ICS35.040 L80 中华人民共和国国家标准 GB/T30280—2013 信 信息安全技术 鉴别与授权 地理空间可扩展访问控制置标语言 Informationsecuritytechnology—Authenticationandauthorization— GeospatialeXtensibleAccessControlMarkupLanguage(GeoXACML) 2013-12-31发布 2014-07-15实施 中华人民共和国国家质量监督检验检疫总局 中国国家标准化管理委员会发布目 次 前言 Ⅰ ………………………………………………………………………………………………………… 引言 Ⅱ ………………………………………………………………………………………………………… 1 范围 1 ……………………………………………………………………………………………………… 2 规范性引用文件 1 ………………………………………………………………………………………… 3 术语和定义 1 ……………………………………………………………………………………………… 4 缩略语 4 …………………………………………………………………………………………………… 5 GeoXACML几何模型 4 ………………………………………………………………………………… 6 GeoXACML空间函数定义 5 …………………………………………………………………………… 7 GeoXACML标识符定义 10 ……………………………………………………………………………… 附录A(规范性附录) GeoXACML符合性声明表 13 …………………………………………………… 附录B(规范性附录) GeoXACML符合性测试 16 ……………………………………………………… 参考文献 19 ……………………………………………………………………………………………………GB/T30280—2013 前 言 本标准按照GB/T1.1—2009给出的规则起草。 本标准由全国信息安全标准化技术委员会(SAC/TC260)提出并归口。 本标准起草单位:中国科学院软件研究所、北京数字认证股份有限公司、北京信息科学技术研究院。 本标准主要起草人:冯登国、付艳艳、陈驰、张敏、洪澄、李昊、田雪、詹榜华。 ⅠGB/T30280—2013 引 言 近年来,随着地理信息服务的广泛应用,地理信息交互的安全需求也日益强烈。但在互联网应用场 景中,缺乏关于地理信息属性和授权信息定义、访问控制实现的规范,地理信息和资源缺乏必要的保护。 本标准参考开放地理信息联盟(OGC)的文件GeospatialeXtensibleAccessControlMarkupLan- guage(GeoXACML)Version1.0,通过定义一种可用于表达访问权限的基于规则的策略语言,使得实 现一个能够互操作的地理空间访问控制系统成为可能。 本标准是可扩展访问控制置标语言(XACML)的一种扩展。 ⅡGB/T30280—2013 信息安全技术 鉴别与授权 地理空间可扩展访问控制置标语言 1 范围 本标准规定了地理空间可扩展访问控制置标语言(GeoXACML)的几何模型、数据类型、几何体拓 扑关系函数以及几何函数。 本标准适用于地理信息服务场景中访问权限的定义和实施。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文 件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。 GB/T25069—2010 信息安全技术 术语 OGC06-103r4v1.2.0 地理信息实施准则 简单要素访问 第1部分:通用架构(OpenGIS® ImplementationSpecificationforGeographicinformation—Simplefeatureaccess—Part1:Common architecture) OASIS.ConformanceTestsforXACML1.0and1.1[EB/OL].[2004-03-25].http://www.oasis- open.org/committees/download.php/6076/ConformanceTests.zip 3 术语和定义 下列术语和定义适用于本文件。 3.1 访问 access 对资源执行的一种操作。 3.2 访问控制 accesscontrol 一种保证数据处理系统的资源只能由被授权主体按授权方式进行访问的手段。 [GB/T25069—2010,定义2.2.1.42] 3.3 动作 action 对资源的操作。 3.4 适用策略 applicablepolicy 控制特定决策请求的策略和策略集。 3.5 属性 attribute 主体、资源、动作和环境的特征,该特征可以在谓词和目标中被引用。 1GB/T30280—2013 3.6 授权决策 authorizationdecision 对请求是否授权的决策。包含以下组成部分:适用策略的评估结果,由PDP返回给PEP;评估函 数,输出结果为“同意”“驳回”或“不适用”;一个义务的集合(可选)。 3.7 包 bag 值的无序集合,可能包含重复的值。 3.8 条件 condition 谓词表达式,其评估结果可以是“True”“False”或“Indeterminate”。 3.9 合取序列 conjunctivesequence 使用逻辑与(AND)连接的谓词序列。 3.10 上下文 context 决策请求和授权决策的规范表述。 3.11 上下文处理器 contexthandler 一个系统实体,它把决策请求从原始请求格式转换成XACML规范形式,并把授权决策从 XACML规范形式转换成原始应答格式。 3.12 决策 decision 规则、策略或策略集的评估结果。 3.13 决策请求 decisionrequest 由策略执行点(PEP)发送给策略决策点(PDP)的消息,要求生成授权决策的请求。 3.14 析取序列 disjunctivesequence 使用逻辑或(OR)操作符连接的谓词序列。 3.15 效果 effect 规则的预期评估结果,只能为“同意”或“驳回”。 3.16 环境 environment 一组与授权决策相关的属性集合,独立于特定的主体、资源或动作。 3.17 命名属性 namedattribute 属性的一个特定实例,具体值取决于属性名、类型、持有者和属性颁发者。 3.18 义务 obligation 策略或者策略集中定义的特定操作,PEP在执行授权决策时,应执行该操作。 2GB/T30280—2013 3.19 策略 policy 由管理层正式表达的总体意图和指向。 [GB/T25069-2010,定义2.3.27] 3.20 策略管理点 policyadministrationpoint 创建策略或策略集的系统实体。 3.21 策略组合算法 policy-combiningalgorithm 从多个策略中得到决策和义务的过程。 3.22 策略决策点 policydecisionpoint 系统实体,负责评估适用策略并产生授权决策。 3.23 策略执行点 policyenforcementpoint 系统实体,它通过产生决策请求并执行授权决策结果进行访问控制。 3.24 策略信息点 policyinformationpoint 系统实体,是属性值的来源。 3.25 策略集 policyset 若干策略或其他策略集,策略组合算法和若干义务(可选)的集合,可以是其他策略集的组成部分。 3.26 谓词 predicate 关于属性的声明,可以评估其是否为真。 3.27 资源 resource 数据、服务或系统组件。 3.28 规则 rule 包含目标(target)、效果(effect)和条件(condition),是策略的组成部分。 3.29 规则组合算法 rule-combiningalgorithm 从多个规则得到组合决策的过程。 3.30 主体 subject 断言可能引用的属性的所有者。 3.31 目标 target 通过主体、资源和动作进行限定的决策请求集合,是规则(Rule)、策略(Policy)和策略集 (PolicySet)评价的对象。 3GB/T30280—2013 4 缩略语 下列缩略语适用于本文件。 1D:一维(One-Dimensional) 2D:二维(Two-Dimensional) 3D:三维(Three-Dimensional) GeoXACML:地理空间可扩展访问控制置标语言(GeospatialeXtensibleAccessControlMarkup Language) GeoDRM:地理空间数字权限管理(GeospatialDigitalRightsManagement) GeoDRM-RM:地理空间数字权限管理-参考模型(GeospatialDigitalRightsManagement- ReferenceModel) GML:地理置标语言(GeographyMarkupLanguage) ISO:国际标准化组织(InternationalOrganizationforStandardization) OASIS:结构化信息标准促进组织(OrganizationfortheAdvancementofStructuredInformation Sta