box 解决方案

在当今数字化的时代，访问控制和公钥基础设施（PKI）的部署对于企业和机构的安全与管理至关重要。本文将深入探讨灵活的 PERMIS 授权模块的开发，以及 CA-in-a-Box 这一创新解决方案，旨在为读者提供全面的技术解读和操作指南。

1. PERMIS SAAM 工作模式

PERMIS SAAM 具有多种工作模式，以适应不同的应用场景和安全需求。

1.1 PERMIS SAAM 推送模式（Push Mode）

当目标站点信任源站点的属性存储库和源站点作为单一属性授权机构（AA）时，会采用推送模式。在此模式下，源站点将明文属性存储在其存储库中，并通过数字签名的 SAML 消息将这些属性传递给目标站点。这是 Shibboleth 的标准操作模式。
- 属性传递与决策 ：Shibboleth 传递用户的属性，而不是用户的 LDAP DN 和角色属性证书（ACs），PERMIS PV/PDP 使用这些属性进行访问控制决策。
- 作用域域（Scope Domain） ：源站点可以为每个发布的属性附加作用域域，用于区分不同的属性颁发者。例如，某些属性的作用域域可能是 “salford.ac.uk”，而其他属性的作用域域可能是 “computing.salford.ac.uk”。PERMIS RAP 应将作用域域指定为属性颁发者（SoAs），以验证 “带作用域的属性”。特殊 URL “shib:<作用域域名>” 用于此目的，如 “shib:salford.ac.uk” 和 “shib:com