ICS01.040.33 M 04 YD 中华人民共和国通信行业标准 YD/T 2300-2011 可扩展的访问控制标记语言 eXtensible access control markup language (XACML 2.0) (ITU-T X.1142: 2006, MOD) 2011-06-01 发布 2011-06-01实施 中华人民共和国工业和信息化部·发布 YD/T 2300-2011 目 次 前言 1范围 2规范性引用文件 3术语和定义· 4缩略语· 5 XACML核心 5.1 XML数据流模型 5.2 XACML上下文 5.3策略句法 5.4上下文句法 5.5XACML功能需求 5.6XACML扩展点.. 5.7 一致性 53 6基于核心和层次的角色访问控制(RBAC)应用配置 62 6.1RBAC背景 62 6.2 RBAC例子 64 6.3 指派和激活角色属性 6.4 实现RBAC的模型 6.5 应用配置 6.6 标识符 74 7XACML的多资源应用配置· .74 7.1请求多个资源. 74 7.2 请求整个层次· 76 7.3 新属性标识符· 7.4 新应用配置标识符 8XACML的SAML2.0应用配置 8.1 映射SAML和XACML属性.... ?80 8.2 授权决定 82 8.3 策略· .. .·84 8.4元素<saml:Assertion> ·85 8.5元素<samlp:Response> 9XML数字签名应用配置· ·87 9.1SAML的使用... 9.2 规范化 87 1 YD/T2300-2011 9.3签名模式 88 -88 10XACML的层次资源应用配置· ·88 10.1表示节点的身份信息… 10.2请求对节点的访问 89 10.3确定节点所适用的策略 92 10.4 新DataType: xpath-expression ·92 10.5新属性标识符 93 10.6新的应用配置标识符 93 11保密策略应用配置 94 11.1标准属性 94 11.2标准规则：匹配目的 94 ·96 附录A（资料性附录）数据类型和函数 附录B（资料性附录）XACML标识符· ·113 117 附录C（资料性附录）组合算法 ·126 附录D（资料性附录）XACMIL模式定义 附录E（资料性附录）安全考虑· ?145 附录F（资料性附录）XACML示例· ·149 附录G（资料性附录）高阶包函数示例描述… 174 附录H（资料性附录） 发展背景· 179 YD/T2300-2011 前言 本标准修改采用ITU-TX.1142《可扩展的接入控制标记语言（XACML2.0）》（2006年英文版）， 与ITU-TX.1142的对应关系如下： a）将规范性引用文件中的RFC2732和RFC2396替换为RFC3986，移动部分做了相应的修改； b）删除了建议书中的第5章约定； c）将建议书中的附件I、附件Ⅱ、附件Ⅲ和附件IV作为本标准的资料性附录E、附录F、附录G 和附录H。 本标准按照GB/T1.1-2009给出的规则起草。 本标准的附录A、附录B、附录C、附录D、附录E、附录F、附录G、附录H均为资料性附录。 本标准由中国通信标准化协会提出并归口。 本标准起草单位：工业和信息化部电信研究院。 本标准主要起草人：聂秀英、毕立波、薛宁、江浩洁、陈萍、张蓓、凤旺森、张扬、吕洁。 m YD/T 2300-2011 可扩展的访问控制标记语言 1范围 本标准规定可扩展的访问控制标记语言(XACML)，包括表示安全策略的公用语言、XACML模型、 策略语言模型、策略句法以及处理规程的核心XACMIL语言,还规定了基于核心和层次的角色访问控制 (RBAC)配置、XACML、XACML多资源配置以及通过开发用于XACML的SAML2.0应用配置保证XACML 通信安全的技术等。 本标准适用于机构内部或跨机构联合认证系统。 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 ITU-T建议X.811(1995)| 信息技术一开放系统互联一开放系统的安全构架：认证构架 ISO/IEC 10181-2:1996 ITU-T建议X.812(1995) 信息技术一开放系统互联一开放系统的安全架构：访问控制架构 ISO/IEC 10181-3:1996 ITU-T建议X.1141 (2006) 安全断言标记语言(SAML2.0) IETF RFC 822 (1982) ARPA互联网文本消息格式的标准 IETF RFC 2119 (1997) RFC中使用的用来指示请求级别的关键词 IETF RFC 2253 (1997) 轻型目录访问协议(v3)：分辨名的UTF-8字符串表示法 IETFRFC2256 (1997) 使用的X.500(96)用户模式总结 IETFRFC3986(2005) 通用资源标识符(URD)：通用句法 IETF RFC 2821 (2001) 简单邮件传输协议 IETF RFC 3280 (2002) InternetX.509公共密钥基础证书和证书撤销列表应用配置 W3C建议W3C规范：2002 专用XML规范化V1.0 W3C建议W3C数据类型：2001 XMILSchem部分2：数据类型 W3C建议W3C加密术：2002 XIML加密语法和处理 W3C建议W3CMathML:2003 数学标记语言e(MathML)，V2.0 W3C建议W3C签名：2002 XML-签名语法以及处理 W3C建议W3CXML:2004 可扩展标记语言(XML)1.0(第三版) W3C建议W3CXPATH:1999 XML路径语言,Vi.0 W3C建议W3CXSLT:1999 XSL转换(XSLT) V1.0 3术语和定义 下列术语和定义适用于本文件。 3.1 访间 Access YD/T 2300-2011 可扩展的访问控制标记语言 1范围 本标准规定可扩展的访问控制标记语言(XACML)，包括表示安全策略的公用语言、XACML模型、 策略语言模型、策略句法以及处理规程的核心XACMIL语言,还规定了基于核心和层次的角色访问控制 (RBAC)配置、XACML、XACML多资源配置以及通过开发用于XACML的SAML2.0应用配置保证XACML 通信安全的技术等。 本标准适用于机构内部或跨机构联合认证系统。 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 ITU-T建议X.811(1995)| 信息技术一开放系统互联一开放系统的安全构架：认证构架 ISO/IEC 10181-2:1996 ITU-T建议X.812(1995) 信息技术一开放系统互联一开放系统的安全架构：访问控制架构 ISO/IEC 10181-3:1996 ITU-T建议X.1141 (2006) 安全断言标记语言(SAML2.0) IETF RFC 822 (1982) ARPA互联网文本消息格式的标准 IETF RFC 2119 (1997) RFC中使用的用来指示请求级别的关键词 IETF RFC 2253 (1997) 轻型目录访问协议(v3)：分辨名的UTF-8字符串表示法 IETFRFC2256 (1997) 使用的X.500(96)用户模式总结 IETFRFC3986(2005) 通用资源标识符(URD)：通用句法 IETF RFC 2821 (2001) 简单邮件传输协议 IETF RFC 3280 (2002) InternetX.509公共密钥基础证书和证书撤销列表应用配置 W3C建议W3C规范：2002 专用XML规范化V1.0 W3C建议W3C数据类型：2001 XMILSchem部分2：数据类型 W3C建议W3C加密术：2002 XIML加密语法和处理 W3C建议W3CMathML:2003 数学标记语言e(MathML)，V2.0 W3C建议W3C签名：2002 XML-签名语法以及处理 W3C建议W3CXML:2004 可扩展标记语言(XML)1.0(第三版) W3C建议W3CXPATH:1999 XML路径语言,Vi.0 W3C建议W3CXSLT:1999 XSL转换(XSLT) V1.0 3术语和定义 下列术语和定义适用于本文件。 3.1 访间 Access YD/T 2300-2011 可扩展的访问控制标记语言 1范围 本标准规定可扩展的访问控制标记语言(XACML)，包括表示安全策略的公用语言、XACML模型、 策略语言模型、策略句法以及处理规程的核心XACMIL语言,还规定了基于核心和层次的角色访问控制 (RBAC)配置、XACML、XACML多资源配置以及通过开发用于XACML的SAML2.0应用配置保证XACML 通信安全的技术等。 本标准适用于机构内部或跨机构联合认证系统。 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 ITU-T建议X.811(1995)| 信息技术一开放系统互联一开放系统的安全构架：认证构架 ISO/IEC 10181-2:1996 ITU-T建议X.812(1995) 信息技术一开放系统互联一开放系统的安全架