Введем ряд определений. 5 страница

• вся сеть делится на терминальную и серверную подсети;

• для каждого пользователя (и/или группы пользователей) существует список доступных ресурсов (или групп ресурсов) - прямое соответствие;

• для каждого ресурса (группы ресурсов) определен набор привилегий, обеспечивающих доступ; для каждого пользователя (группы пользователей) также определен присущий ему набор привилегий; доступ к ресурсу может быть разрешен только при наличии у пользователя всех привилегий ресурса - косвенное со­ответствие.

Кроме того, могут быть дополнительно определены различ­ные типы доступа к ресурсам (чтение, запись, удаление, запуск и т.п.), права на использование которых могут заметно различаться.

Протоколирование сеансов работы абонентов

Функция протоколирования и регистрации предусматривает запись информации о любых действиях пользователей по доступу к ресурсам в статические и динамические журналы, с указанием идентификаторов пользователей, ресурсов, типов доступа, вре­мени, условий, результатов выполнения операций и т.д.

Общее централизованное администрирование системы

Функция администрирования предполагает наличие внеш­него по отношению к серверу доступа программного компонента, обеспечивающего создание и изменение управляющей информа­ции сервера доступа: списка пользователей, списка ресурсов, ка­талогов прав доступа и т.д. Каждая функция подсистемы админи­стрирования рассмотрена отдельно.

Получение статистической информации о работе поль­зователей

Функция предусматривает возможность получения на осно­ве данных протоколирования и регистрации статистических от­четов о работе пользователей и системы полностью в форме, удобной для восприятия и последующего анализа.

Основными информационными объектами, используемыми при работе сервера доступа, являются:

• каталог пользователей;

• каталог приложений (вычислительных ресурсов);

• каталог внутренних информационных ресурсов;

• каталог прав доступа;

• каталог активных сеансов;

• журнал регистрации;

• объекты, реализующие концепцию информационных ре­сурсов (HTML-страницы).

Каталог пользователей

Каталог пользователей содержит информацию, идентифи­цирующую абонентов системы: код, имя, сведения, используе­мые в процессе аутентификации, принадлежность к организации или подразделению; данные, определяющие возможные режимы работы, время, место подключения; допустимые имена машин; IP-адреса и т.п. Кроме того, при реализации функции управления правами доступа к ресурсам на основе привилегий каталог поль­зователей должен содержать определенные для каждого абонента системы привилегии доступа. Пользователи могут быть объеди­нены в группы по различным признакам.

Каталог приложений

Каталог приложений (вычислительных ресурсов) содержит информацию, определяющую структуру и содержание сущест­вующих в системе приложений. Информация, размещенная в ка­талоге приложений для каждого объекта, должна однозначно оп­ределять условия запуска (адреса, имена программ или иную ин­формацию), возможность использования статических или дина­мических параметров, время запуска и т.п. Кроме того, при реа­лизации функции управления правами доступа к ресурсам на ос­нове привилегий каталог приложений должен включать опреде­ленные для каждого приложения системы привилегии доступа.

Каталог внутренних информационных ресурсов сервера доступа

Под понятием внутреннего информационного ресурса, при­менительно к использованию Web-технологий, предлагается по­нимать логически связанную совокупность HTML-страниц (ста­тических или динамических) с едиными правами доступа. Про­верка полномочий в этом случае осуществляется только при по­пытке доступа к первой странице ресурса, в дальнейшем, при на­вигации внутри ресурса, контролируются только внешние по от­ношению к нему ссылки. Содержимое HTML-страниц может быть статическим или динамическим - как результат выполнения соответствующих приложений или прямых действий пользовате­лей. Концепция внутренних информационных ресурсов позволя­ет реализовать средствами сервера доступа широкие возможно­сти по предоставлению пользователям нормативно-справочной и другой информации с гарантированным разграничением доступа. Каталог информационных ресурсов содержит информацию, оп­ределяющую наименование ресурсов, их структуру, содержание (множество HTML-страниц), последовательность перехода и т.п. Кроме того, при реализации функции управления правами досту­па к ресурсам на основе привилегий каталог информационных ресурсов должен иметь определенные для каждого ресурса (группы ресурсов) системы привилегии доступа.

Каталог прав доступа

Каталог прав доступа включает информацию, определяю­щую соответствие пользователей и ресурсов при реализации прямого соответствия прав. Для каждого пользователя (и/или группы пользователей) существует список доступных ресурсов (или групп ресурсов) с указанием типов доступа к ресурсу (чте­ние, запись, удаление, запуск и т.п.). При каждой попытке досту­па пользователя к ресурсу производится проверка полномочий, и доступ либо разрешается, либо запрещается с регистрацией дан­ного события в журнале попыток несанкционированного доступа.

