RFC3829 日本語訳
3829 Lightweight Directory Access Protocol (LDAP) AuthorizationIdentity Request and Response Controls. R. Weltman, M. Smith, M.Wahl. July 2004. (Format: TXT=11986 bytes) (Status: INFORMATIONAL)
プログラムでの自動翻訳です。
RFC一覧
英語原文
Network Working Group R. Weltman
Request for Comments: 3829 America Online
Category: Informational M. Smith
Pearl Crescent, LLC
M. Wahl
July 2004
Weltmanがコメントのために要求するワーキンググループR.をネットワークでつないでください: 3829年のアメリカオンラインカテゴリ: 情報のM.スミス真珠三日月、LLC M.ウォール2004年7月
Lightweight Directory Access Protocol (LDAP)
Authorization Identity Request and Response Controls
ライトウェイト・ディレクトリ・アクセス・プロトコル(LDAP)承認アイデンティティ要求と応答制御
Status of this Memo
このMemoの状態
This memo provides information for the Internet community. It does not specify an Internet standard of any kind. Distribution of this memo is unlimited.
このメモはインターネットコミュニティのための情報を提供します。 それはどんな種類のインターネット標準も指定しません。 このメモの分配は無制限です。
Copyright Notice
版権情報
Copyright (C) The Internet Society (2004).
Copyright(C)インターネット協会(2004)。
Abstract
要約
This document extends the Lightweight Directory Access Protocol (LDAP) bind operation with a mechanism for requesting and returning the authorization identity it establishes. Specifically, this document defines the Authorization Identity Request and Response controls for use with the Bind operation.
このドキュメントは、それが確立する承認のアイデンティティを要求して、返すためにメカニズムによるライトウェイト・ディレクトリ・アクセス・プロトコル(LDAP)ひもの操作を広げています。 明確に、このドキュメントはBind操作で使用のためのAuthorization Identity RequestとResponseコントロールを定義します。
1. Introduction
1. 序論
This document defines support for the Authorization Identity Request Control and the Authorization Identity Response Control for requesting and returning the authorization established in a bind operation. The Authorization Identity Request Control may be submitted by a client in a bind request if authenticating with version 3 of the Lightweight Directory Access Protocol (LDAP) protocol [LDAPv3]. In the LDAP server's bind response, it may then include an Authorization Identity Response Control. The response control contains the identity assumed by the client. This is useful when there is a mapping step or other indirection during the bind, so that the client can be told what LDAP identity was granted. Client authentication with certificates is the primary situation where this applies. Also, some Simple Authentication and Security Layer [SASL] authentication mechanisms may not involve the client explicitly providing a DN, or may result in an authorization identity which is different from the authentication identity provided by the client [AUTH].
このドキュメントは、ひもの操作に確立された承認を要求して、返すためにAuthorization Identity Request ControlとAuthorization Identity Response Controlのサポートを定義します。 ライトウェイト・ディレクトリ・アクセス・プロトコル(LDAP)プロトコルのバージョン3で[LDAPv3]を認証するなら、Authorization Identity Request Controlはひもの要求でクライアントによって提出されるかもしれません。 そして、LDAPサーバのひもの応答では、それはAuthorization Identity Response Controlを含むかもしれません。 応答制御はクライアントによって想定されたアイデンティティを含んでいます。 マッピングステップか他の間接指定がひもの間あるとき、これは役に立ちます、どんなLDAPのアイデンティティが与えられたかとクライアントを言うことができるように。 証明書によるクライアント認証はこれが適用されるプライマリ状況です。 また、いくつかのSimple AuthenticationとSecurity Layer[SASL]認証機構が、明らかにDNを提供するクライアントにかかわらないか、またはクライアント[AUTH]によって提供された認証のアイデンティティと異なった承認のアイデンティティをもたらすかもしれません。
Weltman, et al. Informational [Page 1] RFC 3829 Authorization Identity Bind Control July 2004
Weltman、他 [1ページ]情報のRFC3829承認アイデンティティひものコントロール2004年7月
The key words "MUST", "MUST NOT", "SHOULD", "SHOULD NOT", and "MAY" used in this document are to be interpreted as described in [RFCKeyWords].
