home *** CD-ROM | disk | FTP | other *** search
/ Internet Info 1997 December / Internet_Info_CD-ROM_Walnut_Creek_December_1997.iso / drafts / draft_ietf_q_t / draft-ietf-snmpv3-acm-01.txt < prev    next >
Text File  |  1997-07-15  |  73KB  |  2,125 lines
  1.  
  2.  
  3.                  View-based Access Control Model for the
  4.                 Simple Network Management Protocol (SNMP)
  5.  
  6.                             14 July 1997
  7.  
  8.  
  9.                              Bert Wijnen
  10.                        IBM T. J. Watson Research
  11.                           wijnen@vnet.ibm.com
  12.  
  13.                             Randy Presuhn
  14.                           BMC Software, Inc.
  15.                            rpresuhn@bmc.com
  16.  
  17.                            Keith McCloghrie
  18.                           Cisco Systems, Inc.
  19.                              kzm@cisco.com
  20.  
  21.  
  22.                     <draft-ietf-snmpv3-acm-01.txt>
  23.  
  24.  
  25.                           Status of this Memo
  26.  
  27. This document is an Internet-Draft.  Internet-Drafts are working
  28. documents of the Internet Engineering Task Force (IETF), its areas,
  29. and its working groups.  Note that other groups may also distribute
  30. working documents as Internet-Drafts.
  31.  
  32. Internet-Drafts are draft documents valid for a maximum of six months
  33. and may be updated, replaced, or obsoleted by other documents at any
  34. time.  It is inappropriate to use Internet- Drafts as reference
  35. material or to cite them other than as ``work in progress.''
  36.  
  37. To learn the current status of any Internet-Draft, please check the
  38. ``1id-abstracts.txt'' listing contained in the Internet- Drafts Shadow
  39. Directories on ds.internic.net (US East Coast), nic.nordu.net (Europe),
  40. ftp.isi.edu (US West Coast), or munnari.oz.au (Pacific Rim).
  41.  
  42.  
  43.                           Abstract
  44.  
  45. This document describes the View-based Access Control Model (ACM) for
  46. use in the SNMP architecture [SNMP-ARCH].  It defines the Elements of
  47. Procedure for applying access control to management information.
  48. This document also includes a MIB for remotely managing the
  49. configuration parameters for this ACM.
  50.  
  51.  
  52.  
  53.  
  54.  
  55.  
  56.  
  57. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page  1]
  58. ^L
  59. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  60.  
  61.  
  62. 0.  Issues and Change Log
  63.  
  64. 0.1.  Issues
  65.   - acknowledgements needs expansion
  66.   - There is a reverse mapping from groupName to securityName, see
  67.     the acmGroupListTable. However, given the amount of object
  68.     we're adding, we may want to remove/postpone this table?
  69.   - reference section must be checked; sync up with other documents
  70.   - Do we need/want the level of detail of errorIndication that
  71.     the isAccessAllowed primitive will return? Those who strongly
  72.     object to the details listed now, better let us know (on the
  73.     mailing list preferably) ASAP.
  74.  
  75. 0.2.  Change Log
  76.  
  77. [version 4.2] - This is the July 14 version.
  78.   - Address comments by Keith:
  79.     - Renumber section 2.4 to 2.5
  80.     - Add new sections 2.4, 2.4.1, 2.4.2 about MIB Views and Subtrees
  81.       and Families,
  82.     - Use some more precise language at various places.
  83.   - Add reference to RFC2119 about use of SHOULD and MUST
  84.   - rename the acmGroupTable to acmSecurityToGroupTable because that
  85.     much better indicates the function of this table.
  86.   - improved the writeup on statusInformation for the isAccessAllowed
  87.     primitive.
  88.   - paginate and generate table of contents
  89.   - posted as I-D <draft-ietf-snmpv3-acm-01.txt> on 15 July
  90.  
  91. [version 4.1] - This is the July 12 version.
  92.   - Adapt to latest list of Primitives/Parameters.
  93.   - Handle comments from co-editor Randy
  94.   - Added the SHOULD "initial" configuration
  95.   - Checked the MIB with SMICng
  96.  
  97. [version 4.0] - This is the July 7 version.
  98.   - Adopt to decisions/comments made are 2nd interim
  99.     - securityName to groupName mapping is in ACM
  100.     - out of the box configurations to be described as SHOULD
  101.     - UTF-8 issue still open, but move to general issue (ARCH)
  102.       where the SnmpAdminString is defined.
