Summary

  • Редакция -02 от 1 ноября убрала прежнее требование проверять каждого агента; при допуске учитываются принципал, верхние утверждения токена и действующий сейчас агент.
  • Приостановка работы прежнего агента может обнаружиться при сверке записей, но по предложенному правилу принимающая сторона не блокирует вызов только из-за этого факта.

У турникета есть список тех, через чьи руки прошёл запрос. Одного из них уже отстранили. Но карточка, от которой зависит проход, принадлежит последнему участнику цепочки. Такую границу между доступом и расследованием проводит вторая ноябрьская редакция проекта Agent Execution Evidence.

Предыдущая редакция -01 требовала оценивать каждого участника. Авторы сообщают, что её опубликовали из более раннего состояния документа, пропустив намеченное изменение. В -02 принимающий сервис применяет свою политику к принципалу операции и нынешнему агенту. Прежние участники из вложенных утверждений act сохраняются в actor_chain для аудита и не используются при решении о допуске. Основание — раздел 4.1 RFC 8693, где историю отличают от текущих данных контроля доступа.

Запись истории всё же имеет силу как улика. Проект связывает квитанции отправляющей и принимающей сторон. Позже проверяющий может увидеть, продолжалась ли работа после отстранения агента в начале цепочки, кто принял каждый переход и какой admission_basis записал сервис. Но узнать это после вызова — не то же самое, что остановить вызов. Проект прямо признаёт: отстранение прежнего участника само по себе не даёт принимающему сервису основания отказать.

Более того, предъявленная у входа цепочка — рассказ издателя токена. Совпадение имеющихся записей подтверждает согласованность рассказа, но не доказывает, что не выпал какой-либо переход и что полномочия сужались на каждом шаге. Статус нынешнего вызывающего агента, напротив, должен быть проверен с той свежестью, которую требует политика получателя. Действующие ограничения на этого агента ограничивают и класс допустимых операций.

Раздел 14 оставляет отдельный вопрос: можно ли построить допуск на всём прошлом составе цепочки. Потребуются правила полноты и доверия и решение противоречия с RFC 8693. Карточка IETF показывает индивидуальный проект, обновлённый 1 ноября. Новой опорой для вывода стала бы действующая процедура, которая проверяет отстранение прежних агентов до открытия доступа.