Network Working Group L-N. Hamer
Request for Comments: 3520 B. Gage
Category: Standards Track Nortel Networks
B. Kosinski
Invidi Technologies
H. Shieh
AT&T Wireless
April 2003
Session Authorization Policy Element
Status of this Memo
このメモの位置付け
This document specifies an Internet standards track protocol for the Internet community, and requests discussion and suggestions for improvements. Please refer to the current edition of the "Internet Official Protocol Standards" (STD 1) for the standardization state and status of this protocol. Distribution of this memo is unlimited.
この文書は、インターネットコミュニティのためのインターネット標準トラックプロトコルを指定し、改善のための議論と提案を要求します。このプロトコルの標準化状態と状態への「インターネット公式プロトコル標準」（STD 1）の最新版を参照してください。このメモの配布は無制限です。
Copyright Notice
著作権表示
Copyright (C) The Internet Society (2003). All Rights Reserved.
著作権（C）インターネット協会（2003）。全著作権所有。
Abstract
抽象
This document describes the representation of a session authorization policy element for supporting policy-based per-session authorization and admission control. The goal of session authorization is to allow the exchange of information between network elements in order to authorize the use of resources for a service and to co-ordinate actions between the signaling and transport planes. This document describes how a process on a system authorizes the reservation of resources by a host and then provides that host with a session authorization policy element which can be inserted into a resource reservation protocol (e.g., the Resource ReSerVation Protocol (RSVP) PATH message) to facilitate proper and secure reservation of those resources within the network. We describe the encoding of session authorization information as a policy element conforming to the format of a Policy Data object (RFC 2750) and provide details relating to operations, processing rules and error scenarios.
この文書では、ポリシーベースのセッションごとの認証および許可制御をサポートするためのセッション認可ポリシー要素の表現について説明します。セッション認証の目標は、サービスのためのリソースの使用を承認するとシグナリングと輸送面の間のアクション・コーディネイトするために、ネットワーク要素間の情報交換を可能にすることです。この文書では、システム上のプロセスがホストによってリソースの予約を許可して、リソース予約プロトコル（例えば、リソース予約プロトコル（RSVP）PATHメッセージ）に挿入できるセッション認可ポリシー要素と、そのホストをどのように提供するかについて説明しネットワーク内でそれらの資源の適正かつ確実な予約を容易にします。我々は、ポリシー・データ・オブジェクト（RFC 2750）のフォーマットに準拠したポリシー要素としてセッション許可情報の符号化を説明し、操作、処理ルールとエラーシナリオに関する詳細を提供します。
Table of Contents
目次
1. Conventions used in this document..............................3
2. Introduction...................................................3
3. Policy Element for Session Authorization.......................4
3.1 Policy Data Object Format..................................4
3.2 Session Authorization Policy Element.......................4
3.3 Session Authorization Attributes...........................4
3.3.1 Authorizing Entity Identifier..........................6
3.3.2 Session Identifier.....................................7
3.3.3 Source Address.........................................7
3.3.4 Destination Address....................................9
3.3.5 Start time............................................10
3.3.6 End time..............................................11
3.3.7 Resources Authorized..................................11
3.3.8 Authentication data...................................12
4. Integrity of the AUTH_SESSION policy element..................13
4.1 Shared symmetric keys.....................................13
4.1.1 Operational Setting using shared symmetric keys.......13
4.2 Kerberos..................................................14
4.2.1. Operational Setting using Kerberos...................15
4.3 Public Key................................................16
4.3.1. Operational Setting for public key based
authentication.......................................16
4.3.1.1 X.509 V3 digital certificates.....................17
4.3.1.2 PGP digital certificates..........................17
5. Framework.....................................................18
5.1 The coupled model.........................................18
5.2 The associated model with one policy server...............18
5.3 The associated model with two policy servers..............19
5.4 The non-associated model..................................19
6. Message Processing Rules......................................20
6.1 Generation of the AUTH_SESSION by the authorizing entity..20
6.2 Message Generation (RSVP Host)............................20
6.3 Message Reception (RSVP-aware Router).....................20
6.4 Authorization (Router/PDP)................................21
7. Error Signaling...............................................22
8. IANA Considerations...........................................22
9. Security Considerations.......................................24
10. Acknowledgments..............................................24
11. Normative References.........................................25
12. Informative References.......................................27
13. Intellectual Property Statement..............................27
14. Contributors.................................................28
15. Authors' Addresses...........................................29
16. Full Copyright Statement.....................................30
The key words "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY", and "OPTIONAL" in this document are to be interpreted as described in BCP 14, RFC 2119 [RFC-2119].
この文書のキーワード "MUST"、 "MUST NOT"、 "REQUIRED"、、、、 "べきではない" "べきである" "ないもの" "ものとし"、 "推奨"、 "MAY"、および "OPTIONAL" はありますBCP 14、RFC 2119 [RFC-2119]に記載されているように解釈されます。
RSVP [RFC-2205] is one example of a resource reservation protocol that is used by a host to request specific services from the network for particular application data streams or flows. RSVP requests will generally result in resources being reserved in each router along the data path. RSVP allows users to obtain preferential access to network resources, under the control of an admission control mechanism. Such admission control is often based on user or application identity [RFC-3182], however, it is also valuable to provide the ability for per-session admission control.
RSVP [RFC-2205]特定のアプリケーションのデータストリームまたはフローのネットワークから特定のサービスを要求するためにホストによって使用されるリソース予約プロトコルの一例です。 RSVP要求は、一般に、データパスに沿った各ルータで予約されたリソースになります。 RSVPは、アドミッション制御機構の制御下で、ユーザがネットワークリソースへの優先アクセスを得ることができます。そのようなアドミッション制御は、多くの場合、ユーザまたはアプリケーションのアイデンティティ[RFC-3182]に基づいている、しかし、セッションごとのアドミッション制御のための能力を提供することも有益です。
In order to allow for per-session admission control, it is necessary to provide a mechanism for ensuring use of resources by a host has been properly authorized before allowing the reservation of those resources. In order to meet this requirement, there must be information in the resource reservation message which may be used to verify the validity of the reservation request. This can be done by providing the host with a session authorization policy element which is inserted into the resource reservation message and verified by the network.
セッションごとのアドミッション制御を可能にするために、適切にこれらのリソースの予約を許可する前に許可されたホストによるリソースの使用を確保するための機構を設ける必要があります。この要件を満たすために、予約要求の妥当性を検証するために使用することができるリソース予約メッセージ内の情報が存在しなければなりません。これは、リソース予約メッセージに挿入され、ネットワークによって検証されたセッション許可ポリシー要素とホストを提供することによって行うことができます。
This document describes the session authorization policy element (AUTH_SESSION) used to convey information about the resources authorized for use by a session. The host must obtain an AUTH_SESSION element from an authorizing entity via a session signaling protocol such as SIP [RFC-3261]. The host then inserts the AUTH_SESSION element into the resource reservation message to allow verification of the network resource request; in the case of RSVP, this element MUST be encapsulated in the Policy Data object [RFC-2750] of an RSVP PATH message. Network elements verify the request and then process the resource reservation message based on admission policy.
この文書では、セッション認可ポリシー要素（AUTH_SESSIONが）セッションで使用するために承認されたリソースに関する情報を伝達するために使用について説明します。ホストは、SIP [RFC-3261]のようなセッションシグナリングプロトコルを介して、認可実体からAUTH_SESSION要素を取得しなければなりません。ホストは、ネットワークリソース要求の検証を可能にするために、リソース予約メッセージにAUTH_SESSION要素を挿入します。 RSVPの場合、この要素は、RSVP PATHメッセージの[RFC-2750]ポリシーデータオブジェクト内にカプセル化されなければなりません。ネットワーク要素は、要求を確認した後、アドミッションポリシーに基づいて、リソース予約メッセージを処理します。
[RFC-3521] describes a framework in which a session authorization policy element may be utilized to contain information relevant to the network's decision to grant a reservation request.
[RFC-3521]は、セッション認可ポリシー要素が予約要求を許可するネットワークの決定に関連する情報を含むために利用可能なフレームワークを記述する。
The Session Authorization policy element conforms to the format of a POLICY_DATA object which contains policy information and is carried by policy based admission protocols such as RSVP. A detailed description of the POLICY_DATA object can be found in "RSVP Extensions for Policy Control" [RFC-2750].
セッション認可ポリシーエレメントは、ポリシー情報が含まれており、そのようなRSVPのようなポリシーベースのアドミッションプロトコルによって運ばれるPOLICY_DATAオブジェクトのフォーマットに準拠しています。 POLICY_DATAオブジェクトの詳細な説明は、「ポリシー制御のためのRSVP拡張」[RFC-2750]に見出すことができます。
In this section we describe a policy element (PE) called session authorization (AUTH_SESSION). The AUTH_SESSION policy element contains a list of fields which describe the session, along with other attributes.
このセクションでは、セッション認証（AUTH_SESSION）と呼ばれるポリシー要素（PE）を記述する。 AUTH_SESSIONポリシー要素は、他の属性と一緒に、セッションを記述するフィールドのリストが含まれています。
+-------------+-------------+-------------+-------------+
| Length | P-Type = AUTH_SESSION |
+-------------+-------------+-------------+-------------+
// Session Authorization Attribute List //
+-------------------------------------------------------+
Length: 16 bits The length of the policy element (including the Length and P-Type) is in number of octets (MUST be in multiples of 4) and indicates the end of the session authorization information block.
長さ：16ビット（長さおよびp型を含む）ポリシーエレメントの長さは、オクテットの数である（4の倍数でなければなりません）と、セッション認可情報ブロックの終わりを示します。
P-Type: 16 bits (Session Authorization Type) AUTH_SESSION = 0x04 The Policy element type (P-type) of this element. The Internet Assigned Numbers Authority (IANA) acts as a registry for policy element types as described in [RFC-2750].
p型：16ビット（セッション承認タイプ）AUTH_SESSION =この要素のポリシー要素型（P型）0x04の。 [RFC-2750]に記載されているようにIANA（Internet Assigned Numbers Authority）は、ポリシー要素タイプのレジストリとして作用します。
Session Authorization Attribute List: variable length The session authorization attribute list is a collection of objects which describes the session and provides other information necessary to verify the resource reservation request. An initial set of valid objects is described in Section 3.3.
セッション許可リスト属性：可変長セッションの許可属性リストは、セッションを説明し、リソース予約要求を検証するために必要なその他の情報を提供するオブジェクトのコレクションです。有効なオブジェクトの最初のセットは、第3.3節に記載されています。
A session authorization attribute may contain a variety of information and has both an attribute type and subtype. The attribute itself MUST be a multiple of 4 octets in length, and any attributes that are not a multiple of 4 octets long MUST be padded to a 4-octet boundary. All padding bytes MUST have a value of zero.
セッション認証属性は、さまざまな情報が含まれており、属性タイプとサブタイプの両方を持っていることがあります。属性自体は4つの長さのオクテット、及び長い4オクテット境界にパディングされなければならない4つのオクテットの倍数ではないすべての属性の倍数でなければなりません。すべてのパディングバイトはゼロの値を持つ必要があります。
+--------+--------+--------+--------+
| Length | X-Type |SubType |
+--------+--------+--------+--------+
| Value ...
+--------+--------+--------+--------+
Length: 16 bits The length field is two octets and indicates the actual length of the attribute (including Length, X-Type and SubType fields) in number of octets. The length does NOT include any bytes padding to the value field to make the attribute a multiple of 4 octets long.
長さ：長さフィールドは、2つのオクテットであり、オクテットの数（長さ、X-タイプとサブタイプフィールドを含む）属性の実際の長さを示す16ビット。長さが長い属性に4つのオクテットの倍数を作るために、値フィールドに任意のバイトのパディングが含まれていません。
X-Type: 8 bits Session authorization attribute type (X-Type) field is one octet. IANA acts as a registry for X-Types as described in section 7, IANA Considerations. Initially, the registry contains the following X-Types:
X-タイプ：8ビットセッション承認属性タイプ（X-タイプ）フィールドは1つのオクテットです。セクション7、IANAの考慮事項に記載されているようにIANAは、Xタイプのレジストリとして作用します。最初は、レジストリは以下のX-タイプが含まれています。
1 AUTH_ENT_ID The unique identifier of the entity which authorized the session.
1 AUTH_ENT_IDセッションを承認したエンティティの一意の識別子。
2 SESSION_ID Unique identifier for this session.
このセッションの2 SESSION_ID一意の識別子。
3 SOURCE_ADDR Address specification for the session originator.
セッション創始者のための3 SOURCE_ADDRアドレスの指定。
4 DEST_ADDR Address specification for the session end-point.
セッション・エンドポイントのための4 dest_addrはアドレス指定。
5 START_TIME The starting time for the session.
5 START_TIMEセッションの開始時間。
6 END_TIME The end time for the session.
6 END_TIMEセッションの終了時間。
7 RESOURCES The resources which the user is authorized to request.
7つのRESOURCESユーザが要求することを許可されたリソース。
8 AUTHENTICATION_DATA Authentication data of the session authorization policy element.
セッション認可ポリシー要素の8つのAUTHENTICATION_DATA認証データ。
SubType: 8 bits Session authorization attribute sub-type is one octet in length. The value of the SubType depends on the X-Type.
サブタイプ：8ビットセッション許可がサブタイプ属性の長さは1つのオクテットです。サブタイプの値は、X-タイプによって異なります。
Value: variable length The attribute specific information.
値：可変長属性固有の情報。
AUTH_ENT_ID is used to identify the entity which authorized the initial service request and generated the session authorization policy element. The AUTH_ENT_ID may be represented in various formats, and the SubType is used to define the format for the ID. The format for AUTH_ENT_ID is as follows:
AUTH_ENT_IDは、最初のサービス要求を許可し、セッション認可ポリシーの要素を生成したエンティティを識別するために使用されます。 AUTH_ENT_IDは様々なフォーマットで表すことができ、そしてサブタイプは、IDの形式を定義するために使用されます。次のようにAUTH_ENT_IDの形式は次のとおりです。
+-------+-------+-------+-------+
| Length |X-Type |SubType|
+-------+-------+-------+-------+
| OctetString ...
+-------+-------+-------+-------+
Length Length of the attribute, which MUST be > 4.
> 4でなければならない属性の長さの長さ、。
X-Type AUTH_ENT_ID
X-タイプAUTH_ENT_ID
SubType The following sub-types for AUTH_ENT_ID are defined. IANA acts as a registry for AUTH_ENT_ID sub-types as described in section 7, IANA Considerations. Initially, the registry contains the following sub-types of AUTH_ENT_ID:
AUTH_ENT_IDための次のサブタイプが定義されているサブタイプ。 IANAはセクション7、IANAの考慮事項に記載されているようにAUTH_ENT_IDサブタイプのレジストリとして作用します。最初は、レジストリはAUTH_ENT_IDの次のサブタイプが含まれています。
1 IPV4_ADDRESS IPv4 address represented in 32 bits
1つのIPV4_ADDRESS IPv4アドレスは32ビットで表現します
2 IPV6_ADDRESS IPv6 address represented in 128 bits
2つのIPV6_ADDRESS IPv6アドレスは128ビットで表現します
3 FQDN Fully Qualified Domain Name as defined in RFC 1034 as an ASCII string.
ASCII文字列としてRFC 1034で定義されている3 FQDN完全修飾ドメイン名。
4 ASCII_DN X.500 Distinguished name as defined in RFC 2253 as an ASCII string.
ASCII文字列としてRFC 2253で定義されている4 ASCII_DN X.500識別名です。
5 UNICODE_DN X.500 Distinguished name as defined in RFC 2253 as a UTF-8 string.
UTF-8文字列としてRFC 2253で定義されるように5 UNICODE_DN X.500識別名。
6 URI Universal Resource Identifier, as defined in RFC 2396.
6 URIユニバーサルリソース識別子、RFC 2396で定義されています。
7 KRB_PRINCIPAL Fully Qualified Kerberos Principal name represented by the ASCII string of a principal followed by the @ realm name as defined in RFC 1510 (e.g., principalX@realmY).
RFC 1510で定義されている@レルム名に続く主のASCII文字列で表される7 KRB_PRINCIPAL完全修飾Kerberosプリンシパル名（例えば、principalX @ realmY）。
8 X509_V3_CERT The Distinguished Name of the subject of the certificate as defined in RFC 2253 as a UTF-8 string.
8 X509_V3_CERT UTF-8文字列としてRFC 2253で定義されるように証明書のサブジェクトの識別名。
9 PGP_CERT The PGP digital certificate of the authorizing entity as defined in RFC 2440.
認可実体の9 PGP_CERTザPGPデジタル証明書は、RFC 2440で定義されています。
OctetString Contains the authorizing entity identifier.
OctetStringには、認可実体識別子が含まれています。
SESSION_ID is a unique identifier used by the authorizing entity to identify the request. It may be used for a number of purposes, including replay detection, or to correlate this request to a policy decision entry made by the authorizing entity. For example, the SESSION_ID can be based on simple sequence numbers or on a standard NTP timestamp.
SESSION_IDは、要求を識別するために認可実体によって使用される一意の識別子です。これは、リプレイ検出を含む多くの目的に使用することができる、または認可実体によって行われたポリシー決定エントリにこの要求を相関させます。例えば、SESSION_IDは、単純なシーケンス番号または標準のNTPタイムスタンプに基づいて行うことができます。
+-------+-------+-------+-------+
| Length |X-Type |SubType|
+-------+-------+-------+-------+
| OctetString ...
+-------+-------+-------+-------+
Length Length of the attribute, which MUST be > 4.
> 4でなければならない属性の長さの長さ、。
X-Type SESSION_ID
X-タイプSESSION_ID
SubType No subtypes for SESSION_ID are currently defined; this field MUST be set to zero. The authorizing entity is the only network entity that needs to interpret the contents of the SESSION_ID therefore the contents and format are implementation dependent.
サブタイプSESSION_IDのためのいかなるサブタイプは、現在定義されていません。このフィールドはゼロに設定しなければなりません。認可実体は、したがって、内容と形式は実装に依存しているSESSION_IDの内容を解釈する必要がある唯一のネットワークエンティティです。
OctetString Contains the session identifier.
OctetStringには、セッション識別子が含まれています。
SOURCE_ADDR is used to identify the source address specification of the authorized session. This X-Type may be useful in some scenarios to make sure the resource request has been authorized for that particular source address and/or port.
SOURCE_ADDRは許可セッションの送信元アドレスの指定を識別するために使用されます。このX-タイプは、リソース要求がその特定の送信元アドレスおよび/またはポートのために認可されていることを確認するために、いくつかのシナリオで有用である可能性があります。
+-------+-------+-------+-------+
| Length |X-Type |SubType|
+-------+-------+-------+-------+
| OctetString ...
+-------+-------+-------+-------+
Length Length of the attribute, which MUST be > 4.
> 4でなければならない属性の長さの長さ、。
X-Type SOURCE_ADDR
X-タイプSOURCE_ADDR
SubType The following sub types for SOURCE_ADDR are defined. IANA acts as a registry for SOURCE_ADDR sub-types as described in section 7, IANA Considerations. Initially, the registry contains the following sub types for SOURCE_ADDR:
SOURCE_ADDRのための次のサブタイプが定義されているサブタイプ。 IANAはセクション7、IANAの考慮事項に記載されているようにSOURCE_ADDRサブタイプのレジストリとして作用します。最初は、レジストリはSOURCE_ADDRのための次のサブタイプが含まれています。
1 IPV4_ADDRESS IPv4 address represented in 32 bits
1つのIPV4_ADDRESS IPv4アドレスは32ビットで表現します
2 IPV6_ADDRESS IPv6 address represented in 128 bits
2つのIPV6_ADDRESS IPv6アドレスは128ビットで表現します
3 UDP_PORT_LIST list of UDP port specifications, represented as 16 bits per list entry.
リストエントリあたり16ビットで表されるUDPポート仕様の3 UDP_PORT_LISTリスト。
4 TCP_PORT_LIST list of TCP port specifications, represented as 16 bits per list entry.
リストエントリあたり16ビットで表されるTCPポート仕様の4 TCP_PORT_LISTリスト。
OctetString The OctetString contains the source address information.
OctetStringにザ・OctetStringには、送信元アドレス情報が含まれています。
In scenarios where a source address is required (see Section 5), at least one of the subtypes 1 through 2 (inclusive) MUST be included in every Session Authorization Data Policy Element. Multiple SOURCE_ADDR attributes MAY be included if multiple addresses have been authorized. The source address field of the resource reservation datagram (e.g., RSVP PATH) MUST match one of the SOURCE_ADDR attributes contained in this Session Authorization Data Policy Element.
ソースアドレスが必要とされるシナリオ（セクション5を参照）においては、2乃至（包括的）のサブタイプの少なくとも一つは、すべてのセッション承認データポリシー要素に含まれなければなりません。複数のアドレスが許可されている場合、複数のSOURCE_ADDR属性が含まれるかもしれません。リソース予約データグラム（例えば、RSVPのPATH）の送信元アドレスフィールドには、このセッションの認証データポリシー要素に含まれるSOURCE_ADDR属性のいずれかと一致しなければなりません。
At most, one instance of subtype 3 MAY be included in every Session Authorization Data Policy Element. At most, one instance of subtype 4 MAY be included in every Session Authorization Data Policy Element. Inclusion of a subtype 3 attribute does not prevent inclusion of a subtype 4 attribute (i.e., both UDP and TCP ports may be authorized).
せいぜい、サブタイプ3の1つのインスタンスは、すべてのセッションの認証データポリシー要素に含まれるかもしれません。せいぜい、サブタイプ4の1つのインスタンスは、すべてのセッションの認証データポリシー要素に含まれるかもしれません。サブタイプ3属性を含めることは、サブタイプ4属性（すなわち、UDPおよびTCPポートの両方が許可されてもよい）を含むことを妨げません。
If no PORT attributes are specified, then all ports are considered valid; otherwise, only the specified ports are authorized for use.
何PORT属性が指定されていない場合は、すべてのポートが有効であると考えています。それ以外の場合は、必ず指定のポートが使用を許可されています。
Every source address and port list must be included in a separate SOURCE_ADDR attribute.
すべての送信元アドレスとポートリストは、個別のSOURCE_ADDR属性に含まれている必要があります。
DEST_ADDR is used to identify the destination address of the authorized session. This X-Type may be useful in some scenarios to make sure the resource request has been authorized for that particular destination address and/or port.
dest_addrは、許可セッションの宛先アドレスを識別するために使用されます。このX-タイプは、リソース要求がその特定の宛先アドレスおよび/またはポートのために認可されていることを確認するために、いくつかのシナリオで有用である可能性があります。
+-------+-------+-------+-------+
| Length |X-Type |SubType|
+-------+-------+-------+-------+
| OctetString ...
+-------+-------+-------+-------+
Length Length of the attribute, which MUST be > 4.
> 4でなければならない属性の長さの長さ、。
X-Type DEST_ADDR
X-タイプdest_addrは
SubType The following sub types for DEST_ADDR are defined. IANA acts as a registry for DEST_ADDR sub-types as described in section 7, IANA Considerations. Initially, the registry contains the following sub types for DEST_ADDR:
dest_addrはのための次のサブタイプが定義されているサブタイプ。 IANAはセクション7、IANAの考慮事項に記載されているようにdest_addrはサブタイプのレジストリとして作用します。最初は、レジストリはdest_addrはのために、次のサブタイプが含まれています。
1 IPV4_ADDRESS IPv4 address represented in 32 bits
1つのIPV4_ADDRESS IPv4アドレスは32ビットで表現します
2 IPV6_ADDRESS IPv6 address represented in 128 bits
2つのIPV6_ADDRESS IPv6アドレスは128ビットで表現します
3 UDP_PORT_LIST list of UDP port specifications, represented as 16 bits per list entry.
リストエントリあたり16ビットで表されるUDPポート仕様の3 UDP_PORT_LISTリスト。
4 TCP_PORT_LIST list of TCP port specifications, represented as 16 bits per list entry.
リストエントリあたり16ビットで表されるTCPポート仕様の4 TCP_PORT_LISTリスト。
OctetString The OctetString contains the destination address specification.
OctetStringにザ・OctetStringには、宛先アドレスの指定が含まれています。
In scenarios where a destination address is required (see Section 5), at least one of the subtypes 1 through 2 (inclusive) MUST be included in every Session Authorization Data Policy Element. Multiple DEST_ADDR attributes MAY be included if multiple addresses have been authorized. The destination address field of the resource reservation datagram (e.g., RSVP PATH) MUST match one of the DEST_ADDR attributes contained in this Session Authorization Data Policy Element.
宛先アドレスが必要とされるシナリオ（セクション5を参照）においては、2乃至（包括的）のサブタイプの少なくとも一つは、すべてのセッション承認データポリシー要素に含まれなければなりません。複数のアドレスが許可されている場合、複数のdest_addrは属性が含まれるかもしれません。リソース予約データグラム（例えば、RSVPのPATH）の宛先アドレスフィールドには、このセッションの認証データポリシー要素に含まれるdest_addrは属性のいずれかと一致しなければなりません。
At most, one instance of subtype 3 MAY be included in every Session Authorization Data Policy Element. At most, one instance of subtype 4 MAY be included in every Session Authorization Data Policy Element. Inclusion of a subtype 3 attribute does not prevent inclusion of a subtype 4 attribute (i.e., both UDP and TCP ports may be authorized).
せいぜい、サブタイプ3の1つのインスタンスは、すべてのセッションの認証データポリシー要素に含まれるかもしれません。せいぜい、サブタイプ4の1つのインスタンスは、すべてのセッションの認証データポリシー要素に含まれるかもしれません。サブタイプ3属性を含めることは、サブタイプ4属性（すなわち、UDPおよびTCPポートの両方が許可されてもよい）を含むことを妨げません。
If no PORT attributes are specified, then all ports are considered valid; otherwise, only the specified ports are authorized for use.
何PORT属性が指定されていない場合は、すべてのポートが有効であると考えています。それ以外の場合は、必ず指定のポートが使用を許可されています。
Every destination address and port list must be included in a separate DEST_ADDR attribute.
すべての宛先アドレスおよびポートリストは、個別のdest_addrは属性に含まれている必要があります。
START_TIME is used to identify the start time of the authorized session and can be used to prevent replay attacks. If the AUTH_SESSION policy element is presented in a resource request, the network SHOULD reject the request if it is not received within a few seconds of the start time specified.
START_TIMEは、許可セッションの開始時刻を特定するために使用され、リプレイ攻撃を防ぐために使用することができます。 AUTH_SESSIONポリシー要素は、リソース要求に提示された場合、それは指定された開始時刻の数秒以内に受信されない場合、ネットワークは要求を拒否すべきです。
+-------+-------+-------+-------+
| Length |X-Type |SubType|
+-------+-------+-------+-------+
| OctetString ...
+-------+-------+-------+-------+
Length Length of the attribute, which MUST be > 4.
> 4でなければならない属性の長さの長さ、。
X-Type START_TIME
X-タイプSTART_TIME
SubType The following sub types for START_TIME are defined. IANA acts as a registry for START_TIME sub-types as described in section 7, IANA Considerations. Initially, the registry contains the following sub types for START_TIME:
START_TIMEのための次のサブタイプが定義されているサブタイプ。 IANAはセクション7、IANAの考慮事項に記載されているようにSTART_TIMEサブタイプのレジストリとして作用します。最初は、レジストリは、START_TIMEのための次のサブタイプが含まれています。
1 NTP_TIMESTAMP NTP Timestamp Format as defined in RFC 1305.
RFC 1305で定義されている1つのNTP_TIMESTAMP NTPタイムスタンプ形式。
OctetString The OctetString contains the start time.
OctetStringにザ・OctetStringには、開始時刻が含まれています。
END_TIME is used to identify the end time of the authorized session and can be used to limit the amount of time that resources are authorized for use (e.g., in prepaid session scenarios).
END_TIMEが認可セッションの終了時刻を特定するために使用され、リソースが（例えば、プリペイドセッションシナリオで）使用のために認可されている時間の量を制限するために使用することができます。
+-------+-------+-------+-------+
| Length |X-Type |SubType|
+-------+-------+-------+-------+
| OctetString ...
+-------+-------+-------+-------+
Length Length of the attribute, which MUST be > 4.
> 4でなければならない属性の長さの長さ、。
X-Type END_TIME
X型END_TIME
SubType The following sub types for END_TIME are defined. IANA acts as a registry for END_TIME sub-types as described in section 7, IANA Considerations. Initially, the registry contains the following sub types for END_TIME:
END_TIMEのための次のサブタイプが定義されているサブタイプ。 IANAはセクション7、IANAの考慮事項に記載されているようにEND_TIMEサブタイプのレジストリとして作用します。最初は、レジストリは、END_TIMEのために、次のサブタイプが含まれています。
1 NTP_TIMESTAMP NTP Timestamp Format as defined in RFC 1305.
RFC 1305で定義されている1つのNTP_TIMESTAMP NTPタイムスタンプ形式。
OctetString The OctetString contains the end time.
OctetStringにザ・OctetStringには、終了時刻が含まれています。
RESOURCES is used to define the characteristics of the authorized session. This X-Type may be useful in some scenarios to specify the specific resources authorized to ensure the request fits the authorized specifications.
リソースが許可されたセッションの特性を定義するために使用されます。このX-タイプは、要求が許可仕様に合うことを確認する権限を特定のリソースを指定するには、いくつかのシナリオにおいて有用であり得ます。
+-------+-------+-------+-------+
| Length |X-Type |SubType|
+-------+-------+-------+-------+
| OctetString ...
+-------+-------+-------+-------+
Length Length of the attribute, which MUST be > 4.
> 4でなければならない属性の長さの長さ、。
X-Type RESOURCES
X-タイプのリソース
SubType The following sub-types for RESOURCES are defined. IANA acts as a registry for RESOURCES sub-types as described in section 7, IANA Considerations. Initially, the registry contains the following sub types for RESOURCES:
リソースについては、次のサブタイプが定義されているサブタイプ。 IANAはセクション7、IANAの考慮事項に記載されているようにリソースサブタイプのレジストリとして作用します。最初は、レジストリは、リソースについては、次のサブタイプが含まれています。
1 BANDWIDTH Maximum bandwidth (kbps) authorized.
1 BANDWIDTH最大帯域幅（kbps単位）承認しました。
2 FLOW_SPEC Flow spec specification as defined in RFC 2205.
RFC 2205で定義されるように2 FLOW_SPECフロー仕様書。
3 SDP SDP Media Descriptor as defined in RFC 2327.
3 SDP SDPメディア記述RFC 2327で定義されています。
4 DSCP Differentiated services codepoint as defined in RFC 2474.
RFC 2474で定義されているコードポイント4つのDSCP差別化サービスを提供しています。
OctetString The OctetString contains the resources specification.
OctetStringにはOCTETSTRINGすると、リソースの仕様が含まれています。
In scenarios where a resource specification is required (see Section 5), at least one of the subtypes 1 through 4 (inclusive) MUST be included in every Session Authorization Data Policy Element. Multiple RESOURCE attributes MAY be included if multiple types of resources have been authorized (e.g., DSCP and BANDWIDTH).
リソースの指定が必要とされるシナリオ（セクション5を参照）、1~4（両端を含む）のサブタイプの少なくとも一つは、すべてのセッション承認データポリシー要素に含まれなければなりません。リソースの複数のタイプが（例えば、DSCPおよび帯域幅）を認可されている場合は、複数のリソースの属性が含まれるかもしれません。
The AUTHENTICATION_DATA attribute contains the authentication data of the AUTH_SESSION policy element and signs all the data in the policy element up to the AUTHENTICATION_DATA. If the AUTHENTICATION_DATA attribute has been included in the AUTH_SESSION policy element, it MUST be the last attribute in the list. The algorithm used to compute the authentication data depends on the AUTH_ENT_ID SubType field. See Section 4 entitled Integrity of the AUTH_SESSION policy element.
AUTHENTICATION_DATA属性は、認証AUTH_SESSIONポリシー要素のデータおよび徴候AUTHENTICATION_DATAまでのポリシー要素内のすべてのデータが含まれています。 AUTHENTICATION_DATA属性がAUTH_SESSIONポリシー要素に含まれている場合、それはリストの最後の属性であるに違いありません。認証データを計算するために使用されるアルゴリズムはAUTH_ENT_IDのサブタイプフィールドに依存します。 AUTH_SESSIONポリシー要素の第4節題し整合性を参照してください。
A summary of AUTHENTICATION_DATA attribute format is described below.
AUTHENTICATION_DATA属性形式の概要は以下の通りです。
+-------+-------+-------+-------+
| Length |X-Type |SubType|
+-------+-------+-------+-------+
| OctetString ...
+-------+-------+-------+-------+
Length Length of the attribute, which MUST be > 4.
> 4でなければならない属性の長さの長さ、。
X-Type AUTHENTICATION_DATA
X-Typeでの認証データ
SubType No sub types for AUTHENTICATION_DATA are currently defined. This field MUST be set to 0.
AUTHENTICATION_DATAのためのいかなるサブタイプは、現在定義されていないサブタイプ。このフィールドは0に設定しなければなりません。
OctetString The OctetString contains the authentication data of the AUTH_SESSION.
OctetStringにはOCTETSTRINGことAUTH_SESSIONの認証データが含まれています。
This section describes how to ensure the integrity of the policy element is preserved.
このセクションでは、ポリシー要素の整合性が維持されていることを確認する方法について説明します。
In shared symmetric key environments, the AUTH_ENT_ID MUST be of subtypes: IPV4_ADDRESS, IPV6_ADDRESS, FQDN, ASCII_DN, UNICODE_DN or URI. An example AUTH_SESSION policy element is shown below.
IPV4_ADDRESS、IPV6_ADDRESS、FQDN、ASCII_DN、UNICODE_DN又はURI：共有対称鍵環境では、AUTH_ENT_IDはサブタイプでなければなりません。例えばAUTH_SESSIONポリシー素子を以下に示します。
+--------------+--------------+--------------+--------------+
| Length | P-type = AUTH_SESSION |
+--------------+--------------+--------------+--------------+
| Length |SESSION_ID | zero |
+--------------+--------------+--------------+--------------+
| OctetString (The session identifier) ...
+--------------+--------------+--------------+--------------+
| Length | AUTH_ENT_ID | IPV4_ADDRESS |
+--------------+--------------+--------------+--------------+
| OctetString (The authorizing entity's Identifier) ...
+--------------+--------------+--------------+--------------+
| Length |AUTH DATA. | zero |
+--------------+--------------+--------------+--------------+
| KEY_ID |
+--------------+--------------+--------------+--------------+
| OctetString (Authentication data) ...
+--------------+--------------+--------------+--------------+
This assumes both the Authorizing Entity and the Network router/PDP are provisioned with shared symmetric keys and with policies detailing which algorithm to be used for computing the authentication data along with the expected length of the authentication data for that particular algorithm.
これは認可エンティティとネットワークルータ/ PDPの両方が共有対称鍵を用いて、その特定のアルゴリズムの認証データの予想される長さに沿った認証データを計算するために使用すべきアルゴリズムを詳述ポリシーにプロビジョニングされ前提。
Key maintenance is outside the scope of this document, but AUTH_SESSION implementations MUST at least provide the ability to manually configure keys and their parameters locally. The key used to produce the authentication data is identified by the AUTH_ENT_ID field. Since multiple keys may be configured for a particular AUTH_ENT_ID value, the first 32 bits of the AUTH_DATA field MUST be a key ID to be used to identify the appropriate key. Each key must also be configured with lifetime parameters for the time period within which it is valid as well as an associated cryptographic algorithm parameter specifying the algorithm to be used with the key. At a minimum, all AUTH_SESSION implementations MUST support the HMAC-MD5-128 [RFC-2104], [RFC-1321] cryptographic algorithm for computing the authentication data. New algorithms may be added by the IETF standards process.
主なメンテナンスは、このドキュメントの範囲外ですが、AUTH_SESSIONの実装は、少なくとも手動でローカルキーとそれらのパラメータを設定する機能を提供しなければなりません。認証データを生成するために使用されるキーは、AUTH_ENT_IDフィールドによって識別されます。複数のキーが特定AUTH_ENT_ID値のために構成されてもよいので、AUTH_DATAフィールドの最初の32ビットは適切なキーを識別するために使用される鍵IDでなければなりません。各キーはまた、それが有効である範囲内の時間、ならびにキーで使用するアルゴリズムを指定し、関連する暗号化アルゴリズムパラメータの寿命パラメータを設定する必要があります。最低でも、すべてのAUTH_SESSION実装は認証データを計算するためのHMAC-MD5-128 [RFC-2104]、[RFC-1321]暗号化アルゴリズムをサポートしなければなりません。新しいアルゴリズムは、IETF標準化プロセスによって追加することができます。
It is good practice to regularly change keys. Keys MUST be configurable such that their lifetimes overlap allowing smooth transitions between keys. At the midpoint of the lifetime overlap between two keys, senders should transition from using the current key to the next/longer-lived key. Meanwhile, receivers simply accept any identified key received within its configured lifetime and reject those that are not.
定期的に鍵を変更することをお勧めします。キーは、その寿命がキー間の円滑な移行を可能に重なり合うように構成可能でなければなりません。 2つのキーの間の寿命の重なりの中間点で、送信者は、次の/より長い寿命のキーに現在の鍵を使用してから移行すべきです。一方、受信機は単にその構成寿命内に受信された任意の識別されたキーを受け入れないものを拒否する。
In a Kerberos environment, the AUTH_ENT_ID MUST be of the subtype KRB_PRINCIPAL. The KRB_PRINCIPAL field is defined as the Fully Qualified Kerberos Principal name of the authorizing entity. Kerberos [RFC-1510] authentication uses a trusted third party (the Kerberos Distribution Center - KDC) to provide for authentication of the AUTH_SESSION to a network server. It is assumed that a KDC is present and both host and verifier of authentication information (authorizing entity and router/PDP) implement Kerberos authentication.
Kerberos環境では、AUTH_ENT_IDは、サブタイプKRB_PRINCIPALでなければなりません。 KRB_PRINCIPALフィールドは、認可実体の完全修飾Kerberosプリンシパル名として定義されます。ネットワークサーバにAUTH_SESSIONの認証を提供するために - ケルベロス[RFC-1510]認証は、信頼できる第三者（KDCのKerberos物流センター）を使用しています。 KDCが存在し、両方のホストとの認証情報の検証は、Kerberos認証を実装する（エンティティおよびルータ/ PDPを許可）するものとします。
An example of the Kerberos AUTH_DATA policy element is shown below.
ケルベロスAUTH_DATAポリシーエレメントの例を以下に示します。
+--------------+--------------+--------------+--------------+
| Length | P-type = AUTH_SESSION |
+--------------+--------------+--------------+--------------+
| Length |SESSION_ID | zero |
+--------------+--------------+--------------+--------------+
| OctetString (The session identifier) ...
+--------------+--------------+--------------+--------------+
| Length | AUTH_ENT_ID | KERB_P. |
+--------------+--------------+--------------+--------------+
| OctetString (The principal@realm name) ...
+--------------+--------------+--------------+--------------+
An authorizing entity is configured to construct the AUTH_SESSION policy element that designates use of the Kerberos authentication method (KRB_PRINCIPAL) as defined in RFC 1510. Upon reception of the resource reservation request, the router/PDP contacts the local KDC, with a KRB_AS_REQ message, to request credentials for the authorizing entity (principal@realm). In this request, the client (router/PDP) sends (in cleartext) its own identity and the identity of the server (the authorizing entity taken from the AUTH_ENT_ID field) for which it is requesting credentials. The local KDC responds with these credentials in a KRB_AS_REP message, encrypted in the client's key. The credentials consist of 1) a "ticket" for the server and 2) a temporary encryption key (often called a "session key"). The router/PDP uses the ticket to access the authorizing entity with a KRB_AP_REQ message. The session key (now shared by the router/PDP and the authorizing entity) is used to authenticate the router/PDP, and is used to authenticate the authorizing entity. The session key is an encryption key and is also used to encrypt further communication between the two parties. The authorizing entity responds by sending a concatenated message of a KRB_AP_REP and a KRB_SAFE. The KRB_AP_REP is used to authenticate the authorizing entity. The KRB_SAFE message contains the authentication data in the safe-body field. The authentication data must be either a 16 byte MD5 hash or 20 byte SHA-1 hash of all data in the AUTH_SESSION policy element up to the AUTHENTICATION_DATA (note that when using Kerberos the AUTH_SESSION PE should not include AUTHENTICATION_DATA as this is sent in the KRB_SAFE message). The router/PDP independently computes the hash, and compares it with the received hash in the user-data field of the KRB-SAFE-BODY [RFC-1510].
認可実体は、KRB_AS_REQメッセージで、ルータ/ PDPコンタクトローカルKDC、リソース予約要求を受信すると、RFC 1510で定義されているKerberos認証方式（KRB_PRINCIPAL）の使用を指定AUTH_SESSIONポリシー要素を構成するように構成されています認可実体（プリンシパル@レルム）の資格情報を要求します。この要求では、クライアント（ルータ/ PDP）は、（クリアテキストで）独自のアイデンティティとそれが資格情報を要求されているサーバー（AUTH_ENT_IDフィールドから取得許可エンティティ）の識別情報を送信します。ローカルKDCは、クライアントの鍵で暗号化KRB_AS_REPメッセージにこれらの資格情報で応答します。資格情報は、サーバー用の「チケット」）1で構成されており、2）一時的な暗号化キーは、（多くの場合）、「セッション・キー」と呼ばれます。ルータ/ PDPは、KRB_AP_REQメッセージで認可実体にアクセスするためのチケットを使用しています。 （今ルータ/ PDPと認可実体によって共有される）セッション鍵は、ルータ/ PDPを認証するために使用され、認可実体を認証するために使用されます。セッション鍵は、暗号化鍵であり、また、二者間の更なる通信を暗号化するために使用されます。認可実体はKRB_AP_REPとKRB_SAFEの連結メッセージを送信することで応答します。 KRB_AP_REPは認可実体を認証するために使用されます。 KRB_SAFEメッセージは、安全ボディフィールドに認証データが含まれています。認証データは、Kerberosを使用する場合、これはKRB_SAFEに送信されるようにAUTH_SESSION PEがAUTHENTICATION_DATAを含めるべきではないことに注意して16バイトのMD5ハッシュ、または20バイト（AUTHENTICATION_DATAまでAUTH_SESSIONポリシーエレメント内のすべてのデータのSHA-1ハッシュのいずれかでなければなりませんメッセージ）。ルータ/ PDPは、独立して、ハッシュを計算し、KRB-SAFE-BODY [RFC-1510]のユーザーデータフィールド内の受信したハッシュと比較します。
At a minimum, all AUTH_SESSION implementations using Kerberos MUST support the Kerberos des-cbc-md5 encryption type [RFC-1510] (for encrypted data in tickets and Kerberos messages) and the Kerberos rsa-md5-des checksum type [RFC-1510] (for the KRB_SAFE checksum) checksum. New algorithms may be added by the IETF standards process. Triple-DES encryption is supported in many Kerberos implementations (although not specified in [RFC-1510]), and SHOULD be used over single DES.
最低でも、（チケットおよびケルベロスメッセージ内の暗号化データ用）KerberosのDES-CBC-MD5暗号化タイプ[RFC-1510]をサポートしなければならないKerberosを使用して、すべてのAUTH_SESSION実装およびKerberos RSA-MD5、DESチェックサムタイプ[RFC-1510] （KRB_SAFEチェックサムのための）サム。新しいアルゴリズムは、IETF標準化プロセスによって追加することができます。トリプルDES暗号化は、（[RFC-1510]で指定されていないが）多くのKerberos実装でサポートされ、単一のDES上で使用されるべきです。
For cases where the authorizing entity is in a different realm (i.e., administrative domain, organizational boundary), the router/PDP needs to fetch a cross-realm Ticket Granting Ticket (TGT) from its local KDC. This TGT can be used to fetch authorizing entity tickets from the KDC in the remote realm. Note that for performance considerations, tickets are typically cached for extended periods.
認可実体が異なる領域（すなわち、管理ドメイン、組織境界）にある場合、ルータ/ PDPは、その局所KDCからチケット（TGT）を付与クロスレルムチケットをフェッチする必要があります。このTGTは、リモート分野でKDCからの許可エンティティのチケットを取得するために使用することができます。パフォーマンスを考慮して、チケットは一般的に長期間キャッシュされることに注意してください。
In a public key environment, the AUTH_ENT_ID MUST be of the subtypes: X509_V3_CERT or PGP_CERT. The authentication data is used for authenticating the authorizing entity. An example of the public key AUTH_SESSION policy element is shown below.
公開鍵環境では、AUTH_ENT_IDは、サブタイプでなければなりません：X509_V3_CERTまたはPGP_CERT。認証データは、認可実体を認証するために使用されます。公開鍵AUTH_SESSIONポリシー要素の例を以下に示します。
+--------------+--------------+--------------+--------------+
| Length | P-type = AUTH_SESSION |
+--------------+--------------+--------------+--------------+
| Length |SESSION_ID | zero |
+--------------+--------------+--------------+--------------+
| OctetString (The session identifier) ...
+--------------+--------------+--------------+--------------+
| Length | AUTH_ENT_ID | PGP_CERT |
+--------------+--------------+--------------+--------------+
| OctetString (Authorizing entity Digital Certificate) ...
+--------------+--------------+--------------+--------------+
| Length |AUTH DATA. | zero |
+--------------+--------------+--------------+--------------+
| OctetString (Authentication data) ...
+--------------+--------------+--------------+--------------+
Public key based authentication assumes the following:
公開キーベースの認証には、次のことを前提としています。
- Authorizing entities have a pair of keys (private key and public key).
- 承認エンティティは、鍵のペア（秘密鍵と公開鍵）を持っています。
- Private key is secured with the authorizing entity.
- プライベートキーは、認可実体で固定されています。
- Public keys are stored in digital certificates and a trusted party, certificate authority (CA) issues these digital certificates.
- 公開鍵は、デジタル証明書に格納され、信頼されたパーティは、認証局（CA）は、これらのデジタル証明書を発行します。
- The verifier (PDP or router) has the ability to verify the digital certificate.
- 検証（PDPまたはルータ）は、デジタル証明書を検証する能力を有します。
Authorizing entity uses its private key to generate AUTHENTICATION_DATA. Authenticators (router, PDP) use the authorizing entity's public key (stored in the digital certificate) to verify and authenticate the policy element.
認可エンティティがAUTHENTICATION_DATAを生成するために、その秘密鍵を使用しています。オーセンティケータ（ルータ、PDP）は、ポリシー要素を検証し、認証するために（デジタル証明書に格納されている）認可実体の公開鍵を使用しています。
When the AUTH_ENT_ID is of type X509_V3_CERT, AUTHENTICATION_DATA MUST be generated following these steps:
AUTH_ENT_IDがタイプX509_V3_CERTである場合には、AUTHENTICATION_DATAは、以下の手順に従って生成されなければなりません。
- A Signed-data is constructed as defined in section 5 of CMS [RFC-3369]. A digest is computed on the content (as specified in section 6.1) with a signer-specific message-digest algorithm. The certificates field contains the chain of authorizing entity's X.509 V3 digital certificates. The certificate revocation list is defined in the crls field. The digest output is digitally signed following section 8 of RFC 3447, using the signer's private key.
- CMS [RFC-3369]のセクション5で定義されるように署名されたデータが構成されています。ダイジェストは、署名者固有のメッセージダイジェストアルゴリズムと（セクション6.1で指定されるように）コンテンツに計算されます。証明書フィールドは、エンティティのX.509 V3デジタル証明書を承認のチェーンが含まれています。証明書失効リストは、CRLのフィールドで定義されています。ダイジェスト出力はデジタル署名者の秘密鍵を使用して、RFC 3447のセクション8以下の署名されています。
When the AUTH_ENT_ID is of type X509_V3_CERT, verification MUST be done following these steps:
AUTH_ENT_IDがタイプX509_V3_CERTである場合には、検証は、以下の手順に従って実行する必要があります。
- Parse the X.509 V3 certificate to extract the distinguished name of the issuer of the certificate. - Certification Path Validation is performed as defined in section 6 of RFC 3280. - Parse through the Certificate Revocation list to verify that the received certificate is not listed. - Once the X.509 V3 certificate is validated, the public key of the authorizing entity can be extracted from the certificate. - Extract the digest algorithm and the length of the digested data by parsing the CMS signed-data. - The recipient independently computes the message digest. This message digest and the signer's public key are used to verify the signature value.
- 証明書の発行者の識別名を抽出するために、X.509 v3証明書を解析します。 - RFC 3280のセクション6で定義されるように認証パス検証が行われる - 受信した証明書が表示されていないことを確認するために、証明書失効リストを解析します。 - X.509 v3証明書の有効性が確認されると、認可実体の公開鍵は、証明書から抽出することができます。 - CMSを解析してダイジェストアルゴリズムおよび消化データの長さを抽出し、データに署名しました。 - 受信者は、独立して、メッセージダイジェストを計算します。このメッセージダイジェストと署名者の公開鍵は、署名値を検証するために使用されています。
This verification ensures integrity, non-repudiation and data origin.
この検証は、完全性、否認防止やデータの起源を保証します。
When the AUTH_ENT_ID is of type PGP_CERT, AUTHENTICATION_DATA MUST be generated following these steps:
AUTH_ENT_IDがタイプPGP_CERTである場合には、AUTHENTICATION_DATAは、以下の手順に従って生成されなければなりません。
- AUTHENTICATION_DATA contains a Signature Packet as defined in section 5.2.3 of RFC 2440. In summary:
- 要約するRFC 2440のセクション5.2.3で定義されるようAUTHENTICATION_DATAは、署名パケットが含まれています。
- Compute the hash of all data in the AUTH_SESSION policy element up to the AUTHENTICATION_DATA. - The hash output is digitally signed following section 8 of RFC 3447, using the signer's private key.
- 認証データまでAUTH_SESSIONポリシー要素内のすべてのデータのハッシュを計算します。 - ハッシュ出力は、デジタル署名者の秘密鍵を使用して、RFC 3447のセクション8以下の署名されています。
When the AUTH_ENT_ID is of type PGP_CERT, verification MUST be done following these steps:
AUTH_ENT_IDがタイプPGP_CERTである場合には、検証は、以下の手順に従って実行する必要があります。
- Validate the certificate. - Once the PGP certificate is validated, the public key of the authorizing entity can be extracted from the certificate. - Extract the hash algorithm and the length of the hashed data by parsing the PGP signature packet. - The recipient independently computes the message digest. This message digest and the signer's public key are used to verify the signature value.
- 証明書を検証します。 - PGP証明書が検証されると、認可実体の公開鍵は、証明書から抽出することができます。 - PGP署名パケットを解析して、ハッシュアルゴリズムとハッシュ化データの長さを抽出します。 - 受信者は、独立して、メッセージダイジェストを計算します。このメッセージダイジェストと署名者の公開鍵は、署名値を検証するために使用されています。
This verification ensures integrity, non-repudiation and data origin.
この検証は、完全性、否認防止やデータの起源を保証します。
[RFC-3521] describes a framework in which the AUTH_SESSION policy element may be utilized to transport information required for authorizing resource reservation for media flows. [RFC-3521] introduces 4 different models:
[RFC-3521]はAUTH_SESSIONポリシーエレメントは、メディアフローのためのリソース予約を承認するために必要な情報を搬送するために利用可能なフレームワークを記述する。 [RFC-3521]は4つの異なるモデルが導入されています。
1- the coupled model 2- the associated model with one policy server 3- the associated model with two policy servers 4- the non-associated model.
1-結合モデル-2-オンポリシーサーバ3- 2台のポリシーサーバ4-非関連モデルに関連するモデルに関連するモデル。
The fields that are required in an AUTH SESSION policy element dependent on which of the models is used.
使用されるモデルのどちらに依存AUTHセッションポリシー要素に必要なフィールド。
In the Coupled Model, the only information that MUST be included in the policy element is the SESSION_ID; it is used by the Authorizing Entity to correlate the resource reservation request with the media authorized during session set up. Since the End Host is assumed to be untrusted, the Policy Server SHOULD take measures to ensure that the integrity of the SESSION_ID is preserved in transit; the exact mechanisms to be used and the format of the SESSION_ID are implementation dependent.
結合モデルでは、ポリシー要素に含まれなければならない唯一の情報は、SESSION_IDあります。セットアップセッション中に許可メディアとのリソース予約要求を相関させるために認可エンティティによって使用されます。エンドホストが信頼できないことを想定しているため、ポリシーサーバは、SESSION_IDの整合性が輸送中に保存されていることを確保するための措置を取るべきです。使用する正確なメカニズムおよびSESSION_IDの形式は実装依存です。
In this model, the contents of the AUTH_SESSION policy element MUST include:
このモデルでは、AUTH_SESSIONポリシー要素の内容が含まれている必要があります
- A session identifier - SESSION_ID. This is information that the authorizing entity can use to correlate the resource reservation request with the media authorized during session set up.
- セッション識別子 - SESSION_ID。これは、認可実体が設定セッション中に許可メディアとのリソース予約要求を相関させるために使用できる情報です。
- The identity of the authorizing entity - AUTH_ENT_ID. This information is used by the Edge Router to determine which authorizing entity (Policy Server) should be used to solicit resource policy decisions.
- 認可実体のアイデンティティ - AUTH_ENT_ID。この情報は、リソースの政策決定を勧誘するために使用されるべき許可エンティティ（ポリシーサーバ）を決定するためにエッジルータで使用されています。
In some environments, an Edge Router may have no means for determining if the identity refers to a legitimate Policy Server within its domain. In order to protect against redirection of authorization requests to a bogus authorizing entity, the AUTH_SESSION MUST also include:
アイデンティティがそのドメイン内の正当なポリシーサーバを参照している場合、一部の環境では、エッジルータが決定するための手段を持たないことがあります。偽の認可実体への認証要求のリダイレクトから保護するためには、AUTH_SESSIONも含める必要があります。
- AUTHENTICATION_DATA. This authentication data is calculated over all other fields of the AUTH_SESSION policy element.
- AUTHENTICATION_DATA。この認証データはAUTH_SESSIONポリシー要素の他のすべてのフィールド上で計算されます。
The content of the AUTH_SESSION Policy Element is identical to the associated model with one policy server.
AUTH_SESSIONポリシー要素の内容は、1台のポリシーサーバと関連付けられているモデルと同じです。
In this model, the AUTH_SESSION MUST contain sufficient information to allow the Policy Server to make resource policy decisions autonomously from the authorizing entity. The policy element is created using information about the session by the authorizing entity. The information in the AUTH_SESSION policy element MUST include:
このモデルでは、AUTH_SESSIONは、ポリシーサーバが認可実体から自律的に資源政策決定を行うことが可能にするのに十分な情報を含まなければなりません。ポリシー要素は、認可実体によってセッションに関する情報を使用して作成されます。 AUTH_SESSIONポリシー要素の情報が含まれている必要があります
- Calling party IP address or Identity (e.g., FQDN) - SOURCE_ADDR X-TYPE - Called party IP address or Identity (e.g., FQDN) - DEST_ADDR X-TYPE - The characteristics of (each of) the media stream(s) authorized for this session - RESOURCES X-TYPE - The authorization lifetime - START_TIME X-TYPE - The identity of the authorizing entity to allow for validation of the token in shared symmetric key and Kerberos schemes - AUTH_ENT_ID X-TYPE - The credentials of the authorizing entity in a public-key scheme - AUTH_ENT_ID X-TYPE - Authentication data used to prevent tampering with the AUTH_SESSION policy element - AUTHENTICATION_DATA
- 発信側のIPアドレスまたはID（例えば、FQDN） - SOURCE_ADDR X-TYPE - パーティのIPアドレスまたはアイデンティティと呼ばれる（例えば、FQDN） - dest_addrはX-TYPE - のための認可（それぞれの）メディアストリーム（複数可）の特性このセッション - リソースX-TYPE - 認証の有効期間 - START_TIME X-TYPE - 認可実体のアイデンティティが共有対称鍵とKerberosスキームでトークンの検証を可能にする - AUTH_ENT_ID X-TYPE - で認可実体の資格情報公開鍵方式 - AUTH_ENT_ID X-TYPE - AUTH_SESSIONポリシー要素と改ざんを防止するために使用される認証データ - AUTHENTICATION_DATA
Furthermore, the AUTH_SESSION policy element MAY contain:
さらに、AUTH_SESSIONポリシー要素が含まれる場合があります。
- The lifetime of (each of) the media stream(s) - END_TIME X-TYPE - Calling party port number - SOURCE_ADDR X-TYPE - Called party port number - DEST_ADDR X-TYPE
- （それぞれ）の寿命メディアストリーム（S） - END_TIME X-TYPE - SOURCE_ADDR X-TYPE - - dest_addrはX-TYPE - パーティポート番号着信側のポート番号を呼び出します
All AUTH_SESSION fields MUST match with the resource request. If a field does not match, the request SHOULD be denied.
すべてのAUTH_SESSIONフィールドは、リソースの要求と一致する必要があります。フィールドが一致しない場合、要求は拒否されるべきです。
1. Generate the AUTH_SESSION policy element with the appropriate contents as specified in section 5.
1セクション5で指定されるように適切な内容でAUTH_SESSIONポリシーエレメントを生成します。
2. If authentication is needed, the entire AUTH_SESSION policy element is constructed, excluding the length, type and subtype fields of the AUTH_SESSION field. Note that the message MUST include either a START_TIME or a SESSION_ID (See Section 9), to prevent replay attacks. The output of the authentication algorithm, plus appropriate header information, is appended to the AUTH_SESSION policy element.
2.認証が必要な場合は、全体AUTH_SESSIONポリシー要素がAUTH_SESSIONフィールドの長さ、タイプとサブタイプフィールドを除く、構築されます。メッセージは、リプレイ攻撃を防ぐために、START_TIMEまたはSESSION_ID（セクション9を参照）、のいずれかを含まなければならないことに注意してください。認証アルゴリズムの出力に加え、適切なヘッダ情報は、AUTH_SESSIONポリシー要素に付加されています。
An RSVP message is created as specified in [RFC-2205] with the following modifications.
以下のように変更して、[RFC-2205]で指定されるようにRSVPメッセージが作成されます。
1. RSVP message MUST contain at most one AUTH_SESSION policy element.
1. RSVPメッセージは最大で1つのAUTH_SESSIONポリシー要素で含まれなければなりません。
2. The AUTH SESSION policy element received from the authorizing entity (Section 3.2) MUST be copied without modification into the POLICY DATA object.
2.認可実体（セクション3.2）から受信AUTHセッション・ポリシー・エレメントは、ポリシー・データ・オブジェクトへの変更なしにコピーしなければなりません。
3. POLICY_DATA object (containing the AUTH_SESSION policy element) is inserted in the RSVP message in the appropriate place.
（AUTH_SESSIONポリシーエレメントを含む）3. POLICY_DATAオブジェクトが適切な場所にRSVPメッセージに挿入されています。
RSVP message is processed as specified in [RFC-2205] with following modifications.
[RFC-2205]で指定されるようにRSVPメッセージは、以下のように変更して処理されます。
1. If router is policy aware then it SHOULD send the RSVP message to the PDP and wait for response. If the router is policy unaware then it ignores the policy data objects and continues processing the RSVP message.
1.ルータが認識してポリシーである場合、それはPDPにRSVPメッセージを送信し、応答を待つべきです。ルータがポリシー気付かない場合、それは、ポリシーデータオブジェクトを無視し、RSVPメッセージの処理を継続します。
2. Reject the message if the response from the PDP is negative.
PDPからの応答が否定的である場合2.メッセージを拒否する。
3. Continue processing the RSVP message.
3. RSVPメッセージの処理を続行します。
1. Retrieve the AUTH_SESSION policy element. Check the PE type field and return an error if the identity type is not supported.
1. AUTH_SESSIONポリシー要素を取得します。 PEタイプフィールドをチェックして、アイデンティティタイプがサポートされていない場合はエラーを返します。
2. Verify the message integrity.
2.メッセージの整合性を確認してください。
- Shared symmetric key authentication: The Network router/PDP uses the AUTH_ENT_ID field to consult a table keyed by that field. The table should identify the cryptographic authentication algorithm to be used along with the expected length of the authentication data and the shared symmetric key for the authorizing entity. Verify that the indicated length of the authentication data is consistent with the configured table entry and validate the authentication data.
- 共有対称鍵認証：ネットワークルータ/ PDPは、そのフィールドをキーとするテーブルを参照するAUTH_ENT_IDフィールドを使用しています。テーブルは、認証データと認可実体の共有対称鍵の予想される長さと一緒に使用される暗号化認証アルゴリズムを識別すべきです。認証データの指示された長さが設定テーブルエントリと一致することを確認し、認証データを検証します。
- Public Key: Validate the certificate chain against the trusted Certificate Authority (CA) and validate the message signature using the public key.
- 公開鍵：信頼できる認証局（CA）に対する証明書チェーンを検証し、公開鍵を使ってメッセージの署名を検証します。
- Kerberos Ticket: If the AUTH_ENT_ID is of subtype KRB_PRINCIPAL, Request a ticket for the authorizing entity (principal@realm) from the local KDC. Use the ticket to access the authorizing entity and obtain authentication data for the message.
- Kerberosのチケット：AUTH_ENT_IDは、サブタイプKRB_PRINCIPALである場合、ローカルKDCから認可実体（プリンシパル@レルム）のチケットを要求します。認可エンティティにアクセスし、メッセージのための認証データを取得するためにチケットを使用してください。
3. Once the identity of the authorizing entity and the validity of the service request has been established, the authorizing router/PDP MUST then consult its local policy tables (the contents of which are a local matter) in order to determine whether or not the specific request is authorized. To the extent to which these access control decisions require supplementary information, routers/PDPs MUST ensure that supplementary information is obtained securely. An example of insecure access control decisions would be if the authorizing party relies upon an insecure database (such as DNS or a public LDAP directory) and authorizes with a certificate or an FQDN.
3.認可実体のアイデンティティとサービス要求の妥当性が確立されると、認可ルータ/ PDPは、その後かどうかを決定するために、そのローカルポリシーテーブル（ローカルの問題であるのコンテンツ）を参照する必要があります特定の要求が許可されています。これらのアクセス制御の決定は、補足情報を要求する程度まで、ルータ/ PDPは補足情報が確実に得られることを確実にしなければなりません。認可当事者が（DNSや公共のLDAPディレクトリなど）安全でないデータベースに依存していると証明書またはFQDNを許可した場合、安全でないアクセス制御の決定の例は次のようになります。
4. Verify the requested resources do not exceed the authorized QoS.
4.要求されたリソースは、許可QoSを超えていないことを確認します。
If a PDP fails to verify the AUTH_SESSION policy element then it MUST return a policy control failure (Error Code = 02) to the PEP. The error values are described in [RFC-2205] and [RFC-2750]. Also the PDP SHOULD supply a policy data object containing an AUTH_DATA Policy Element with A-Type=POLICY_ERROR_CODE containing more details on the Policy Control failure [RFC-3182]. If RSVP is being used, the PEP MUST include this Policy Data object in the outgoing RSVP Error message.
PDPはAUTH_SESSIONポリシー要素を検証するために失敗した場合、それはPEPにポリシー制御の失敗（エラーコード= 02）を返さなければなりません。エラー値は、[RFC-2205]と[RFC-2750]に記載されています。また、PDPは=タイプとポリシー制御障害[RFC-3182]に詳細を含むPOLICY_ERROR_CODEをAUTH_DATA方針要素を含むポリシーデータオブジェクトを提供する必要があります。 RSVPを使用している場合、PEPは、発信RSVPエラーメッセージでは、このポリシーのデータオブジェクトを含まなければなりません。
Following the policies outlined in [IANA-CONSIDERATIONS], Standard RSVP Policy Elements (P-type values) are assigned by IETF Consensus action as described in [RFC-2750].
[RFC-2750]に記載されているように[IANA-考察]に概説された方針に従う、標準RSVPポリシー素子（P型値）IETF Consensus動作によって割り当てられます。
P-Type AUTH_SESSION is assigned the value 0x04.
P型AUTH_SESSIONは、値0x04を割り当てられます。
Following the policies outlined in [IANA-CONSIDERATIONS], session authorization attribute types (X-Type)in the range 0-127 are allocated through an IETF Consensus action; X-Type values between 128-255 are reserved for Private Use and are not assigned by IANA.
[IANA-考察]に概説された方針以下、セッション許可は範囲0〜127でタイプ（X-タイプ）属性IETF Consensus動作を通じて割り当てられます。 128-255の間でX-Type値は、私的使用のために予約されており、IANAによって割り当てられていません。
X-Type AUTH_ENT_ID is assigned the value 1. X-Type SESSION_ID is assigned the value 2. X-Type SOURCE_ADDR is assigned the value 3. X-Type DEST_ADDR is assigned the value 4. X-Type START_TIME is assigned the value 5. X-Type END_TIME is assigned the value 6. X-Type RESOURCES is assigned the value 7. X-Type AUTHENTICATION_DATA is assigned the value 8.
X型AUTH_ENT_IDは値1 X型SESSION_ID値4. XタイプSTART_TIMEは値5が割り当てられる割り当てられる2 X型SOURCE_ADDRが値3 X型dest_addrはが割り当てられている値が割り当てられる割り当てられます。値7 X型AUTHENTICATION_DATA値8が割り当てられている割り当てられるX型END_TIMEは値6 X型リソースを割り当てられています。
Following the policies outlined in [IANA-CONSIDERATIONS], AUTH_ENT_ID SubType values in the range 0-127 are allocated through an IETF Consensus action; SubType values between 128-255 are reserved for Private Use and are not assigned by IANA.
[IANA-考察]に概説された方針以下、範囲0〜127でAUTH_ENT_IDサブタイプ値は、IETF Consensus動作を介して割り当てられています。 128-255の間にサブタイプ値は、私的使用のために予約されており、IANAによって割り当てられていません。
AUTH_ENT_ID SubType IPV4_ADDRESS is assigned the value 1. SubType IPV6_ADDRESS is assigned the value 2. SubType FQDN is assigned the value 3. SubType ASCII_DN is assigned the value 4. SubType UNICODE_DN is assigned the value 5. SubType URI is assigned the value 6. SubType KRB_PRINCIPAL is assigned the value 7. SubType X509_V3_CERT is assigned the value 8. SubType PGP_CERT is assigned the value 9.
AUTH_ENT_IDサブタイプIPV4_ADDRESS 2.サブタイプFQDN 3.サブタイプASCII_DN 4.サブタイプUNICODE_DNはURI値6サブタイプを割り当てられている値5サブタイプを割り当てられている値が割り当てられる値が割り当てられた値が割り当てられている1サブタイプIPV6_ADDRESS値が割り当てられていますKRB_PRINCIPALは値7サブタイプX509_V3_CERT 8.サブタイプPGP_CERT値9が割り当てられている値が割り当てられる割り当てられます。
Following the policies outlined in [IANA-CONSIDERATIONS], SOURCE_ADDR SubType values in the range 0-127 are allocated through an IETF Consensus action; SubType values between 128-255 are reserved for Private Use and are not assigned by IANA.
[IANA-考察]に概説された方針以下、範囲0〜127でSOURCE_ADDRサブタイプ値は、IETF Consensus動作を介して割り当てられています。 128-255の間にサブタイプ値は、私的使用のために予約されており、IANAによって割り当てられていません。
SOURCE_ADDR SubType IPV4_ADDRESS is assigned the value 1. SubType IPV6_ADDRESS is assigned the value 2. SubType UDP_PORT_LIST is assigned the value 3. SubType TCP_PORT_LIST is assigned the value 4.
SOURCE_ADDRサブタイプIPV4_ADDRESSは値1サブタイプIPV6_ADDRESS 2.サブタイプUDP_PORT_LIST 3.サブタイプTCP_PORT_LISTは値4が割り当てられている値が割り当てられる値が割り当てられる割り当てられます。
Following the policies outlined in [IANA-CONSIDERATIONS], DEST_ADDR SubType values in the range 0-127 are allocated through an IETF Consensus action; SubType values between 128-255 are reserved for Private Use and are not assigned by IANA.
[IANA-考察]に概説された方針以下、範囲0〜127でdest_addrはサブタイプ値は、IETF Consensus動作を介して割り当てられています。 128-255の間にサブタイプ値は、私的使用のために予約されており、IANAによって割り当てられていません。
DEST_ADDR SubType IPV4_ADDRESS is assigned the value 1. SubType IPV6_ADDRESS is assigned the value 2. SubType UDP_PORT_LIST is assigned the value 3. SubType TCP_PORT_LIST is assigned the value 4.
dest_addrはサブタイプIPV4_ADDRESSは値1サブタイプIPV6_ADDRESS 2.サブタイプUDP_PORT_LIST 3.サブタイプTCP_PORT_LISTは値4が割り当てられている値が割り当てられる値が割り当てられる割り当てられます。
Following the policies outlined in [IANA-CONSIDERATIONS], START_TIME SubType values in the range 0-127 are allocated through an IETF Consensus action; SubType values between 128-255 are reserved for Private Use and are not assigned by IANA.
[IANA-考察]に概説された方針以下、範囲0〜127でSTART_TIMEサブタイプ値は、IETF Consensus動作を介して割り当てられています。 128-255の間にサブタイプ値は、私的使用のために予約されており、IANAによって割り当てられていません。
START_TIME SubType NTP_TIMESTAMP is assigned the value 1.
START_TIMEサブタイプNTP_TIMESTAMPは値1が割り当てられます。
Following the policies outlined in [IANA-CONSIDERATIONS], END_TIME SubType values in the range 0-127 are allocated through an IETF Consensus action; SubType values between 128-255 are reserved for Private Use and are not assigned by IANA.
[IANA-考察]に概説された方針以下、範囲0〜127でEND_TIMEサブタイプ値は、IETF Consensus動作を介して割り当てられています。 128-255の間にサブタイプ値は、私的使用のために予約されており、IANAによって割り当てられていません。
END_TIME SubType NTP_TIMESTAMP is assigned the value 1.
END_TIMEサブタイプNTP_TIMESTAMPは値1が割り当てられます。
Following the policies outlined in [IANA-CONSIDERATIONS], RESOURCES SubType values in the range 0-127 are allocated through an IETF Consensus action; SubType values between 128-255 are reserved for Private Use and are not assigned by IANA.
[IANA-考察]に概説された方針以下、範囲0〜127内のリソースサブタイプ値は、IETF Consensus動作を介して割り当てられています。 128-255の間にサブタイプ値は、私的使用のために予約されており、IANAによって割り当てられていません。
RESOURCES SubType BANDWIDTH is assigned the value 1. SubType FLOW_SPEC is assigned the value 2. SubType SDP is assigned the value 3. SubType DSCP is assigned the value 4.
RESOURCESサブタイプ帯域幅は、1サブタイプFLOW_SPECが値2サブタイプSDPは、3サブタイプDSCP値4が割り当てられている値が割り当てられる割り当てられた値が割り当てられます。
The purpose of this document is to describe a mechanism for session authorization to prevent theft of service.
このドキュメントの目的は、サービスの盗難を防ぐために、セッションの認証のためのメカニズムを説明することです。
Replay attacks MUST be prevented. In the non-associated model, the AUTH_SESSION policy element MUST include a START_TIME field and the Policy Servers MUST support NTP to ensure proper clock synchronization. Failure to ensure proper clock synchronization will allow replay attacks since the clocks of the different network entities may not be in-synch. The start time is used to verify that the request is not being replayed at a later time. In all other models, the SESSION_ID is used by the Policy Server to ensure that the resource request successfully correlates with records of an authorized session. If a AUTH_SESSION is replayed, it MUST be detected by the policy server (using internal algorithms) and the request MUST be rejected.
リプレイ攻撃を防止しなければなりません。非関連したモデルでは、AUTH_SESSIONポリシー要素は、適切なクロック同期を確保するためにNTPをサポートしなければならないSTART_TIMEフィールドおよびポリシーサーバを含まなければなりません。異なるネットワークエンティティのクロックがで、同期ではないかもしれないので、適切なクロック同期がリプレイ攻撃が可能になります確保に失敗しました。開始時間は、要求が後で再生されていないことを確認するために使用されます。他のすべてのモデルでは、SESSION_IDは、リソース要求が正常に認可セッションの記録と相関することを確認するために、ポリシーサーバによって使用されます。 AUTH_SESSIONが再生される場合、それは（内部アルゴリズムを使用して）ポリシーサーバによって検出されなければならないとの要求は拒否されなければなりません。
To ensure that the integrity of the policy element is preserved in untrusted environments, the AUTHENTICATION_DATA attribute MUST be included.
ポリシー要素の整合性が信頼されていない環境で保存されていることを確認するために、AUTHENTICATION_DATA属性を含まなければなりません。
In environments where shared symmetric keys are possible, they should be used in order to keep the AUTH_SESSION policy element size to a strict minimum. This is especially true in wireless environments where the AUTH_SESSION policy element is sent over-the-air. The shared symmetric keys authentication option MUST be supported by all AUTH_SESSION implementations.
共有対称鍵が可能である環境では、それらは厳密最小限にAUTH_SESSIONポリシーエレメントのサイズを維持するために使用されるべきです。これはAUTH_SESSIONポリシー要素が無線で送信された無線環境では特にそうです。共有対称鍵認証オプションは、すべてのAUTH_SESSION実装でサポートしなければなりません。
If shared symmetric keys are not a valid option, the Kerberos authentication mechanism is reasonably well secured and efficient in terms of AUTH_SESSION size. The AUTH_SESSION only needs to contain the principal@realm name of the authorizing entity. This is much more efficient than the PKI authentication option.
共有対称鍵が有効なオプションでない場合は、Kerberos認証メカニズムは、合理的に確保し、AUTH_SESSIONサイズの面で効率的です。 AUTH_SESSIONは唯一認可実体のレルム名@元本を含める必要があります。これは、はるかに効率的PKI認証オプションを超えています。
PKI authentication option provides a high level of security and good scalability, however it requires the presence of credentials in the AUTH_SESSION policy element which impacts its size.
PKI認証オプションは、セキュリティと優れた拡張性の高いレベルを提供し、しかし、それは影響を与え、そのサイズAUTH_SESSIONポリシー要素で資格情報の存在を必要とします。
We would like to thank Francois Audet, Don Wade, Hamid Syed, Kwok Ho Chan and many others for their valuable comments. Special thanks to Eric Rescorla who provided numerous comments and suggestions that improved this document.
私たちは、彼らの貴重なコメントのためにフランソワAudet、ドン・ウェイド、ハミド・サイード、クォックホーちゃんや他の多くに感謝したいと思います。このドキュメントを改善し、多くのコメントや提案を提供エリックレスコラに感謝します。
In addition, we would like to thank S. Yadav, et al., for their efforts on RFC 3182, as this document borrows from their work.
また、私たちは、この文書は彼らの仕事から借りて、RFC 3182に努力するために、S. Yadavがしら感謝したいと思います。
[ASCII] Coded Character Set -- 7-Bit American Standard Code for Information Interchange, ANSI X3.4- 1986.
[ASCII]コード化文字セット - 情報交換のための7ビットの米国標準コード、ANSI 1986 X3.4-。
[X.509-ITU] ITU-T (formerly CCITT) Information technology Open Systems Interconnection - The Directory: Authentication Framework Recommendation X.509 ISO/IEC 9594-8
[X.509-ITU] ITU-T（旧CCITT）情報技術開放型システム間相互接続 - ディレクトリ：認証フレームワーク勧告X.509 ISO / IEC 9594から8
[RFC-1034] Mockapetris, P., "Domain names - concepts and facilities", STD 13, RFC 1034, November 1987.
[RFC-1034] Mockapetris、P.、 "ドメイン名 - 概念と設備"、STD 13、RFC 1034、1987年11月。
[RFC-1305] Mills, D., "Network Time Protocol (Version 3) Specification, Implementation, and Analysis", RFC 1305, March 1992.
[RFC-1305]ミルズ、D.、 "ネットワーク時間プロトコル（バージョン3）仕様、実装、および分析"、RFC 1305、1992年3月。
[RFC-1321] Rivest, R., "The MD5 Message-Digest Algorithm", RFC 1321, April 1992.
[RFC-1321]のRivest、R.、 "MD5メッセージダイジェストアルゴリズム"、RFC 1321、1992年4月。
[RFC-1510] Kohl, J. and C. Neuman, "The Kerberos Network Authentication Service (V5)", RFC 1510, September 1993.
[RFC-1510]コールズ、J.及びC.ノイマン、 "ケルベロスネットワーク認証サービス（V5）"、RFC 1510、1993年9月。
[RFC-2104] Krawczyk, H., Bellare, M. and R. Canetti, "HMAC: Keyed-Hashing for Message Authentication", RFC 2104, February 1997.
[RFC-2104] Krawczyk、H.、ベラー、M。およびR.カネッティ、 "HMAC：メッセージ認証のための鍵付きハッシュ化"、RFC 2104、1997年2月。
[RFC-2119] Bradner, S., "Key words for use in RFCs to Indicate Requirement Levels", BCP 14, RFC 2119, March 1997.
[RFC-2119]ブラドナーの、S.、 "要件レベルを示すためにRFCsにおける使用のためのキーワード"、BCP 14、RFC 2119、1997年3月。
[RFC-2205] Braden, R., Ed., Zhang, L., Berson, S., Herzog, S. and S. Jamin, "Resource ReSerVation Protocol (RSVP) - Version 1 Functional Specification", RFC 2205, September 1997.
[RFC-2205]ブレーデン、R.、エド、チャン、L.、Berson氏、S.、ハーツォグ、S.とS.ヤミン、 "リソース予約プロトコル（RSVP） - バージョン1の機能的な仕様"、RFC 2205、9月1997。
[RFC-2209] Braden, R. and L. Zhang, "Resource ReSerVation Protocol (RSVP) - Version 1 Message Processing Rules", RFC 2209, September 1997.
[RFC-2209]ブレーデン、R.とL.チャン、 "資源予約プロトコル（RSVP） - バージョン1つのメッセージ処理ルール"、RFC 2209、1997年9月。
[RFC-2253] Wahl, M., Kille, S. and T. Howes , "UTF-8 String Representation of Distinguished Names", RFC 2253, December 1997.
[RFC-2253]ワール、M.、Kille、S.とT.ハウズ、 "識別名のUTF-8文字列表現"、RFC 2253、1997年12月。
[RFC-2279] Yergeau, F., "UTF-8, a transformation format of ISO 10646", RFC 2279, January 1998.
[RFC-2279] Yergeau、F.、 "UTF-8、ISO 10646の変換フォーマット"、RFC 2279、1998年1月。
[RFC-2327] Handley, M. and V. Jacobson, "SDP: Session Description Protocol", RFC 2327, October 1998.
[RFC-2327]ハンドリー、M.およびV. Jacobson氏、 "SDP：セッション記述プロトコル"、RFC 2327、1998年10月。
[RFC-2396] Berners-Lee, T., Fielding, R., Masinter, L., "Uniform Resource Identifiers (URI): Generic Syntax", RFC 2396, August 1998.
[RFC-2396]バーナーズ=リー、T.、フィールディング、R.、Masinter、L.、 "統一資源識別子（URI）：一般的な構文"、RFC 2396、1998年8月。
[RFC-2440] Callas, J., Donnerhacke, L., Finney, H. and R. Thayer, "OpenPGP Message Format", RFC 2440, November 1998.
[RFC-2440]カラス、J.、Donnerhacke、L.、フィニー、H.及びR.セイヤー、 "OpenPGPのメッセージフォーマット"、RFC 2440、1998年11月。
[RFC-2474] Nichols, K., Blake, S., Baker, F. and D. Black, "Definition of the Differentiated Services Field (DS Field) in the IPv4 and IPv6 Headers", RFC 2474, December 1998.
[RFC-2474]ニコルズ、K.、ブレイク、S.、ベイカー、F.とD.ブラック、 "IPv4とIPv6ヘッダーの差別化されたサービス分野（DSフィールド）の定義"、RFC 2474、1998年12月。
[RFC-2750] Herzog, S., "RSVP Extensions for Policy Control", RFC 2750, January 2000.
[RFC-2750]ヘルツォーク、S.、 "ポリシー制御のためのRSVP拡張機能"、RFC 2750、2000年1月。
[RFC-2753] Yavatkar, R., Pendarakis, D. and R. Guerin, "A Framework for Policy-based Admission Control RSVP", RFC 2753, January 2000.
[RFC-2753] Yavatkar、R.、Pendarakis、D.とR.ゲラン、 "ポリシーベースのアドミッション制御のRSVPのためのフレームワーク"、RFC 2753、2000年1月。
[RFC-3182] Yadav, S., Yavatkar, R., Pabbati, R., Ford, P., Moore, T., Herzog, S. and R. Hess, "Identity Representation for RSVP", RFC 3182, October 2001
[RFC-3182] Yadavが、S.、Yavatkar、R.、Pabbati、R.、フォード、P.、ムーア、T.、ヘルツォーク、S.とR.ヘス、 "RSVPのID表現"、RFC 3182、10月2001
[RFC-3280] Housley, R., Polk, W., Ford, W. and D. Solo, "Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile", RFC 3280, April 2002.
[RFC-3280] Housley氏、R.、ポーク、W.、フォード、W.およびD.ソロ、 "インターネットX.509公開鍵暗号基盤証明書と証明書失効リスト（CRL）プロフィール"、RFC 3280、2002年4月。
[RFC-3369] Housley, R., "Cryptographic Message Syntax", RFC 3369, August 2002.
[RFC-3369] Housley氏、R.、 "暗号メッセージ構文"、RFC 3369、2002年8月。
[RFC-3447] Jonsson, J. and B. Kaliski, "Public-Key Cryptography Standards (PKCS) #1: RSA Cryptography Specifications Version 2.1", RFC 3447, February 2003.
[RFC-3447]ジョンソン、J.とB. Kaliski、 "公開鍵暗号規格（PKCS）＃1：RSA暗号仕様バージョン2.1"、RFC 3447、2003年2月。
[RFC-3521] Hamer, L.-N., Gage, B. and H. Shieh, "Framework for Session Setup with Media Authorization", RFC 3521, April 2003.
、RFC 3521 [RFC-3521]ハマー、L.-N.、ゲージ、B.およびH. Shieh、 "メディア認証とセッション設定のための枠組み"、2003年4月。
[IANA-CONSIDERATIONS] Alvestrand, H. and T. Narten, "Guidelines for Writing an IANA Considerations Section in RFCs", BCP 26, RFC 2434, October 1998.
[IANA-考察] Alvestrand、H.、およびT. Narten氏、 "RFCsにIANA問題部に書くためのガイドライン"、BCP 26、RFC 2434、1998年10月。
[RFC-3261] Rosenberg, J., Schulzrinne, H., Camarillo, G., Johnston, A., Peterson, J., Sparks, R., Handley, M. and E. Schooler, "SIP: Session Initiation Protocol", RFC 3261, June 2002.
[RFC-3261]ローゼンバーグ、J.、Schulzrinneと、H.、カマリロ、G.、ジョンストン、A.、ピーターソン、J.、スパークス、R.、ハンドレー、M.、およびE.学生、「SIP：セッション開始プロトコル」、RFC 3261、2002年6月。
The IETF takes no position regarding the validity or scope of any intellectual property or other rights that might be claimed to pertain to the implementation or use of the technology described in this document or the extent to which any license under such rights might or might not be available; neither does it represent that it has made any effort to identify any such rights. Information on the IETF's procedures with respect to rights in standards-track and standards-related documentation can be found in BCP-11. Copies of claims of rights made available for publication and any assurances of licenses to be made available, or the result of an attempt made to obtain a general license or permission for the use of such proprietary rights by implementors or users of this specification can be obtained from the IETF Secretariat.
IETFは、そのような権限下で、ライセンスがたりないかもしれない可能性があるためにどの本書または程度に記載されている技術の実装や使用に関係すると主張される可能性があります任意の知的財産やその他の権利の有効性または範囲に関していかなる位置を取りません利用可能。また、そうした権利を特定するために取り組んできたことを表していないん。スタンダードトラックおよび標準関連文書における権利に関するIETFの手続きの情報は、BCP-11に記載されています。権利の主張のコピーは、出版のために利用可能とライセンスの保証が利用できるようにする、または本仕様の実装者または利用者が、そのような所有権の使用のための一般的なライセンスまたは許可を取得するために作られた試みの結果を得ることができますIETF事務局から。
The IETF invites any interested party to bring to its attention any copyrights, patents or patent applications, or other proprietary rights which may cover technology that may be required to practice this standard. Please address the information to the IETF Executive Director.
IETFは、その注意にこの標準を実践するために必要な場合があり技術をカバーすることができる任意の著作権、特許または特許出願、またはその他の所有権を持ってすべての利害関係者を招待します。 IETF専務に情報を扱ってください。
Matt Broda Nortel Networks
マット・Brodaノーテルネットワークス
EMail: mbroda@nortelnetworks.com
メールアドレス：mbroda@nortelnetworks.com
Louis LeVay Nortel Networks
ルイLeVayノーテルネットワークス
EMail: levay@nortelnetworks.com
メールアドレス：levay@nortelnetworks.com
Dennis Beard Nortel Networks
デニス・ビアードノーテルネットワークス
EMail: beardd@nortelnetworks.com
メールアドレス：beardd@nortelnetworks.com
Lawrence Dobranski Nortel Networks
ローレンスDobranskiノーテルネットワークス
EMail: ldobran@nortelnetworks.com
メールアドレス：ldobran@nortelnetworks.com
Louis-Nicolas Hamer Nortel Networks PO Box 3511 Station C Ottawa, Ontario Canada K1Y 4H7
ルイ・ニコラ・ハマーNortel Networksの私書箱3511駅のCオタワ、オンタリオカナダK1Y 4H7
Phone: +1 613.768.3409 EMail: nhamer@nortelnetworks.com
電話：+1 613.768.3409 Eメール：nhamer@nortelnetworks.com
Brett Kosinski Invidi Technologies Edmonton, Alberta Canada T5J 3S4
ブレット・コジンスキー嫉妬テクノロジーズエドモントン、アルバータ州カナダT5J 3S4
EMail: brettk@invidi.com
メールアドレス：brettk@invidi.com
Bill Gage Nortel Networks PO Box 3511 Station C Ottawa, Ontario Canada K1Y 4H7
ビル・ゲージNortel Networksの私書箱3511駅のCオタワ、オンタリオカナダK1Y 4H7
Phone: +1 613.763.4400 EMail: gageb@nortelnetworks.com
電話：+1 613.763.4400 Eメール：gageb@nortelnetworks.com
Hugh Shieh AT&T Wireless 7277 164th Avenue NE Redmond, WA USA 98073-9761
ヒューShieh AT＆Tワイヤレス7277第164アベニューNEレドモンド、ワシントン州98073から9761
Phone: +1 425.580.6898 EMail: hugh.shieh@attws.com
電話：+1 425.580.6898 Eメール：hugh.shieh@attws.com
Copyright (C) The Internet Society (2003). All Rights Reserved.
著作権（C）インターネット協会（2003）。全著作権所有。
This document and translations of it may be copied and furnished to others, and derivative works that comment on or otherwise explain it or assist in its implementation may be prepared, copied, published and distributed, in whole or in part, without restriction of any kind, provided that the above copyright notice and this paragraph are included on all such copies and derivative works. However, this document itself may not be modified in any way, such as by removing the copyright notice or references to the Internet Society or other Internet organizations, except as needed for the purpose of developing Internet standards in which case the procedures for copyrights defined in the Internet Standards process must be followed, or as required to translate it into languages other than English.
この文書とその翻訳は、コピーして他の人に提供し、それ以外についてはコメントまたは派生物は、いかなる種類の制限もなく、全体的にまたは部分的に、準備コピーし、公表して配布することができることを説明したり、その実装を支援することができます、上記の著作権表示とこの段落は、すべてのそのようなコピーや派生物に含まれていることを条件とします。しかし、この文書自体は著作権のための手順はで定義されている場合には、インターネット標準を開発するために必要なものを除き、インターネットソサエティもしくは他のインターネット関連団体に著作権情報や参照を取り除くなど、どのような方法で変更されないかもしれませんインターネット標準化プロセスが続く、または英語以外の言語に翻訳するために、必要に応じなければなりません。
The limited permissions granted above are perpetual and will not be revoked by the Internet Society or its successors or assigns.
上記の制限は永久で、インターネット学会やその後継者や譲渡者によって取り消されることはありません。
This document and the information contained herein is provided on an "AS IS" basis and THE INTERNET SOCIETY AND THE INTERNET ENGINEERING TASK FORCE DISCLAIMS ALL WARRANTIES, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTY THAT THE USE OF THE INFORMATION HEREIN WILL NOT INFRINGE ANY RIGHTS OR ANY IMPLIED WARRANTIES OF MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE.
この文書とここに含まれている情報は、基礎とインターネットソサエティおよびインターネットエンジニアリングタスクフォースはすべての保証を否認し、明示または黙示、その情報の利用がない任意の保証を含むがこれらに限定されない「として、」上に設けられています特定の目的への権利または商品性または適合性の黙示の保証を侵害します。
Acknowledgement
謝辞
Funding for the RFC Editor function is currently provided by the Internet Society.
RFC Editor機能のための基金は現在、インターネット協会によって提供されます。