ISO/IEC 9594-2:2005
(Main)Information technology - Open Systems Interconnection - The Directory: Models - Part 2:
Information technology - Open Systems Interconnection - The Directory: Models - Part 2:
ISO/IEC 9594-2:2005 includes specifications for how information about objects, e.g. persons, is organized, created, maintained and retrieved. It also gives provisions for protecting stored information through authentication and access control specifications. ISO/IEC 9594-2:2005 provides a number of different models for the Directory as a framework for the other ISO/IEC 9594 parts. It specifies the basis for Directory protocol specifications. The models are: the overall (functional) model; the administrative authority model; generic Directory Information models providing Directory User and Administrative User view on Directory information; service administration model; generic Directory System Agent (DSA) and DSA information models; operational framework: and a security model.
Technologies de l'information — Interconnexion de systèmes ouverts (OSI) — L'annuaire: Les modèles — Partie 2:
L'ISO/CEI 9594-2:2005 comprend des spécifications sur la manière dont les informations à propos d'objets, par exemple des personnes, sont organisées, créées, mises à jour et extraites. Elle donne aussi des dispositions pour protéger les informations stockées à travers des spécifications d'authentification et de contrôle d'accès. L'ISO/CEI 9594-2:2005 fournit un certain nombre de modèles relatifs à l'annuaire comme cadre de travail pour les autres parties de l'ISO/CEI 9594. Elle spécifie la base pour les spécifications du protocole de l'annuaire. Les modèles sont les suivants: le modèle (fonctionnel) général; le modèle d'autorité administrative; les modèles génériques d'informations d'annuaire, fournissant à l'utilisateur d'annuaire et à l'utilisateur administratif des vues d'informations d'annuaire; le modèle d'administration de service; les modèles génériques d'agent de système d'annuaire (DSA, directory system agent) et d'informations d'agent DSA; un cadre de travail opérationnel, et un modèle de sécurité.
General Information
Relations
Frequently Asked Questions
ISO/IEC 9594-2:2005 is a standard published by the International Organization for Standardization (ISO). Its full title is "Information technology - Open Systems Interconnection - The Directory: Models - Part 2:". This standard covers: ISO/IEC 9594-2:2005 includes specifications for how information about objects, e.g. persons, is organized, created, maintained and retrieved. It also gives provisions for protecting stored information through authentication and access control specifications. ISO/IEC 9594-2:2005 provides a number of different models for the Directory as a framework for the other ISO/IEC 9594 parts. It specifies the basis for Directory protocol specifications. The models are: the overall (functional) model; the administrative authority model; generic Directory Information models providing Directory User and Administrative User view on Directory information; service administration model; generic Directory System Agent (DSA) and DSA information models; operational framework: and a security model.
ISO/IEC 9594-2:2005 includes specifications for how information about objects, e.g. persons, is organized, created, maintained and retrieved. It also gives provisions for protecting stored information through authentication and access control specifications. ISO/IEC 9594-2:2005 provides a number of different models for the Directory as a framework for the other ISO/IEC 9594 parts. It specifies the basis for Directory protocol specifications. The models are: the overall (functional) model; the administrative authority model; generic Directory Information models providing Directory User and Administrative User view on Directory information; service administration model; generic Directory System Agent (DSA) and DSA information models; operational framework: and a security model.
ISO/IEC 9594-2:2005 is classified under the following ICS (International Classification for Standards) categories: 35.100.70 - Application layer. The ICS classification helps identify the subject area and facilitates finding related standards.
ISO/IEC 9594-2:2005 has the following relationships with other standards: It is inter standard links to ISO/IEC 9594-2:2008, ISO/IEC 9594-2:2001. Understanding these relationships helps ensure you are using the most current and applicable version of the standard.
You can purchase ISO/IEC 9594-2:2005 directly from iTeh Standards. The document is available in PDF format and is delivered instantly after payment. Add the standard to your cart and complete the secure checkout process. iTeh Standards is an authorized distributor of ISO standards.
Standards Content (Sample)
INTERNATIONAL ISO/IEC
STANDARD 9594-2
Fifth edition
2005-12-15
Information technology — Open Systems
Interconnection — The Directory: Models
Technologies de l'information — Interconnexion de systèmes ouverts
(OSI) — L'annuaire: Les modèles
Reference number
©
ISO/IEC 2005
PDF disclaimer
This PDF file may contain embedded typefaces. In accordance with Adobe's licensing policy, this file may be printed or viewed but
shall not be edited unless the typefaces which are embedded are licensed to and installed on the computer performing the editing. In
downloading this file, parties accept therein the responsibility of not infringing Adobe's licensing policy. The ISO Central Secretariat
accepts no liability in this area.
Adobe is a trademark of Adobe Systems Incorporated.
Details of the software products used to create this PDF file can be found in the General Info relative to the file; the PDF-creation
parameters were optimized for printing. Every care has been taken to ensure that the file is suitable for use by ISO member bodies. In
the unlikely event that a problem relating to it is found, please inform the Central Secretariat at the address given below.
© ISO/IEC 2005
All rights reserved. Unless otherwise specified, no part of this publication may be reproduced or utilized in any form or by any means,
electronic or mechanical, including photocopying and microfilm, without permission in writing from either ISO at the address below or
ISO's member body in the country of the requester.
ISO copyright office
Case postale 56 • CH-1211 Geneva 20
Tel. + 41 22 749 01 11
Fax + 41 22 749 09 47
E-mail copyright@iso.org
Web www.iso.org
Published by ISO in 2006
Published in Switzerland
ii © ISO/IEC 2005 – All rights reserved
CONTENTS
Page
SECTION 1 – GENERAL . 1
1 Scope. 1
2 Normative references . 2
2.1 Identical Recommendations | International Standards. 2
2.2 Paired Recommendations | International Standards equivalent in technical content. 3
2.3 Other references. 3
3 Definitions . 3
3.1 Communication Definitions . 3
3.2 Basic directory definitions . 3
3.3 Distributed operation definitions . 3
3.4 Replication definitions . 3
4 Abbreviations . 4
5 Conventions . 5
SECTION 2 – OVERVIEW OF THE DIRECTORY MODELS . 6
6 Directory Models. 6
6.1 Definitions. 6
6.2 The Directory and its users. 6
6.3 Directory and DSA Information Models . 7
6.4 Directory Administrative Authority Model. 8
SECTION 3 – MODEL OF DIRECTORY USER INFORMATION . 10
7 Directory Information Base . 10
7.1 Definitions. 10
7.2 Objects. 11
7.3 Directory entries . 11
7.4 The Directory Information Tree (DIT). 11
8 Directory entries. 12
8.1 Definitions. 12
8.2 Overall structure . 14
8.3 Object classes. 15
8.4 Attribute Types. 16
8.5 Attribute Values. 17
8.6 Attribute Type Hierarchies. 17
8.7 Friend attributes. 18
8.8 Contexts. 18
8.9 Matching rules. 19
8.10 Entry collections . 22
8.11 Compound entries and families of entries. 23
9 Names. 24
9.1 Definitions. 24
9.2 Names in general . 24
9.3 Relative Distinguished Names . 25
9.4 Name matching. 26
9.5 Names returned during operations . 27
9.6 Names held as attribute values or used as parameters . 27
9.7 Distinguished Names . 27
9.8 Alias Names. 28
10 Hierarchical groups. 29
10.1 Definitions. 29
10.2 Hierarchical relationship. 29
10.3 Sequential ordering of a hierarchical group . 30
© ISO/IEC 2005 – All rights reserved iii
Page
SECTION 4 – DIRECTORY ADMINISTRATIVE MODEL. 31
11 Directory Administrative Authority model. 31
11.1 Definitions. 31
11.2 Overview. 31
11.3 Policy . 32
11.4 Specific administrative authorities . 32
11.5 Administrative areas and administrative points. 33
11.6 DIT Domain policies . 35
11.7 DMD policies. 35
SECTION 5 – MODEL OF DIRECTORY ADMINISTRATIVE AND OPERATIONAL INFORMATION . 37
12 Model of Directory Administrative and Operational Information . 37
12.1 Definitions. 37
12.2 Overview. 37
12.3 Subtrees . 38
12.4 Operational attributes. 41
12.5 Entries . 41
12.6 Subentries. 41
12.7 Information model for collective attributes. 43
12.8 Information model for context defaults. 43
SECTION 6 – THE DIRECTORY SCHEMA. 45
13 Directory Schema . 45
13.1 Definitions. 45
13.2 Overview. 45
13.3 Object class definition. 47
13.4 Attribute type definition . 49
13.5 Matching rule definition . 52
13.6 Relaxations and tightenings. 54
13.7 DIT structure definition. 60
13.8 DIT content rule definition. 62
13.9 Context type definition. 64
13.10 DIT Context Use definition. 65
13.11 Friends definition. 66
14 Directory System Schema . 66
14.1 Overview. 66
14.2 System schema supporting the administrative and operational information model. 67
14.3 System schema supporting the administrative model. 67
14.4 System schema supporting general administrative and operational requirements. 68
14.5 System schema supporting access control . 70
14.6 System schema supporting the collective attribute model . 70
14.7 System schema supporting context assertion defaults . 71
14.8 System schema supporting the service administration model. 71
14.9 System schema supporting hierarchical groups. 72
14.10 Maintenance of system schema. 73
14.11 System schema for first-level subordinates. 73
15 Directory schema administration . 73
15.1 Overview. 73
15.2 Policy objects. 73
15.3 Policy parameters. 74
15.4 Policy procedures. 74
15.5 Subschema modification procedures . 74
15.6 Entry addition and modification procedures. 75
15.7 Subschema policy attributes . 75
iv © ISO/IEC 2005 – All rights reserved
Page
SECTION 7 – DIRECTORY SERVICE ADMINISTRATION . 81
16 Service Administration Model. 81
16.1 Definitions. 81
16.2 Service-type/user-class model. 81
16.3 Service-specific administrative areas. 82
16.4 Introduction to search-rules. 83
16.5 Subfilters. 83
16.6 Filter requirements . 84
16.7 Attribute information selection based on search-rules. 84
16.8 Access control aspects of search-rules. 85
16.9 Contexts aspects of search-rules. 85
16.10 Search-rule specification . 85
16.11 Matching restriction definition. 93
16.12 Search-validation function . 93
SECTION 8 – SECURITY . 95
17 Security model. 95
17.1 Definitions. 95
17.2 Security policies . 95
17.3 Protection of Directory operations . 96
18 Basic Access Control . 97
18.1 Scope and application . 97
18.2 Basic Access Control model. 97
18.3 Access control administrative areas . 100
18.4 Representation of Access Control Information . 102
18.5 The ACI operational attributes. 107
18.6 Protecting the ACI. 108
18.7 Access control and Directory operations. 108
18.8 Access Control Decision Function. 108
18.9 Simplified Access Control . 110
19 Rule-based Access Control. 110
19.1 Scope and application . 110
19.2 Rule-based Access Control model . 110
19.3 Access control administrative areas . 111
19.4 Security Label . 111
19.5 Clearance . 113
19.6 Access Control and Directory operations . 113
19.7 Access Control Decision Function. 114
19.8 Use of Rule-based and Basic Access Control. 114
20 Data Integrity in Storage . 114
20.1 Introduction . 114
20.2 Protection of an Entry or Selected Attribute Types. 114
20.3 Context for Protection of a Single Attribute Value. 116
SECTION 9 – DSA MODELS . 117
21 DSA Models. 117
21.1 Definitions. 117
21.2 Directory Functional Model . 117
21.3 Directory Distribution Model . 118
SECTION 10 – DSA INFORMATION MODEL. 120
22 Knowledge. 120
22.1 Definitions. 120
22.2 Introduction . 120
22.3 Knowledge References. 121
© ISO/IEC 2005 – All rights reserved v
Page
22.4 Minimum Knowledge . 123
22.5 First Level DSAs . 124
23 Basic Elements of the DSA Information Model . 124
23.1 Definitions. 124
23.2 Introduction . 125
23.3 DSA-Specific Entries and their Names . 125
23.4 Basic Elements . 127
24 Representation of DSA Information . 128
24.1 Representation of Directory User and Operational Information . 128
24.2 Representation of Knowledge References . 129
24.3 Representation of Names and Naming Contexts . 136
SECTION 11 – DSA OPERATIONAL FRAMEWORK. 138
25 Overview. 138
25.1 Definitions. 138
25.2 Introduction . 138
26 Operational bindings . 138
26.1 General . 138
26.2 Application of the operational framework . 139
26.3 States of cooperation. 140
27 Operational binding specification and management . 141
27.1 Operational binding type specification. 141
27.2 Operational binding management . 142
27.3 Operational binding specification templates . 143
28 Operations for operational binding management . 145
28.1 Application-context definition . 145
28.2 Establish Operational Binding operation. 145
28.3 Modify Operational Binding operation . 147
28.4 Terminate Operational Binding operation . 148
28.5 Operational Binding Error. 149
28.6 Operational Binding Management Bind and Unbind . 150
Annex A – Object identifier usage. 152
Annex B – Information Framework in ASN.1. 155
Annex C – SubSchema Administration Schema in ASN.1. 165
Annex D – Service Administration in ASN.1. 169
Annex E – Basic Access Control in ASN.1 . 173
Annex F – DSA Operational Attribute Types in ASN.1 . 177
Annex G – Operational Binding Management in ASN.1 . 180
Annex H – Enhanced security. 184
Annex I – The Mathematics of Trees . 187
Annex J – Name Design Criteria. 188
Annex K – Examples of various aspects of schema. 190
K.1 Example of an attribute hierarchy. 190
K.2 Example of a subtree specification. 190
K.3 Schema specification . 191
K.4 DIT content rules . 192
K.5 DIT context use . 193
Annex L – Overview of basic access control permissions. 194
L.1 Introduction . 194
L.2 Permissions required for operations . 194
L.3 Permissions affecting error. 195
vi © ISO/IEC 2005 – All rights reserved
Page
L.4 Entry level permissions . 195
L.5 Entry level permissions . 196
Annex M – Examples of access control . 198
M.1 Introduction . 198
M.2 Design principles for Basic Access Control. 198
M.3 Introduction to example. 198
M.4 Policy affecting the definition of specific and inner areas. 199
M.5 Policy affecting the definition of DACDs. 201
M.6 Policy expressed in prescriptiveACI attributes . 204
M.7 Policy expressed in subentryACI attributes. 209
M.8 Policy expressed in entryACI attributes . 210
M.9 ACDF examples . 211
M.10 Rule-based Access Control . 213
Annex N – DSE type combinations . 214
Annex O – Modelling of knowledge . 216
Annex P – Names held as attribute values or used as parameters . 221
Annex Q – Subfilters . 222
Annex R – Compound entry name patterns and their use. 223
Annex S – Naming concepts and considerations. 225
S.1 History tells us … . 225
S.2 A new look at name resolution. 225
Annex T – Alphabetical index of definitions. 232
Annex U – Amendments and corrigenda. 234
© ISO/IEC 2005 – All rights reserved vii
Foreword
ISO (the International Organization for Standardization) and IEC (the International Electrotechnical
Commission) form the specialized system for worldwide standardization. National bodies that are members of
ISO or IEC participate in the development of International Standards through technical committees
established by the respective organization to deal with particular fields of technical activity. ISO and IEC
technical committees collaborate in fields of mutual interest. Other international organizations, governmental
and non-governmental, in liaison with ISO and IEC, also take part in the work. In the field of information
technology, ISO and IEC have established a joint technical committee, ISO/IEC JTC 1.
International Standards are drafted in accordance with the rules given in the ISO/IEC Directives, Part 2.
The main task of the joint technical committee is to prepare International Standards. Draft International
Standards adopted by the joint technical committee are circulated to national bodies for voting. Publication as
an International Standard requires approval by at least 75 % of the national bodies casting a vote.
Attention is drawn to the possibility that some of the elements of this document may be the subject of patent
rights. ISO and IEC shall not be held responsible for identifying any or all such patent rights.
ISO/IEC 9594-2 was prepared by Joint Technical Committee ISO/IEC JTC 1, Information technology,
Subcommittee SC 6, Telecommunications and information exchange between systems, in collaboration with
ITU-T. The identical text is published as ITU-T Rec. X.501.
This fifth edition of ISO/IEC 9594-2 constitutes a technical revision of the fourth edition
(ISO/IEC 9594-2:2001), which is provisionally retained in order to support implementations based on the
fourth edition.
ISO/IEC 9594 consists of the following parts, under the general title Information technology — Open Systems
Interconnection — The Directory:
⎯ Part 1: Overview of concepts, models and services
⎯ Part 2: Models
⎯ Part 3: Abstract service definition
⎯ Part 4: Procedures for distributed operation
⎯ Part 5: Protocol specifications
⎯ Part 6: Selected attribute types
⎯ Part 7: Selected object classes
⎯ Part 8: Public-key and attribute certificate frameworks
⎯ Part 9: Replication
⎯ Part 10: Use of systems management for administration of the Directory
viii © ISO/IEC 2005 – All rights reserved
Introduction
This Recommendation | International Standard, together with the other Recommendations | International Standards, has
been produced to facilitate the interconnection of information processing systems to provide directory services. A set of
such systems, together with the directory information that they hold, can be viewed as an integrated whole, called the
Directory. The information held by the Directory, collectively known as the Directory Information Base (DIB), is
typically used to facilitate communication between, with or about objects such as application entities, people, terminals
and distribution lists.
The Directory plays a significant role in Open Systems Interconnection, whose aim is to allow, with a minimum of
technical agreement outside of the interconnection standards themselves, the interconnection of information processing
systems:
– from different manufacturers;
– under different managements;
– of different levels of complexity; and
– of different ages.
This Recommendation | International Standard provides a number of different models for the Directory as a framework
for the other Recommendations in the ITU-T X.500 series | parts of ISO/IEC 9594. The models are the overall
(functional) model; the administrative authority model, generic Directory Information Models providing Directory User
and Administrative User views on Directory information, generic DSA and DSA information models, an Operational
Framework and a security model.
The generic Directory Information Models describe, for example, how information about objects is grouped to form
Directory entries for those objects and how that information provides names for objects.
The generic DSA and DSA information models and the Operational Framework provide support for Directory
distribution.
This Recommendation | International Standard provides a specialization of the generic Directory Information Models to
support Directory Schema administration.
This Recommendation | International Standard provides the foundation frameworks upon which industry profiles can be
defined by other standards groups and industry forums. Many of the features defined as optional in these frameworks
may be mandated for use in certain environments through profiles. This fifth edition technically revises and enhances,
but does not replace, the fourth edition of this Recommendation | International Standard. Implementations may still
claim conformance to the fourth edition. However, at some point, the fourth edition will not be supported (i.e., reported
defects will no longer be resolved). It is recommended that implementations conform to this fifth edition as soon as
possible.
This fifth edition specifies versions 1 and 2 of the Directory protocols.
The first and second editions specified only version 1. Most of the services and protocols specified in this edition are
designed to function under version 1. However some enhanced services and protocols, e.g., signed errors, will not
function unless all Directory entities involved in the operation have negotiated version 2. Whichever version has been
negotiated, differences between the services and between the protocols defined in the five editions, except for those
specifically assigned to version 2, are accommodated using the rules of extensibility defined in ITU-T Rec. X.519 |
ISO/IEC 9594-5.
Annex A, which is an integral part of this Recommendation | International Standard, summarizes the usage of ASN.1
object identifiers in the ITU-T X.500-series Recommendations | parts of ISO/IEC 9594.
Annex B, which is an integral part of this Recommendation | International Standard, provides the ASN.1 module which
contains all of the definitions associated with the information framework.
Annex C, which is an integral part of this Recommendation | International Standard, provides the subschema
administration schema in ASN.1.
Annex D, which is an integral part of this Recommendation | International Standard, provides the ASN.1 module for
Service Administration.
Annex E, which is an integral part of this Recommendation | International Standard, provides the ASN.1 module for
Basic Access Control.
Annex F, which is an integral part of this Recommendation | International Standard, provides the ASN.1 module which
contains all the definitions associated with DSA operational attribute types.
© ISO/IEC 2005 – All rights reserved ix
Annex G, which is an integral part of this Recommendation | International Standard, provides the ASN.1 module which
contains all the definitions associated with operational binding management operations.
Annex H, which is an integral part of this Recommendation | International Standard, provides the ASN.1 module which
contains all the definitions associated with enhanced security.
Annex I, which is not an integral part of this Recommendation | International Standard, summarizes the mathematical
terminology associated with tree structures.
Annex J, which is not an integral part of this Recommendation | International Standard, describes some criteria that can
be considered in designing names.
Annex K, which is not an integral part of this Recommendation | International Standard, provides some examples of
various aspects of Schema.
Annex L, which is not an integral part of this Recommendation | International Standard, provides an overview of the
semantics associated with Basic Access Control permissions.
Annex M, which is not an integral part of this Recommendation | International Standard, provides an extended example
of the use of Basic Access Control.
Annex N, which is not an integral part of this Recommendation | International Standard, describes some DSA-specific
entry combinations.
Annex O, which is not an integral part of this Recommendation | International Standard, provides a framework for the
modelling of knowledge.
Annex P, which is not an integral part of this Recommendation | International Standard, describes criteria on whether a
name can be an alternative distinguished name or the primary distinguished name, whether it can contain alternative
values, and whether it can include context information.
Annex Q, which is not an integral part of this Recommendation | International Standard, describes the concept of
subfilters.
Annex R, which is not an integral part of this Recommendation | International Standard, describes recommendations
and examples on how family members can be named.
Annex S, which is not an integral part of this Recommendation | International Standard, gives an introduction to
Naming Concepts and Considerations.
Annex T, which is not an integral part of this Recommendation | International Standard, lists alphabetically the terms
defined in this Recommendation | International Standard.
Annex U, which is not an integral part of this Recommendation | International Standard, lists the amendments and
defect reports that have been incorporated to form this edition of this Recommendation | International Standard.
x © ISO/IEC 2005 – All rights reserved
INTERNATIONAL STANDARD
ITU-T RECOMMENDATION
Information technology – Open Systems Interconnection –
The Directory: Models
SECTION 1 – GENERAL
1 Scope
The models defined in this Recommendation | International Standard provide a conceptual and terminological
framework for the other ITU-T X.500-series Recommendations | parts of ISO/IEC 9594 which define various aspects of
the Directory.
The functional and administrative authority models define ways in which the Directory can be distributed, both
functionally and administratively. Generic DSA and DSA information models and an Operational Framework are also
provided to support Directory distribution.
The generic Directory Information Models describe the logical structure of the DIB from the perspective of Directory
and Administrative Users. In these models, the fact that the Directory is distributed, rather than centralized, is not
visible.
This Recommendation | International Standard provides a specialization of the generic Directory Information Models to
support Directory Schema administration.
The other ITU-T Recommendations in the X.500 series | parts of ISO/IEC 9594 make use of the concepts defined in this
Recommendation | International Standard to define specializations of the generic information and DSA models to
provide specific information, DSA and operational models supporting particular directory capabilities (e.g.,
Replication):
a) the service provided by the Directory is described (in ITU-T Rec. X.511 | ISO/IEC 9594-3) in terms of
the concepts of the information framework: this allows the service provided to be somewhat independent
of the physical distribution of the DIB;
b) the distributed operation of the Directory is specified (in ITU-T Rec. X.518 | ISO/IEC 9594-4) so as to
provide that service, and therefore maintain that logical information structure, given that the DIB is in
fact highly distributed;
c) replication capabilities offered by the component parts of the Directory to improve overall Directory
performance are specified (in ITU-T Rec. X.525 | ISO/IEC 9594-9).
The security model establishes a framework for the specification of access control mechanisms. It provides a
mechanism for identifying the access control scheme in effect in a particular portion of the DIT, and it defines three
flexible, specific access control schemes which are suitable for a wi
...
NORME ISO/CEI
INTERNATIONALE 9594-2
Cinquième édition
2005-12-15
Technologies de l'information —
Interconnexion de systèmes ouverts
(OSI) — L'annuaire: Les modèles
Information technology — Open Systems Interconnection —
The Directory: Models
Numéro de référence
ISO/CEI 9594-2:2005(F)
©
ISO/CEI 2005
ISO/CEI 9594-2:2005(F)
PDF – Exonération de responsabilité
Le présent fichier PDF peut contenir des polices de caractères intégrées. Conformément aux conditions de licence d'Adobe, ce fichier
peut être imprimé ou visualisé, mais ne doit pas être modifié à moins que l'ordinateur employé à cet effet ne bénéficie d'une licence
autorisant l'utilisation de ces polices et que celles-ci y soient installées. Lors du téléchargement de ce fichier, les parties concernées
acceptent de fait la responsabilité de ne pas enfreindre les conditions de licence d'Adobe. Le Secrétariat central de l'ISO décline toute
responsabilité en la matière.
Adobe est une marque déposée d'Adobe Systems Incorporated.
Les détails relatifs aux produits logiciels utilisés pour la création du présent fichier PDF sont disponibles dans la rubrique General Info
du fichier; les paramètres de création PDF ont été optimisés pour l'impression. Toutes les mesures ont été prises pour garantir
l'exploitation de ce fichier par les comités membres de l'ISO. Dans le cas peu probable où surviendrait un problème d'utilisation,
veuillez en informer le Secrétariat central à l'adresse donnée ci-dessous.
© ISO/CEI 2005
Droits de reproduction réservés. Sauf prescription différente, aucune partie de cette publication ne peut être reproduite ni utilisée sous
quelque forme que ce soit et par aucun procédé, électronique ou mécanique, y compris la photocopie et les microfilms, sans l'accord écrit
de l'ISO à l'adresse ci-après ou du comité membre de l'ISO dans le pays du demandeur.
ISO copyright office
Case postale 56 • CH-1211 Geneva 20
Tel. + 41 22 749 01 11
Fax. + 41 22 749 09 47
E-mail copyright@iso.org
Web www.iso.org
Version française parue en 2006
Publié en Suisse
ii © ISO/CEI 2005 – Tous droits réservés
ISO/CEI 9594-2:2005(F)
TABLE DES MATIÈRES
Page
SECTION 1 – GÉNÉRALITÉS . 1
1 Domaine d'application . 1
2 Références normatives. 2
2.1 Recommandations | Normes internationales identiques. 2
2.2 Paires de Recommandations | Normes internationales équivalentes par leur contenu technique. 3
2.3 Autres références . 3
3 Définitions . 3
3.1 Définitions concernant la communication . 3
3.2 Définitions concernant l'annuaire de base. 3
3.3 Définitions concernant le fonctionnement réparti. 3
3.4 Définitions concernant la duplication . 3
4 Abréviations. 4
5 Conventions . 5
SECTION 2 – APERÇU GÉNÉRAL DES MODÈLES DE L'ANNUAIRE . 6
6 Modèles de l'annuaire. 6
6.1 Définitions. 6
6.2 L'annuaire et ses utilisateurs. 6
6.3 Modèles des informations de l'annuaire et des DSA . 7
6.4 Modèle d'Autorité administrative de l'annuaire. 8
SECTION 3 – MODÈLE DES INFORMATIONS UTILISATEUR DE L'ANNUAIRE . 10
7 Base d'informations d'annuaire. 10
7.1 Définitions. 10
7.2 Objets. 11
7.3 Entrées d'annuaire . 11
7.4 L'arbre d'information d'annuaire (DIT) . 11
8 Entrées de l'annuaire . 12
8.1 Définitions. 12
8.2 Structure générale . 13
8.3 Classes d'objets. 14
8.4 Types d'attributs. 16
8.5 Valeurs des attributs . 17
8.6 Hiérarchies de types d'attributs . 17
8.7 Attributs amis. 18
8.8 Contextes . 18
8.9 Règles de correspondance. 19
8.10 Ensembles d'entrées. 22
8.11 Entrées composites et familles d'entrées. 23
9 Noms . 24
9.1 Définitions. 24
9.2 Noms en général . 24
9.3 Noms distinctifs relatifs. 25
9.4 Correspondance des noms. 26
9.5 Noms renvoyés pendant les opérations . 27
9.6 Noms détenus comme valeurs d'attribut ou utilisés comme paramètres . 27
9.7 Noms distinctifs. 27
9.8 Pseudonymes . 28
10 Groupes hiérarchiques . 28
10.1 Définitions. 28
10.2 Relations hiérarchiques . 29
10.3 Ordonnancement séquentiel d'un groupe hiérarchique . 30
© ISO/CEI 2005 – Tous droits réservés iii
ISO/CEI 9594-2:2005(F)
Page
SECTION 4 – MODÈLE ADMINISTRATIF DE L'ANNUAIRE. 31
11 Modèle des autorités administratives de l'annuaire . 31
11.1 Définitions. 31
11.2 Aperçu général . 31
11.3 Politique. 32
11.4 Autorités administratives spécifiques . 32
11.5 Zones administratives et points administratifs. 33
11.6 Politiques d'un domaine du DIT . 35
11.7 Politiques de DMD. 35
SECTION 5 – MODÈLE DES INFORMATIONS ADMINISTRATIVES ET OPÉRATIONNELLES DE
L'ANNUAIRE . 37
12 Modèle des informations administratives et opérationnelles de l'annuaire . 37
12.1 Définitions. 37
12.2 Aperçu général . 37
12.3 Sous-arbres. 38
12.4 Attributs opérationnels . 40
12.5 Entrées. 41
12.6 Sous-entrées. 41
12.7 Modèle d'informations des attributs collectifs . 42
12.8 Modèles d'informations des valeurs de contexte par défaut. 43
SECTION 6 – LE SCHÉMA D'ANNUAIRE. 44
13 Schéma d'annuaire. 44
13.1 Définitions. 44
13.2 Aperçu général . 44
13.3 Définition d'une classe d'objets . 46
13.4 Définition des types d'attributs. 48
13.5 Définition d'une règle de correspondance. 51
13.6 Elargissements et resserrements . 53
13.7 Définition de la structure du DIT. 59
13.8 Définition d'une règle de contenu du DIT. 62
13.9 Définition du type de contexte . 63
13.10 Définition de la règle d'utilisation de contexte du DIT . 65
13.11 Définition des amis. 66
14 Schéma du système d'annuaire . 66
14.1 Aperçu général . 66
14.2 Schéma de système prenant en charge le modèle d'informations administratives et
opérationnelles . 67
14.3 Schéma de système prenant en charge le modèle administratif . 67
14.4 Schéma de système prenant en charge les spécifications générales administratives et
opérationnelles . 68
14.5 Schéma de système assurant le contrôle d'accès. 70
14.6 Schéma du système prenant en charge le modèle d'attributs collectifs. 70
14.7 Schéma de système prenant en charge les valeurs d'assertion de contexte par défaut. 70
14.8 Schéma de système prenant en charge le modèle d'administration de service. 71
14.9 Schéma de système prenant en charge les groupes hiérarchiques . 71
14.10 Maintenance du schéma de système. 72
14.11 Schéma de système pour subordonnés de premier niveau . 72
15 Administration du schéma de l'annuaire . 73
15.1 Aperçu général . 73
15.2 Objets politiques . 73
15.3 Paramètres politiques. 73
15.4 Procédures politiques. 74
15.5 Procédures de modification du sous-schéma . 74
iv © ISO/CEI 2005 – Tous droits réservés
ISO/CEI 9594-2:2005(F)
Page
15.6 Procédures de modification et d'ajout d'entrées. 75
15.7 Attributs politiques du sous-schéma. 75
SECTION 7 – ADMINISTRATION DU SERVICE D'ANNUAIRE . 81
16 Modèle d'administration de service . 81
16.1 Définitions. 81
16.2 Modèle de type de service/de classe d'utilisateur . 81
16.3 Zones administratives spécifiques du service . 82
16.4 Introduction aux règles de recherche. 83
16.5 Sous-filtres . 84
16.6 Caractéristiques des filtres . 84
16.7 Sélection d'informations d'attribut sur la base de règles de recherche. 85
16.8 Aspects de contrôle d'accès des règles de recherche . 85
16.9 Aspects contextuels des règles de recherche . 85
16.10 Spécification des règles de recherche . 86
16.11 Définition d'une limitation de correspondance. 94
16.12 Fonction de validation de recherche. 94
SECTION 8 – SÉCURITÉ. 96
17 Modèle de sécurité. 96
17.1 Définitions. 96
17.2 Politiques de sécurité . 96
17.3 Protection des opérations d'annuaire . 97
18 Contrôle d'accès de base . 98
18.1 Objet et domaine d'application. 98
18.2 Modèle de contrôle d'accès de base. 98
18.3 Zones administratives de contrôle d'accès . 101
18.4 Représentation des informations de contrôle d'accès. 103
18.5 Les attributs opérationnels ACI. 108
18.6 Protection des ACI . 109
18.7 Contrôle d'accès et opérations d'annuaire . 109
18.8 Fonction de décision de contrôle d'accès. 110
18.9 Contrôle d'accès simplifié . 111
19 Contrôle d'accès fondé sur des règles. 112
19.1 Objet et domaine d'application. 112
19.2 Modèle de contrôle d'accès fondé sur des règles . 112
19.3 Zones administratives de contrôle d'accès . 113
19.4 Etiquette de sécurité. 113
19.5 Habilitation (clearance) . 114
19.6 Contrôle d'accès et opérations d'annuaire . 115
19.7 Fonction de décision de contrôle d'accès. 115
19.8 Utilisation du contrôle d'accès fondé sur des règles et du contrôle d'accès de base. 115
20 Intégrité des données stockées. 116
SECTION 9 – MODÈLES DE DSA . 118
21 Modèles de DSA . 118
21.1 Définitions. 118
21.2 Modèle fonctionnel de l'annuaire. 118
21.3 Modèle de répartition de l'annuaire. 119
SECTION 10 – MODÈLE D'INFORMATIONS DE DSA . 121
22 Connaissance. 121
22.1 Définitions. 121
22.2 Introduction . 121
22.3 Références de connaissance. 122
22.4 Connaissance minimale. 124
© ISO/CEI 2005 – Tous droits réservés v
ISO/ CEI 9594-2:2005(F)
Page
22.5 DSA de premier niveau . 125
23 Eléments de base du modèle d'informations de DSA. 125
23.1 Définitions. 125
23.2 Introduction . 126
23.3 Les entrées spécifiques d'un DSA et leurs noms . 126
23.4 Eléments de base. 128
24 Représentation des informations d'un DSA . 129
24.1 Représentation des informations utilisateur et opérationnelles d'annuaire . 130
24.2 Représentation des références de connaissance. 131
24.3 Représentation des noms et des contextes de dénomination . 137
SECTION 11 – CADRE OPÉRATIONNEL DES DSA. 139
25 Aperçu général. 139
25.1 Définitions. 139
25.2 Introduction . 139
26 Liaison opérationnelle . 139
26.1 Généralités. 139
26.2 Application du cadre opérationnel . 140
26.3 Etats de coopération . 141
27 Spécification et gestion des liaisons opérationnelles . 142
27.1 Spécification du type de liaison opérationnelle. 142
27.2 Gestion d'une liaison opérationnelle. 143
27.3 Gabarits de spécification de liaisons opérationnelles . 144
28 Opérations de gestion de liaison opérationnelle . 145
28.1 Définition d'un contexte d'application. 146
28.2 Etablissement de liaison opérationnelle . 146
28.3 Opération de modification de liaison opérationnelle. 148
28.4 Opération de terminaison de liaison opérationnelle . 149
28.5 Erreur de liaison opérationnelle. 150
28.6 Etablissement et terminaison de liaison de gestion de liaison opérationnelle . 151
Annexe A – Utilisation des identificateurs d'objet. 153
Annexe B – ASN.1 du cadre informationnel. 156
Annexe C – ASN.1 du schéma d'administration de sous-schéma . 166
Annexe D – ASN.1 de l'administration de service. 170
Annexe E – ASN.1 du contrôle d'accès de base. 174
Annexe F – Description en ASN.1 des types d'attributs opérationnels des agents DSA. 177
Annexe G – Description en ASN.1 de la gestion de liens opérationnels. 180
Annexe H – Amélioration de la sécurité . 184
Annexe I – La mathématique des arbres . 187
Annexe J – Critères de conception des noms . 188
Annexe K – Exemples relatifs à divers aspects du schéma. 190
K.1 Exemple de hiérarchie d'attributs. 190
K.2 Exemple de spécification d'un sous-arbre. 190
K.3 Spécification du schéma . 191
K.4 Règles de contenu du DIT. 192
K.5 Règle d'utilisation de contexte du DIT. 193
Annexe L – Aperçu général des permissions du contrôle d'accès de base. 194
L.1 Introduction . 194
L.2 Permissions requises pour les opérations. 194
L.3 Permissions affectant les erreurs . 195
L.4 Permissions de niveau entrée. 195
vi © ISO/CEI 2005 – Tous droits réservés
ISO/CEI 9594-2:2005(F)
Page
L.5 Permissions de niveau attribut . 196
Annexe M – Exemple de contrôle d'accès . 197
M.1 Introduction . 197
M.2 Principes de conception du contrôle d'accès de base. 197
M.3 Présentation de l'exemple. 198
M.4 Police affectant la définition de zone spécifique et interne. 199
M.5 Politique affectant la définition des DACD. 201
M.6 Politique exprimée dans les attributs prescriptiveACI. 203
M.7 Politique exprimée dans des attributs subentryACI . 209
M.8 Politique exprimée dans des attributs entryACI . 210
M.9 Exemples d'ACDF. 211
M.10 Contrôle d'accès fondé sur des règles . 213
Annexe N – Combinaison de types de DSE. 214
Annexe O – Modélisation de la connaissance . 216
Annexe P – Noms détenus comme valeurs d'attribut ou utilisés comme paramètres. 221
Annexe Q – Sous-filtres . 222
Annexe R – Structures nominatives d'entrées composites et leur usage . 223
Annexe S – Concepts et considérations liés à la dénomination . 225
S.1 Evolution des concepts d'origine . 225
S.2 Nouvelle approche du processus de résolution du nom . 225
Annexe T – Index alphabétique des définitions . 231
Annexe U – Amendements et corrigenda . 233
© ISO/CEI 2005 – Tous droits réservés vii
ISO/CEI 9594-2:2005(F)
Avant-propos
L'ISO (Organisation internationale de normalisation) et la CEI (Commission électrotechnique internationale)
forment le système spécialisé de la normalisation mondiale. Les organismes nationaux membres de l'ISO ou
de la CEI participent au développement de Normes internationales par l'intermédiaire des comités techniques
créés par l'organisation concernée afin de s'occuper des domaines particuliers de l'activité technique. Les
comités techniques de l'ISO et de la CEI collaborent dans des domaines d'intérêt commun. D'autres
organisations internationales, gouvernementales et non gouvernementales, en liaison avec l'ISO et la CEI
participent également aux travaux. Dans le domaine des technologies de l'information, l'ISO et la CEI ont créé
un comité technique mixte, l'ISO/CEI JTC 1.
Les Normes internationales sont rédigées conformément aux règles données dans les Directives ISO/CEI,
Partie 2.
La tâche principale du comité technique mixte est d'élaborer les Normes internationales. Les projets de
Normes internationales adoptés par le comité technique mixte sont soumis aux organismes nationaux pour
vote. Leur publication comme Normes internationales requiert l'approbation de 75 % au moins des
organismes nationaux votants.
L'attention est appelée sur le fait que certains des éléments du présent document peuvent faire l'objet de
droits de propriété intellectuelle ou de droits analogues. L'ISO et la CEI ne sauraient être tenues pour
responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence.
L'ISO/CEI 9594-2 a été élaborée par le comité technique mixte ISO/CEI JTC 1, Technologies de l'information,
sous-comité SC 6, Téléinformatique, en collaboration avec l’UIT-T. Le texte identique est publié en tant que
Rec. UIT-T X.501.
Cette cinquième édition constitue une révision technique de la quatrième édition (ISO/CEI 9594-2:2001), qui
est provisoirement retenue pour supporter les mises en application basées sur la quatrième édition.
L'ISO/CEI 9594 comprend les parties suivantes, présentées sous le titre général Technologies de
l'information — Interconnexion de systèmes ouverts (OSI) — L'annuaire:
⎯ Partie 1: Aperçu général des concepts, modèles et services
⎯ Partie 2: Les modèles
⎯ Partie 3: Définition du service abstrait
⎯ Partie 4: Procédures pour le fonctionnement réparti
⎯ Partie 5: Spécifications du protocole
⎯ Partie 6: Types d'attributs sélectionnés
⎯ Partie 7: Classes d'objets sélectionnées
⎯ Partie 8: Cadre général des certificats de clé publique et d'attribut
⎯ Partie 9: Duplication
⎯ Partie 10: Utilisation de la gestion-systèmes pour l'administration de l'annuaire
viii © ISO/CEI 2005 – Tous droits réservés
ISO/CEI 9594-2:2005(F)
Introduction
La présente Recommandation | Norme internationale a été élaborée, ainsi que d'autres Recommandations | Normes
internationales, pour faciliter l'interconnexion des systèmes de traitement de l'information et permettre ainsi d'assurer
des services d'annuaire. L'ensemble de tous ces systèmes, avec les informations d'annuaire qu'ils contiennent, peut être
considéré comme un tout intégré, appelé "annuaire". Les informations de l'annuaire, appelées collectivement "base
d'informations d'annuaire" (DIB) sont généralement utilisées pour faciliter la communication entre, avec ou à propos
d'objets tels que des entités d'application, des personnes, des terminaux et des listes de distribution.
L'annuaire joue un rôle important dans l'interconnexion des systèmes ouverts, dont le but est de permettre, moyennant
un minimum d'accords techniques en dehors des normes d'interconnexion proprement dites, l'interconnexion des
systèmes de traitement de l'information:
– provenant de divers fabricants;
– gérés différemment;
– de niveaux de complexité différents;
– de générations différentes.
La présente Recommandation | Norme internationale fournit un certain nombre de modèles relatifs à l'annuaire comme
cadre de travail pour les autres Recommandations UIT-T de la série X.500 | parties de l'ISO/CEI 9594. Ces modèles
sont le modèle (fonctionnel) général, le modèle d'autorité administrative, les modèles génériques d'informations
d'annuaire fournissant à l'utilisateur d'annuaire et à l'utilisateur administratif des vues d'informations d'annuaire, les
modèles génériques d'agent DSA et d'informations d'agent DSA, un cadre opérationnel et un modèle de sécurité.
Les modèles génériques d'informations d'annuaire décrivent, par exemple, comment des informations sur des objets sont
regroupées pour constituer des entrées d'annuaire pour ces objets, et comment ces informations donnent des noms aux
objets.
Les modèles génériques d'agent DSA et d'informations d'agent DSA, ainsi que le cadre opérationnel, concernent la
répartition de l'annuaire.
La présente Recommandation | Norme internationale présente une spécialisation des modèles d'informations d'annuaire
concernant l'administration du schéma de l'annuaire.
La présente Recommandation | Norme internationale décrit des cadres généraux de base permettant à d'autres groupes
de normalisation et forums industriels de définir des profils d'industrie. L'utilisation de nombreuses caractéristiques
définies comme facultatives dans ces cadres généraux peut être rendue obligatoire dans certains environnements par le
biais de profils. La présente cinquième édition révise et améliore d'un point de vue technique, mais ne remplace pas, la
quatrième édition de la présente Recommandation | Norme internationale. Les implémentations peuvent encore déclarer
la conformité à la quatrième édition mais celle-ci finira par ne plus être prise en charge (c'est-à-dire que les erreurs
signalées ne seront plus corrigées). Il est recommandé que les implémentations se conforment, dès que possible, à la
présente cinquième édition.
La présente cinquième édition spécifie les versions 1 et 2 des protocoles d'annuaire.
Les première et deuxième éditions ne spécifiaient que la version 1. La plupart des services et protocoles spécifiés dans
la présente édition sont conçus pour fonctionner selon la version 1. Certains services et protocoles améliorés, par
exemple les erreurs signées, ne fonctionneront cependant pas avant que toutes les entités d'annuaire mises en jeu dans
l'exploitation aient négocié la version 2. Quelle que soit la version négociée, on a traité les différences entre les services
et entre les protocoles, définis dans les cinq éditions, à l'exception de ceux qui sont spécifiquement définis dans la
version 2 en utilisant les règles d'extensibilité définies dans l'édition actuelle de la Rec. UIT-T X.519 | ISO/CEI 9594-5.
L'Annexe A, qui fait partie intégrante de la présente Recommandation | Norme internationale, résume l'utilisation des
identificateurs d'objets ASN.1 utilisés dans les Recommandations UIT-T de la série X.500 | parties de la norme
ISO/CEI 9594.
L'Annexe B, qui fait partie intégrante de la présente Recommandation | Norme internationale, spécifie le module ASN.1
qui contient toutes les définitions associées au cadre général d'informations de l'annuaire.
L'Annexe C, qui fait partie intégrante de la présente Recommandation | Norme internationale, donne la spécification
ASN.1 du schéma d'administration d'un sous-schéma.
L'Annexe D, qui fait partie intégrante de la présente Recommandation | Norme internationale, spécifie le module ASN.1
d'administration du service.
L'Annexe E qui fait partie intégrante de la présente Recommandation | Norme internationale, spécifie le module ASN.1
correspondant au contrôle d'accès de base.
© ISO/CEI 2005 – Tous droits réservés ix
ISO/CEI 9594-2:2005(F)
L'Annexe F qui fait partie intégrante de la présente Recommandation | Norme internationale, définit le module ASN.1
qui contient toutes les définitions associées aux types d'attributs opérationnels d'agent DSA.
L'Annexe G qui fait partie intégrante de la présente Recommandation | Norme internationale, spécifie le module ASN.1
qui contient toutes les définitions associées aux opérations de gestion des liaisons opérationnelles.
L'Annexe H qui fait partie intégrante de la présente Recommandation | Norme internationale, spécifie le module ASN.1
qui contient toutes les définitions associées à l'amélioration de la sécurité.
L'Annexe I, qui ne fait pas partie intégrante de la présente Recommandation | Norme internationale, résume la
terminologie mathématique associée aux structures arborescentes.
L'Annexe J, qui ne fait pas partie intégrante de la présente Recommandation | Norme internationale, décrit certains
critères à prendre en compte dans la conception des noms.
L'Annexe K, qui ne fait pas partie intégrante de la présente Recommandation | Norme internationale, donne des
exemples de divers aspects du schéma.
L'Annexe L, qui ne fait pas partie intégrante de la présente Recommandation | Norme internationale, donne un aperçu
général de la sémantique des permissions du contrôle d'accès de base.
L'Annexe M, qui ne fait pas partie intégrante de la présente Recommandation | Norme internationale, présente un
exemple détaillé de l'utilisation du contrôle d'accès de base.
L'Annexe N, qui ne fait pas partie intégrante de la présente Recommandation | Norme internationale, décrit certaines
combinaisons d'entrées spécifiques d'agent DSA.
L'Annexe O, qui ne fait pas partie intégrante de la présente Recommandation | Norme internationale, donne un cadre
général de modélisation de la connaissance.
L'Annexe P, qui ne fait pas partie intégrante de la présente Recommandation | Norme internationale, décrit les critères
qui déterminent si un nom peut être un nom distinctif de remplacement ou le nom distinctif primaire, s'il peut contenir
des valeurs de remplacement et des informations de contexte.
L'Annexe Q, qui ne fait pas partie intégrante de la présente Recommandation | Norme internationale, décrit le concept
de sous-filtres.
L'Annexe R, qui ne fait pas partie intégrante de la présente Recommandation | Norme internationale, donne des
recommandations et des exemples sur la manière dont les membres d'une même famille peuvent être dénommés.
L'Annexe S, qui ne fait pas partie intégrante de la présente Recommandation | Norme internationale, présente des
concepts et des considérations liés à la dénomination.
L'Annexe T, qui ne fait pas partie intégrante de la présente Recommandation | Norme internationale, donne la liste
alphabétique des termes définis dans la présente Recommandation | Norme internationale.
L'Annexe U, qui ne fait pas partie intégrante de la présente Recommandation | Norme internationale, donne la liste des
modifications et rapports de défaut qui ont été incorporés pour constituer cette édition de la présente Recommandation |
Norme internationale.
x © ISO/CEI 2005 – Tous droits réservés
ISO/CEI 9594-2:2005 (F)
NORME INTERNATIONALE
RECOMMANDATION UIT-T
Technologies de l'information – Interconnexion des systèmes ouverts –
L'annuaire: les modèles
SECTION 1 – GÉNÉRALITÉS
1 Domaine d'application
Les modèles définis dans la présente Recommandation | Norme internationale donnent un cadre conceptuel et
terminologique, applicable aux autres Recommandations UIT-T de la série X.500 | parties de l'ISO/CEI 9594
définissant divers aspects de l'annuaire.
Les modèles fonctionnels et d'autorités administratives définissent la façon dont l'annuaire doit être réparti
fonctionnellement et administrativement. Des modèles génériques d'agent DSA et d'informations d'agent DSA, ainsi
qu'un cadre opérationnel, sont également fournis pour la répartition de l'annuaire.
Les modèles génériques d'informations de l'annuaire décrivent la structure logique de la DIB du point de vue des
utilisateurs de l'annuaire et des utilisateurs administratifs. Dans ces modèles, le fait que l'annuaire soit réparti et non
centralisé n'est pas visible.
La présente Recommandation | Norme internationale précise une spécialisation des modèles d'informations de l'annuaire
pour l'administration du schéma de l'annuaire.
Les autres Recommandations UI
...
Questions, Comments and Discussion
Ask us and Technical Secretary will try to provide an answer. You can facilitate discussion about the standard in here.
Loading comments...