  103.     - ACM returns errorIndication based on which the caller
  104.       may increment error counter which may result in a
  105.       Report PDU.
  106.     - No statistics counters are kept in ACM
  107.     - removed viewTable; added acmViewSpinLock
  108.   - Address various comments from co-editors (Randy and Keith)
  109.   - Address comments made on mailing list(s).
  110.  
  111. [version 3.1] - This is the June 18 version.
  112.   - remove old (resolved) issues
  113.  
  114.  
  115.  
  116. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page  2]
  117.  
  118. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  119.  
  120.  
  121.   - list new issues
  122.   - corrections/additions by myself (Bert)
  123.   - corrections based on dbh comments
  124.   - removed change log of before 1st interim meeting.
  125.  
  126. [version 3.0] - this is the first ACM doc (June 12 version).
  127.   - Modifications as agreed at 1st Interim Meeting
  128.     - Make Access Control Module a separate document
  129.     - Use viewName as index instead of an integer
  130.     - add notify_view
  131.     - use SnmpAdminString
  132.   - Other Modification
  133.     - use miId and securityModel
  134.     - add acmGroupTable
  135.     - add/rename Stats counters
  136.  
  137.  
  138.  
  139.  
  140.  
  141.  
  142.  
  143.  
  144.  
  145.  
  146.  
  147.  
  148.  
  149.  
  150.  
  151.  
  152.  
  153.  
  154.  
  155.  
  156.  
  157.  
  158.  
  159.  
  160.  
  161.  
  162.  
  163.  
  164.  
  165.  
  166.  
  167.  
  168.  
  169.  
  170.  
  171.  
  172.  
  173.  
  174.  
  175. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page  3]
  176. ^L
  177. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  178.  
  179.  
  180. 1.  Introduction
  181.  
  182.    The Architecture for describing Internet Management Frameworks
  183.    [SNMP-ARCH] is composed of multiple subsystems:
  184.  
  185.      1) a Message Processing Subsystem,
  186.      2) a Security Subsystem,
  187.      3) an Access Control Subsystem,
  188.  
  189.    Applications make use of the services of these subsystems.
  190.  
  191.    It is important to understand the SNMP architecture and its
  192.    terminology to understand where the View-based Access Control
  193.    Model described in this document fits into the architecture and
  194.    interacts with other subsystems within the architecture.  The
  195.    reader is expected to have read and understood the description and
  196.    terminology of the SNMP architecture, as defined in [SNMP-ARCH].
  197.  
  198.    The Access Control Subsystem of an SNMP engine provides services
  199.    to determine whether access to an object instance is permitted.
  200.  
  201.    An Access Control Model has the responsibility for checking if
  202.    a specific type of access (read, write, notify) to a particular
  203.    object (instance) is allowed.
  204.  
  205.    It is the purpose of this document to define a specific model of
  206.    the Access Control Subsystem, designated the View-based Access
  207.    Control Model.
  208.  
  209.  
  210. 1.2.  Access Control
  211.  
  212.    Access Control occurs (either implicitly or explicitly) in an SNMP
  213.    entity when processing SNMP retrieval or modification request
  214.    messages from another SNMP entity.  For example a Command Responder
  215.    application applies Access Control when processing requests that it
  216.    received from a Command Generator application.  These requests
  217.    include these types of operations: GetRequest, GetNextRequest,
  218.    GetBulkRequest, and SetRequest operations.
  219.  
  220.    Access Control also occurs in an SNMP entity when an SNMP
  221.    notification message is generated (by a Notification Originator
  222.    application).  These notification messages include these types of
  223.    operations: InformRequest and SNMPv2-trap operations.
  224.  
  225.    The View-based Access Control Model defines a set of services that
  226.    an application (such as a Command Responder or a Notification
  227.    Originator application) can use for checking access rights.
  228.    It is the responsibility of the application to make the proper
  229.    service calls for access checking.
  230.  
  231.  
  232.  
  233.  
  234. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page  4]
  235.  
  236. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  237.  
  238.  
  239.  
  240. 1.3.  Local Configuration Datastore
  241.  
  242.    To implement the model described in this document, an SNMP entity
  243.    needs to retain information about access rights and policies.
  244.    This information is part of the SNMP engine's Local Configuration
  245.    Datastore (LCD). See [SNMP-ARCH] for the definition of LCD.
  246.  
  247.    In order to allow an SNMP entity's LCD to be remotely configured,
  248.    portions of the LCD need to be accessible as managed objects.
  249.    A MIB module, the View-based Access Control Model Configuration
  250.    MIB, which defines these managed object types is included in
  251.    this document.
  252.  
  253.  
  254.  
  255.  
  256.  
  257.  
  258.  
  259.  
  260.  
  261.  
  262.  
  263.  
  264.  
  265.  
  266.  
  267.  
  268.  
  269.  
  270.  
  271.  
  272.  
  273.  
  274.  
  275.  
  276.  
  277.  
  278.  
  279.  
  280.  
  281.  
  282.  
  283.  
  284.  
  285.  
  286.  
  287.  
  288.  
  289.  
  290.  
  291.  
  292.  
  293. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page  5]
  294. ^L
  295. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  296.  
  297.  
  298. 2.  Elements of the Model
  299.  
  300.    This section contains definitions to realize the access control
  301.    service provided by the View-based Access Control Model.
  302.  
  303.  
  304. 2.1.  groupName
  305.  
  306.    A groupName identifies a group (set) of zero or more securityNames
  307.    on whose behalf SNMP management objects can be accessed.  A group
  308.    defines the access rights afforded to all securityNames which
  309.    belong to that group.  The combination of a securityModel and a
  310.    securityName maps to at most one group.
  311.  
  312.    The Access Control module assumes that the securityName has already
  313.    been authenticated as needed and provides no further authentication
  314.    of its own.
  315.  
  316.    The View-based Access Control Model uses the securityModel and the
  317.    securityName as inputs to the Access Control module when called to
  318.    check for access rights.  It determines the groupName as a function
  319.    of securityModel and securityName.
  320.  
  321.  
  322. 2.2.  Level of Security (LoS)
  323.  
  324.    Different access rights for members of a group can be defined for
  325.    different Levels of Security.  The LoS identifies the Level of
  326.    Security that will be assumed when checking for access rights.  See
  327.    the SNMP Architecture document [SNMP-ARCH] for a definition of LoS.
  328.  
  329.    The View-based Access Control Model requires the LoS to be passed
  330.    as input to the Access Control module when called to check for
  331.    access rights.
  332.  
  333.  
  334. 2.3.  Contexts
  335.  
  336.    An SNMP context is a collection of management information
  337.    accessible by an SNMP entity.  An item of management information
  338.    may exist in more than one context.  An SNMP entity potentially
  339.    has access to many contexts.  Details about the naming of
  340.    management information can be found in the SNMP Architecture
  341.    document [SNMP-ARCH].
  342.  
  343.    The View-based Access Control Model defines an acmContextTable that
  344.    lists the locally available contexts by contextName.
  345.  
  346.  
  347.  
  348.  
  349.  
  350.  
  351.  
  352. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page  6]
  353. ^L
  354. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  355.  
  356.  
  357. 2.4.  MIB Views and View Families
  358.  
  359.    For security reasons, it is often valuable to be able to restrict
  360.    the access rights of some groups to only a subset of the management
  361.    information in the management domain.  To provide this capability,
  362.    access to a context is via a "MIB view" which details a specific
  363.    set of managed object types (and optionally, the specific instances
  364.    of object types) within that context.  For example, for a given
  365.    context, there will typically always be one MIB view which provides
  366.    access to all management information in that context, and often
  367.    there will be other MIB views each of which contains some subset of
  368.    the information.  So, by providing access rights to a group in
  369.    terms of the particular (subset) MIB view it can access for that
  370.    context, then the group is restricted in the desired manner.
  371.  
  372.    Since managed object types (and their instances) are identified via
  373.    the tree-like naming structure of ISO's OBJECT IDENTIFIERs
  374.    [ISO-ASN.1, RFC1902],  it is convenient to define a MIB view as the
  375.    combination of a set of "view subtrees", where each view subtree is
  376.    a subtree within the managed object naming tree.  Thus, a simple
  377.    MIB view (e.g., all managed objects within the Internet Network
  378.    Management Framework) can be defined as a single view subtree,
  379.    while more complicated MIB views (e.g., all information relevant to
  380.    a particular network interface) can be represented by the union of
  381.    multiple view subtrees.
  382.  
  383.    While any set of managed objects can be described by the union of
  384.    some number of view subtrees, situations can arise that would
  385.    require a very large number of view subtrees.  This could happen,
  386.    for example, when specifying all columns in one conceptual row of a
  387.    MIB table because they would appear in separate subtrees, one per
  388.    column, each with a very similar format.  Because the formats are
  389.    similar, the required set of subtrees can easily be aggregated into
  390.    one structure.  This structure is named a family of view subtrees
  391.    after the set of subtrees that it conceptually represents.  A family
  392.    of view subtrees can either be included or excluded from a MIB view.
  393.  
  394.  
  395. 2.4.1.  View Subtree
  396.  
  397.    A view subtree is the set of all MIB object instances which have a
  398.    common ASN.1 OBJECT IDENTIFIER prefix to their names.  A view
  399.    subtree is identified by the OBJECT IDENTIFIER value which is the
  400.    longest OBJECT IDENTIFIER prefix common to all (potential) MIB
  401.    object instances in that subtree.
  402.  
  403.  
  404. 2.4.2.  ViewTreeFamily
  405.  
  406.    A family of view subtrees is a pairing of an OBJECT IDENTIFIER value
  407.    (called the family name) together with a bit string value (called
  408.  
  409.  
  410.  
  411. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page  7]
  412.  
  413. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  414.  
  415.  
  416.    the family mask).  The family mask indicates which sub-identifiers
  417.    of the associated family name are significant to the family's
  418.    definition.
  419.  
  420.    For each possible managed object instance, that instance belongs to
  421.    a particular ViewTreeFamily if both of the following conditions
  422.    are true:
  423.  
  424.    - the OBJECT IDENTIFIER name of the managed object instance contains
  425.      at least as many sub-identifiers as does the family name, and
  426.  
  427.    - each sub-identifier in the OBJECT IDENTIFIER name of the managed
  428.      object instance matches the corresponding sub-identifier of the
  429.      family name whenever the corresponding bit of the associated
  430.      family mask is non-zero.
  431.  
  432.    When the configured value of the family mask is all ones, the view
  433.    subtree family is identical to the single view subtree identified
  434.    by the family name.
  435.  
  436.    When the configured value of the family mask is shorter than
  437.    required to perform the above test, its value is implicitly
  438.    extended with ones.  Consequently, a view subtree family having a
  439.    family mask of zero length always corresponds to a single view
  440.    subtree.
  441.  
  442.  
  443. 2.5.  Access Policy
  444.  
  445.    The View-based Access Control Model determines the access rights
  446.    of a group (representing zero, one or more securityNames which have
  447.    the same access rights).  For a particular context (contextName) to
  448.    which a group (groupName) has access using a particular Security
  449.    Model (securityModel) and Level of Security (LoS), that group's
  450.    access rights are given by a read-view, a write-view and a
  451.    notify-view.
  452.  
  453.    The read-view represents the set of object instances authorized for
  454.    the group when reading objects.  Reading objects occurs when
  455.    processing a retrieval (for example a GetRequest, GetNextRequest,
  456.    GetBulkRequest) operation.
  457.  
  458.    The write-view represents the set of object instances authorized for
  459.    the group when writing objects.  Writing objects occurs when
  460.    processing a write (for example a Set) operation.
  461.  
  462.    The notify-view represents the set of object instances authorized
  463.    for the group when sending objects in a notification.  This occurs
  464.    when sending a notification (for example an Inform or SNMPv2-Trap).
  465.  
  466.  
  467.  
  468.  
  469.  
  470. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page  8]
  471. ^L
  472. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  473.  
  474.  
  475. 3.  Elements of Procedure
  476.  
  477.    This section describes the procedures followed by an Access Control
  478.    module, that implements the View-based Access Control Model, when
  479.    checking access rights as requested by an application (for example
  480.    a Command Responder or a Notification Originator application).
  481.  
  482.    The abstract service interface primitive is:
  483.  
  484.      statusInformation =             -- success or errorIndication
  485.          isAccessAllowed(
  486.              securityModel           -- Security Model in use
  487.              securityName            -- principal who wants to access
  488.              LoS                     -- Level of Security
  489.              viewType                -- read, write, or notify view
  490.              contextName             -- context containing variableName
  491.              variableName            -- OID for the managed object
  492.              )
  493.  
  494.    Where:
  495.  
  496.      statusInformation
  497.        one of the following:
  498.  
  499.           accessAllowed  - success (and access is granted).
  500.                            a MIB view was found and access is granted.
  501.           notInView      - success (but access is denied).
  502.                            a MIB view was found but access is denied
  503.                            because the variableName is not in the
  504.                            configured MIB view for the specified
  505.                            viewType (e.g. in the relevant entry in the
  506.                            acmAccessTable).
  507.           noSuchView     - failure, no MIB view found because no view
  508.                            configured for specified viewType (e.g. in
  509.                            the relevant entry in the acmAccessTable).
  510.           noSuchContext  - failure, no MIB view found because no entry
  511.                            in the acmContextTable for the specified
  512.                            contextName.
  513.           noGroupName    - failure, no MIB view found because no entry
  514.                            configured in the acmSecurityToGroupTable
  515.                            for the specified combination of
  516.                            securityModel and securityName.