キーワード“MUST"、「必須NOT」“SHOULD"、「」 本書では使用される「5月」は中[RFCKeyWords]で説明されるように解釈されることになっているべきです。
2. Publishing support for the Authorization Identity Request Control
and the Authorization Identity Response Control
2. Authorization Identity Request ControlとAuthorization Identity Response Controlのサポートを発行します。
Support for the Authorization Identity Request Control and the Authorization Identity Response Control is indicated by the presence of the Object Identifiers (OIDs) 2.16.840.1.113730.3.4.16 and 2.16.840.1.113730.3.4.15, respectively, in the supportedControl attribute [LDAPATTRS] of a server's root DSA-specific Entry (DSE).
そして、Authorization Identity Request ControlとAuthorization Identity Response ControlのサポートがObject Identifiers(OIDs)2.16.840.1のものの存在によって示される、.113730、.3、.4、.16、2.16 .840 .1 .113730 .3 .4 .15はsupportedControlでそれぞれサーバの根のDSA特有のEntry(DSE)の[LDAPATTRS]を結果と考えます。
3. Authorization Identity Request Control
3. 承認アイデンティティ要求コントロール
This control MAY be included in any bind request which specifies protocol version 3, as part of the controls field of the LDAPMessage as defined in [LDAPPROT]. In a multi-step bind operation, the client MUST provide the control with each bind request.
このコントロールはプロトコルバージョン3を指定するどんなひもの要求にも含まれるかもしれません、[LDAPPROT]の定義されるとしてのLDAPMessageのコントロール分野の一部として。 多段階ひもの操作では、クライアントはそれぞれのひもの要求をコントロールに提供しなければなりません。
The controlType is "2.16.840.1.113730.3.4.16" and the controlValue is absent.
controlTypeがそうである、「2.16、.840、.1、.113730、.3、.4、0.16インチとcontrolValueがいる」
4. Authorization Identity Response Control
4. 承認アイデンティティ応答制御
This control MAY be included in any final bind response where the first bind request of the bind operation included an Authorization Identity Request Control as part of the controls field of the LDAPMessage as defined in [LDAPPROT].
ひもの操作の最初のひもの要求が[LDAPPROT]で定義されるようにLDAPMessageのコントロール分野の一部としてのAuthorization Identity Request Controlを含んでいたところにこのコントロールはどんな最終的なひもの応答にも含まれるかもしれません。
The controlType is "2.16.840.1.113730.3.4.15". If the bind request succeeded and resulted in an identity (not anonymous), the controlValue contains the authorization identity (authzId), as defined in [AUTH] section 9, granted to the requestor. If the bind request resulted in an anonymous association, the controlValue field is a string of zero length. If the bind request resulted in more than one authzId, the primary authzId is returned in the controlValue field.
controlTypeがそうである、「2.16 .840 .1 .113730 .3 .4 0.15インチ」 ひもの要求がアイデンティティ(匿名でない)を引き継いで、もたらしたなら、controlValueは承認のアイデンティティ(authzId)を含んでいます、要請者に与えられた[AUTH]セクション9で定義されるように。 ひもの要求が匿名組合をもたらしたなら、controlValue分野はゼロ・レングスのストリングです。 ひもの要求が1authzIdをもたらしたなら、controlValue分野でプライマリauthzIdを返します。
The control is only included in a bind response if the resultCode for the bind operation is success.
コントロールはひもの操作のためのresultCodeが成功である場合にだけひもの応答に含まれています。
If the server requires confidentiality protections to be in place prior to use of this control (see Security Considerations), the server reports failure to have adequate confidentiality protections in place by returning the confidentialityRequired result code.
サーバが、このコントロールの使用の前に、秘密性保護が適所にあるのを必要とするなら(Security Considerationsを見てください)、サーバは適所にconfidentialityRequired結果コードを返すことによって適切な秘密性保護を持たないことを報告します。
Weltman, et al. Informational [Page 2] RFC 3829 Authorization Identity Bind Control July 2004
Weltman、他 [2ページ]情報のRFC3829承認アイデンティティひものコントロール2004年7月
If the client has insufficient access rights to the requested authorization information, the server reports this by returning the insufficientAccessRights result code.
クライアントが要求された承認情報に不十分なアクセス権を持っているなら、サーバは、insufficientAccessRights結果コードを返すことによって、これを報告します。
Identities presented by a client as part of the authentication process may be mapped by the server to one or more authorization identities. The bind response control can be used to retrieve the primary authzId.
認証過程の一部としてクライアントによって提示されたアイデンティティはサーバによって1つ以上の承認のアイデンティティに写像されるかもしれません。 プライマリauthzIdを検索するのにひもの応答制御を使用できます。
For example, during client authentication with certificates [AUTH], a client may possess more than one certificate and may not be able to determine which one was ultimately selected for authentication to the server. The subject DN field in the selected certificate may not correspond exactly to a DN in the directory, but rather have gone through a mapping process controlled by the server. Upon completing the certificate-based authentication, the client may issue a SASL [SASL] bind request, specifying the EXTERNAL mechanism and including an Authorization Identity Request Control. The bind response MAY include an Authorization Identity Response Control indicating the DN in the server's Directory Information Tree (DIT) which the certificate was mapped to.
例えば、クライアントは、証明書AUTHとのクライアント認証の間、1通以上の証明書を持って、どれが結局認証のためにサーバに選択されたかを決定できないかもしれません。選択された証明書の対象のDN分野はちょうどディレクトリのDNに対応しないかもしれません; しかし、SASL SASLひもの要求を出して、EXTERNALメカニズムを指定しながらむしろ. 完成の証明書ベースの認証、クライアントがそうするサーバによって制御されたマッピング処理に直面していて、Authorization Identity Request Controlを含んでいること。 ひもの応答は証明書が写像されたサーバのディレクトリ情報Tree(DIT)でDNを示すAuthorization Identity Response Controlを含むかもしれません。
5. Alternative Approach with Extended Operation
5. 拡大手術に関する代替的アプローチ
The LDAP "Who am I?" [AUTHZID] extended operation provides a mechanism to query the authorization identity associated with a bound connection. Using an extended operation, as opposed to a bind response control, allows a client to learn the authorization identity after the bind has established integrity and data confidentiality protections. The disadvantages of the extended operation approach are coordination issues between "Who am I?" requests, bind requests, and other requests, and that an extra operation is required to learn the authorization identity. For multithreaded or high bandwidth server application environments, the bind response approach may be preferable.
LDAP「私はだれですか?」 [AUTHZID]拡大手術は、制限された接続に関連している承認のアイデンティティについて質問するためにメカニズムを提供します。 ひもの応答制御と対照的に拡大手術を使用するのに、ひもが保全とデータの機密性保護を確立した後にクライアントは承認のアイデンティティを学ぶことができます。 拡大手術アプローチの損失は「私はだれですか?」という要求と、ひもの要求と、他の要求の間のコーディネート問題です、そして、付加的な操作が、承認のアイデンティティを学ぶのに必要です。 マルチスレッド化されるか高帯域サーバ・アプリケーション環境において、ひもの応答アプローチは望ましいかもしれません。
6. Security Considerations
6. セキュリティ問題
The Authorization Identity Request and Response Controls are subject to standard LDAP security considerations. The controls may be passed over a secure as well as over an insecure channel. They are not protected by security layers negotiated by the bind operation.
Authorization Identity RequestとResponse Controlsは標準のLDAPセキュリティ問題を受けることがあります。 コントロールは、a安全な状態で通り過ぎられるかもしれなくて、不安定なチャンネルの上にそうします。 それらはひもの操作で交渉されたセキュリティ層によって保護されません。
The response control allows for an additional authorization identity to be passed. In some deployments, these identities may contain confidential information which require privacy protection. In such deployments, a security layer should be established prior to issuing a bind request with an Authorization Identity Request Control.
応答制御は、追加承認のアイデンティティが通過されるのを許容します。 いくつかの展開では、これらのアイデンティティは秘密情報を含むかもしれません(プライバシー保護を必要とします)。 そのような展開に、Authorization Identity Request Controlとのひもの要求を出す前に、セキュリティ層は確立されるべきです。
Weltman, et al. Informational [Page 3] RFC 3829 Authorization Identity Bind Control July 2004
Weltman、他 [3ページ]情報のRFC3829承認アイデンティティひものコントロール2004年7月
7. IANA Considerations
7. IANA問題
The OIDs 2.16.840.1.113730.3.4.16 and 2.16.840.1.113730.3.4.15 are reserved for the Authorization Identity Request and Response Controls, respectively. The Authorization Identity Request Control has been registered as an LDAP Protocol Mechanism [IANALDAP].
そして、OIDs2.16.840、.1、.113730、.3、.4、.16、2.16 .840 .1 .113730 .3 .4 .15はAuthorization Identity RequestとResponse Controlsのためにそれぞれ予約されます。 Authorization Identity Request ControlはLDAPプロトコルMechanism[IANALDAP]として登録されました。
8. References
8. 参照
8.1. Normative References
8.1. 引用規格
[LDAPv3] Hodges, J. and R. Morgan, "Lightweight Directory Access
Protocol (v3): Technical Specification", RFC 3377,
September 2002.
[LDAPv3] ホッジズ、J.、およびR.モーガン、「軽量のディレクトリアクセスは(v3)について議定書の中で述べます」。 「技術的な仕様」、RFC3377、2002年9月。
[LDAPPROT] Wahl, M., Howes, T. and S. Kille, "Lightweight
Directory Access Protocol (v3)", RFC 2251, December
1997.
[LDAPPROT]ウォールとM.とハウズとT.とS.Kille、「ライトウェイト・ディレクトリ・アクセス・プロトコル(v3)」、RFC2251 1997年12月。
[RFCKeyWords] Bradner, S., "Key Words for use in RFCs to Indicate
Requirement Levels", BCP 14, RFC 2119, March 1997.
[RFCKeyWords]ブラドナー、S.、「Indicate Requirement LevelsへのRFCsにおける使用のための主要なワーズ」、BCP14、RFC2119、1997年3月。
[AUTH] Wahl, M., Alvestrand, H., Hodges, J. and R. Morgan,
"Authentication Methods for LDAP", RFC 2829, May 2000.
[AUTH] ウォール、M.、Alvestrand、H.、ホッジズ、J.、およびR.モーガン(「LDAPのための認証方法」、RFC2829)は2000がそうするかもしれません。
[SASL] Myers, J., "Simple Authentication and Security Layer
(SASL)", RFC 2222, October 1997.
[SASL] マイアーズ、J.、「簡易認証とセキュリティは(SASL)を層にする」RFC2222、1997年10月。
[LDAPATTRS] Wahl, M., Coulbeck, A., Howes, T. and S. Kille,
"Lightweight Directory Access Protocol (v3): Attribute
Syntax Definitions", RFC 2252, December 1997.
[LDAPATTRS] ウォール、M.、Coulbeck、A.、ハウズ、T.、およびS.Kille、「軽量のディレクトリアクセスは(v3)について議定書の中で述べます」。 「属性構文定義」、RFC2252、1997年12月。
[IANALDAP] Hodges, J. and R. Morgan, "Lightweight Directory Access
Protocol (v3): Technical Specification", RFC 3377,
September 2002.
[IANALDAP] ホッジズ、J.、およびR.モーガン、「軽量のディレクトリアクセスは(v3)について議定書の中で述べます」。 「技術的な仕様」、RFC3377、2002年9月。
8.2. Informative References
8.2. 有益な参照
[AUTHZID] Zeilenga, K., "LDAP 'Who am I?' Operation", Work in
Progress, April 2002.
[AUTHZID] Zeilenga、K.、「'私はだれですか?'というLDAP Operation」、Progress、2002年4月のWork。
Weltman, et al. Informational [Page 4] RFC 3829 Authorization Identity Bind Control July 2004
Weltman、他 [4ページ]情報のRFC3829承認アイデンティティひものコントロール2004年7月
9. Author's Addresses
9. 作者のアドレス
Rob Weltman America Online 360 W. Caribbean Drive Sunnyvale, CA 94089 USA
W.のカリブ海のロブWeltmanアメリカオンライン360Driveカリフォルニア94089サニーベル(米国)
Phone: +1 650 937-3194 EMail: robw@worldspot.com
以下に電話をしてください。 +1 650 937-3194 メールしてください: robw@worldspot.com
Mark Smith Pearl Crescent, LLC 447 Marlpool Drive Saline, MI 48176 USA
マークスミス真珠三日月、LLC447Marlpoolドライブ塩水、MI48176米国
Phone: +1 734 944-2856 EMail: mcs@pearlcrescent.com
以下に電話をしてください。 +1 734 944-2856 メールしてください: mcs@pearlcrescent.com
Mark Wahl PO Box 90626 Austin, TX 78709-0626 USA
マーク・ウォールPO Box90626テキサス78709-0626オースチン(米国)
Weltman, et al. Informational [Page 5] RFC 3829 Authorization Identity Bind Control July 2004
Weltman、他 [5ページ]情報のRFC3829承認アイデンティティひものコントロール2004年7月
10. Full Copyright Statement
10. 完全な著作権宣言文
Copyright (C) The Internet Society (2004). This document is subject to the rights, licenses and restrictions contained in BCP 78, and except as set forth therein, the authors retain all their rights.
Copyright(C)インターネット協会(2004)。 このドキュメントはBCP78に含まれた権利、ライセンス、および制限を受けることがあります、そして、そこに詳しく説明されるのを除いて、作者は彼らのすべての権利を保有します。
This document and the information contained herein are provided on an "AS IS" basis and THE CONTRIBUTOR, THE ORGANIZATION HE/SHE REPRESENTS OR IS SPONSORED BY (IF ANY), THE INTERNET SOCIETY AND THE INTERNET ENGINEERING TASK FORCE DISCLAIM ALL WARRANTIES, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTY THAT THE USE OF THE INFORMATION HEREIN WILL NOT INFRINGE ANY RIGHTS OR ANY IMPLIED WARRANTIES OF MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE.
このドキュメントと「そのままで」という基礎と貢献者、その人が代表する組織で提供するか、または後援されて、インターネット協会とインターネット・エンジニアリング・タスク・フォースはすべての保証を放棄します、と急行ORが含意したということであり、他を含んでいて、ここに含まれて、情報の使用がここに侵害しないどんな保証も少しもまっすぐになるという情報か市場性か特定目的への適合性のどんな黙示的な保証。
Intellectual Property
知的所有権
The IETF takes no position regarding the validity or scope of any Intellectual Property Rights or other rights that might be claimed to pertain to the implementation or use of the technology described in this document or the extent to which any license under such rights might or might not be available; nor does it represent that it has made any independent effort to identify any such rights. Information on the procedures with respect to rights in RFC documents can be found in BCP 78 and BCP 79.
IETFはどんなIntellectual Property Rightsの正当性か範囲、実装に関係すると主張されるかもしれない他の権利、本書では説明された技術の使用またはそのような権利の下におけるどんなライセンスも利用可能であるかもしれない、または利用可能でないかもしれない範囲に関しても立場を全く取りません。 または、それはそれを表しません。どんなそのような権利も特定するどんな独立している取り組みも作りました。 BCP78とBCP79でRFCドキュメントの権利に関する手順に関する情報を見つけることができます。
Copies of IPR disclosures made to the IETF Secretariat and any assurances of licenses to be made available, or the result of an attempt made to obtain a general license or permission for the use of such proprietary rights by implementers or users of this specification can be obtained from the IETF on-line IPR repository at http://www.ietf.org/ipr.
IPR公開のコピーが利用可能に作られるべきライセンスの保証、または一般的な免許を取得するのが作られた試みの結果をIETF事務局といずれにもしたか、または http://www.ietf.org/ipr のIETFのオンラインIPR倉庫からこの仕様のimplementersかユーザによるそのような所有権の使用のために許可を得ることができます。
The IETF invites any interested party to bring to its attention any copyrights, patents or patent applications, or other proprietary rights that may cover technology that may be required to implement this standard. Please address the information to the IETF at ietf- ipr@ietf.org.
IETFはこの規格を実装するのに必要であるかもしれない技術をカバーするかもしれないどんな著作権もその注目していただくどんな利害関係者、特許、特許出願、または他の所有権も招待します。 ietf ipr@ietf.org のIETFに情報を扱ってください。
Acknowledgement
承認
Funding for the RFC Editor function is currently provided by the Internet Society.
RFC Editor機能のための基金は現在、インターネット協会によって提供されます。
Weltman, et al. Informational [Page 6]
Weltman、他 情報[6ページ]
一覧
スポンサーリンク