Каталог активных сеансов и журнал регистрации

Каталог сеансов и журнал регистрации представляют собой регистрационные журналы (динамический и статический соот­ветственно), где хранится информация о состоянии системы, фиксируемых событиях регистрации пользователей, доступа к ресурсам, попыток несанкционированного доступа. Каталог сеан­сов, кроме этого, содержит динамически обновляемую информа­цию об активных в настоящий момент пользователях и процес­сах, выполняющихся в системе. Данные каталога сеансов и жур­нала регистрации используются для динамического мониторинга системы и получения статистических отчетов о ее работе, актив­ности пользователей, доступе к тем или иным ресурсам (рис. 10).

Рис. 10. Взаимодействие компонентов в рамках каталога активных сеансов

Общий алгоритм работы сервера доступа к ресурсам ИС

Общий алгоритм работы системы можно разделить на не­сколько этапов:

1. Аутентификация.

2. Доступ к приложению.

3. Доступ к информационному ресурсу.

4. Завершение работы.

Фаза регистрации начинается с момента подключения або­нента к ресурсам Web-сервера и получения приглашения на ввод аутентифицирующей информации. Наряду с приглашением на ввод данных аутентификации на WWW-клиент может быть ско­пировано обновленное ПО аутентификации. После введения пользователем требуемых данных производится их прием серве­ром доступа, проверка подлинности, целостности данных и кор­ректности подключения. В случае правильности принятых дан­ных (соответствия хранящимся в каталоге пользователей данным аутентификации) пользователь регистрируется в системе, о чем производится запись в журнал регистрации и формируется соот­ветствующая запись в каталоге сеансов. Пользователю передает­ся динамически сформированная HTML-страница с перечнем доступных ему информационных и вычислительных ресурсов (приложений) в соответствии с его правами доступа.

Доступ к нужному приложению осуществляется путем за­проса соответствующего указателя ресурса (URL). После провер­ки полномочий пользователя управление передается на запраши­ваемый ресурс. Доступ к ресурсу фиксируется в журнале регист­рации и каталоге сеансов. Дальнейшая работа с приложением мо­жет происходить без участия средств сервера доступа, однако мо­менты запуска и окончания приложения должны отслеживаться сервером доступа и фиксироваться в журнале. Результатом работы приложения могут быть HTML-документы, которые передаются через Web-сервер пользователю непосредственно для интерпрета­ции WWW-клиентом или же записываются в соответствующий информационный ресурс с проверкой прав доступа. В дальнейшем эта информация может быть получена пользователем (необяза­тельно тем, которым она была занесена в информационный ре­сурс) из соответствующего информационного ресурса.

Доступ к выбранному пользователем информационному ре­сурсу, как и к приложению, осуществляется путем запроса указа­теля ресурса (URL). После проверки полномочий управление пе­редается на корневую HTML-страницу ресурса и производится фиксация доступа в журнале регистрации. Дальнейшая навигация внутри ресурса осуществляется средствами WWW-клиента поль­зователя. Запрос любой внешней по отношению к ресурсу ссылки воспринимается как запрос к новому ресурсу, и весь процесс по­вторяется сначала. Следует отметить, что среди HTML-страниц информационного ресурса могут быть как статические или дина­мически формируемые HTML-страницы, так и страницы с эле­ментами «форм» и активными элементами интерфейса. В любом случае технология доступа остается прежней.

В фазе завершения работы формируются соответствующие обобщенные записи журнала регистрации, удаляется запись ката­лога сеансов и абонент отключается от системы.

Функции административной подсистемы сервера доступа

В состав программного обеспечения системы санкциониро­ванного доступа должны входить программные средства админи­стрирования и мониторинга.

Основными функциями программы администрирования яв­ляются: наполнение и поддержание в рабочем состоянии служеб­ной базы данных информационных объектов сервера доступа, рассмотренных ранее.

К подобным функциям относятся:

• занесение информации о новых абонентах в каталог поль­зователей системы;

• аутентификация пользователей системы;

• контроль версий используемого клиентом ПО (активных объектов);

• управление состоянием и сеансами;

• ведение каталогов унифицированного доступа к ресурсам информационной системы;

• управление авторизацией и разграничением доступа;

• распечатка журнала протоколирования сеансов работы абонентов;

• распечатка журнала регистрации попыток несанкциони­рованного доступа;

• централизованное администрирование системы;

• получение статистической информации о работе абонен­тов.