Элементы обобщенной архитектуры ААА

На рис. 1.13 представлен центральный элемент ААА-архитектуры - обоб­щенный AAA-сервер, обрабатывающий запросы аутентификации, выполняющий авторизацию и накапливающий информацию учета. Обобщенный сервер ААА взаи­модействует со следующими элементами общей инфраструктуры ААА:

Модуль приложения - устройство, которое управляет ресурсами услуги и выполняет конфигурационные функции оборудования, осуществляющего предо­ставление услуги. Модуль приложения может участвовать в процедуре авториза­ции, так как ему доступна специфическая для запрашиваемой услуги информация, которая может потребоваться в процессе авторизации. Эта информация может быть получена путем обращения к базе данных приложения, а также путем интер­претации специфических для услуги параметров обслуживания. Следует отметить, что специфическая для услуги информация не обязатель­но должна быть «понятна» обобщенному AAA-серверу, так как во многих случаях она является уникальной для услуги, и «научить» сервер распознавать информа­цию, специфическую для большого числа услуг, не представляется возможным.

Вместо этого серверу достаточно знать, к какому модулю приложения следует обратиться при авторизации того или много запроса, для чего в запрос авторизации в том или ином виде должен включаться идентификатор модуля при­ложения.

Хранилище событий и политики. В целях аудита обобщенный ААА-сервер должен сохранять информацию о событиях с привязкой данных о них ко времени в определенном хранилище. Подобным хранилищем в AAA- архитектуре выступает хранилище событий и политики. Как следует из названия, еще одной функцией этого элемента является хранение разной политики доступа, то есть разных пра­вил авторизации пользователя при предоставлении ему доступа к имеющимся услугам и ресурсам.

Хранилище информации об услуге - база данных, содержащая сведения об услуге определенного типа. Модуль приложения при поступлении на него запроса авторизации взаимодействует с этим хранилищем для получения данных, необхо­димых для обслуживания запроса.

Типичная последовательность обслуживания запроса авторизации в рамках обобщенной архитектуры ААА будет выглядеть следующим образом:

- пользователь или сетевое оборудование, действующее по запросу поль­зователя, сформирует запрос авторизации доступа к услуге и отправит его на ААА-сервер;

- для проведения аутентификации пользователя ААА-сервер обратится к базе данных пользователей, а также к хранилищу политики и событий для регистрации запроса и определения правил авторизации;

- для авторизации компонентов, относящихся к информации, специфи­ческой для приложения, отправляется запрос к модулю соответствую­щего приложения. Для авторизации компонентов, требующих обработки другими AAA-серверами, запрос будет переправлен к соответствующим серверам;

- результаты авторизации, а также информация, необходимая для первоначальной конфигурации услуги, передаются на сетевой элемент, отправивший запрос авторизации.

Поиск по сайту: