4.應(yīng)用結(jié)構(gòu)

PMI基于PKI建設(shè)，在應(yīng)用中也和PKI-起為應(yīng)用程序提供安全支撐，其中PKI可以很好地為應(yīng)用解決用戶身份認(rèn)證的問題，而PMI則可以很好地解決應(yīng)用訪問控制的問題。兩者和應(yīng)用系統(tǒng)結(jié)合的邏輯結(jié)構(gòu)如下圖所示：

　　圖中各部分說明如下：

1)訪問者、目標(biāo)

訪問者是一個(gè)實(shí)體（該實(shí)體可能是人，也可能是其他計(jì)算機(jī)實(shí)體），它試圖訪問應(yīng)用系統(tǒng)內(nèi)的其他目標(biāo)（資源）。

2)策略

授權(quán)策略展示了一個(gè)機(jī)構(gòu)在信息安全和授權(quán)方面的頂層控制，授權(quán)遵循的原則和具體的授權(quán)信息。在一個(gè)機(jī)構(gòu)的PMI應(yīng)用中，策略應(yīng)當(dāng)包括一個(gè)機(jī)構(gòu)將如何將它的人員和數(shù)據(jù)進(jìn)行分類組織，這種組織方式必須考慮到具體應(yīng)用的實(shí)際運(yùn)行環(huán)境，如數(shù)據(jù)的敏感性，人員權(quán)限的明確劃分，以及必須和相應(yīng)人員層次相匹配的管理層次等因素。所以，策略的制定是需要根據(jù)具體的應(yīng)用量身定做的。

策略包含著應(yīng)用系統(tǒng)中的所有用戶和資源信息以及用戶和信息的組織管理方式；用戶和資源之間的權(quán)限關(guān)系；保證安全的管理授權(quán)約束；保證系統(tǒng)安全的其他約束。一般采用基于角色的訪問控制( Role-Based Access Control，RBAC)。

3)授權(quán)檢查

授權(quán)檢查，即訪問控制執(zhí)行點(diǎn)( Access Control Enforcement Function，AEF)，在應(yīng)用系統(tǒng)中，介于訪問者和目標(biāo)（資源）之間，用在這里檢查訪問者是否具有適當(dāng)?shù)脑L問目標(biāo)（資源）的權(quán)限。當(dāng)訪問者申請?jiān)L問時(shí)，授權(quán)檢查點(diǎn)向訪問控制決策點(diǎn)申請授權(quán)，并根據(jù)授權(quán)決策的結(jié)果實(shí)施決策，即對目標(biāo)執(zhí)行訪問或者拒絕訪問。在具體的應(yīng)用中，授權(quán)檢查點(diǎn)可能是應(yīng)用程序內(nèi)部中進(jìn)行訪問控制的一段代碼，也可能是安全的應(yīng)用服務(wù)器（如在We堋艮務(wù)器上

增加一個(gè)訪問控制插件），或者是進(jìn)行訪問控制的安全應(yīng)用網(wǎng)關(guān)。

4)訪問控制決策點(diǎn)

訪問控制決策點(diǎn)( Access Control Decision Function，ADF)，接收和評價(jià)授權(quán)請求，根據(jù)具體策略做出不同的決策。它一般并不隨具體的應(yīng)用變化，是一個(gè)通用的處理判斷邏輯。 當(dāng)接收到一個(gè)授權(quán)請求時(shí)，根據(jù)授權(quán)的策略，訪問者的安全屬性以及當(dāng)前條件進(jìn)行決策，并決策結(jié)果返回給應(yīng)用。對于不同應(yīng)用的支持是通過解析不同的定制策略來完成的。