23、基于策略的用户与服务提供商身份管理集成

基于策略的用户与服务提供商身份管理集成

在当今数字化时代，隐私保护和身份管理变得至关重要。为了实现自动化的信息发布和接受决策，策略管理成为一种有效的解决方案。本文将介绍用户或身份提供商（IDP）侧的属性发布策略（ARPs）、服务提供商（SP）的属性接受策略（AAPs），以及如何使用通用策略语言来实现这些策略。

1. 用户或 IDP 侧的属性发布策略（ARPs）

为了将策略作为自动化属性发布决策的正式基础，我们需要定义每个策略的内容，并讨论如何组合和协同多个策略。一个 ARP 必须提供以下语法元素：
- 命名用户属性 ：使用特定格式的 URIs 来命名存储在 IDP 数据库中的用户属性，例如 https://address.of.idp/identity/role/attributename 。为了方便用户，属性可以分组。
- 命名服务提供商（SP）、服务和请求目的 ：使用 https://address.of.sp/service 格式的 URIs 来标识 SPs 和服务的元组，并在 IF 中建立通用的目的规范术语。
- 指定允许的数据访问类型 ：目前区分一次性读取访问和订阅属性两种类型。未来可能支持写访问，但当前 FIM 协议尚不支持。每个请求必须提供（访问类型，目的）元组。
- 制定条件 ：属性的发布可能取决于其当前值、其他属性的发布或 SP 隐私声明中的某些标准。
- 指定 IDP 和 SP 双方的义务