  517.           noAccessEntry  - failure, no MIB view found because no entry
  518.                            configured in the acmAccessTable for the
  519.                            specified combination of contextName,
  520.                            groupName (as found in the
  521.                            acmSecurityToGroupTable based on
  522.                            securityModel and securityName),
  523.                            securityModel and LoS.
  524.           otherError     - failure, an undefined error occurred.
  525.  
  526.  
  527.  
  528.  
  529. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page  9]
  530.  
  531. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  532.  
  533.  
  534.      securityModel
  535.        Security Model under which access is requested.
  536.      securityName
  537.        representing the principal on whose behalf access is requested.
  538.      LoS
  539.        Level of Security under which access is requested.
  540.      viewType
  541.        view to be checked (read, write or notify).
  542.      contextName
  543.        context in which access to variableName is requested.
  544.      variableName
  545.        variable (object instance) to which access is requested.
  546.  
  547.  
  548. 3.1  Processing the isAccessAllowed Service Request
  549.  
  550.    This section describes the procedure followed by an Access Control
  551.    module, that implements the View-based Access Control Model,
  552.    whenever it receives an isAccessAllowed request.
  553.  
  554.    1) The LCD (acmContextTable) is consulted for information about
  555.       the SNMP context identified by the contextName.  If information
  556.       about this SNMP context is absent from the LCD, then an
  557.       errorIndication (noSuchContext) is returned to the calling
  558.       module.
  559.  
  560.    2) The LCD (acmSecurityToGroupTable) is consulted for mapping the
  561.       Security Model (securityModel) and principal (securityName) to a
  562.       group (groupName).  If that information about this combination is
  563.       absent from the LCD, then an errorIndication (noGroupName)
  564.       is returned to the calling module.
  565.  
  566.    3) The LCD (acmAccessTable) is consulted for information about the
  567.       contextName, groupName, securityModel and LoS.  If information
  568.       about this combination is absent from the LCD, then an
  569.       errorIndication (noAccessEntry) is returned to the calling
  570.       module.
  571.  
  572.    4) a) If the viewType is "read", then the read view is used for
  573.          checking access rights.
  574.  
  575.       b) If the viewType is "write", then the write view is used for
  576.          checking access rights.
  577.  
  578.       c) If the viewType is "notify", then the notify view is used
  579.          for checking access rights.
  580.  
  581.    5) a) If there is no view configured for the specified viewType,
  582.          then an errorIndication (noSuchView) is returned to the
  583.          calling module.
  584.  
  585.  
  586.  
  587.  
  588. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 10]
  589.  
  590. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  591.  
  592.  
  593.       b) If the specified variableName (object instance) is not in the
  594.          MIB view (see DESCRIPTION clause for acmViewTreeFamilyTable in
  595.          section 4), then an errorIndication (notInView) is returned
  596.          to the calling module.
  597.  
  598.          Otherwise,
  599.  
  600.       c) The specified variableName is in the MIB view.
  601.          A statusInformation of success (accessAllowed) is returned
  602.          to the calling module.
  603.  
  604.  
  605.  
  606.  
  607.  
  608.  
  609.  
  610.  
  611.  
  612.  
  613.  
  614.  
  615.  
  616.  
  617.  
  618.  
  619.  
  620.  
  621.  
  622.  
  623.  
  624.  
  625.  
  626.  
  627.  
  628.  
  629.  
  630.  
  631.  
  632.  
  633.  
  634.  
  635.  
  636.  
  637.  
  638.  
  639.  
  640.  
  641.  
  642.  
  643.  
  644.  
  645.  
  646.  
  647. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 11]
  648. ^L
  649. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  650.  
  651.  
  652. 4.  Definitions
  653.  
  654. SNMP-VIEW-BASED-ACM-MIB DEFINITIONS ::= BEGIN
  655.  
  656. IMPORTS
  657.     MODULE-COMPLIANCE, OBJECT-GROUP       FROM SNMPv2-CONF
  658.     MODULE-IDENTITY, OBJECT-TYPE,
  659.     snmpModules                           FROM SNMPv2-SMI
  660.     TestAndIncr,
  661.     RowStatus, StorageType                FROM SNMPv2-TC
  662.     SnmpAdminString,
  663.     SnmpLoS,
  664.     SnmpSecurityModel                     FROM SNMP-FRAMEWORK-MIB;
  665.  
  666. snmpAcmMIB      MODULE-IDENTITY
  667.     LAST-UPDATED "9707140000Z"            -- 14 July 1997, midnight
  668.     ORGANIZATION "SNMPv3 Working Group"
  669.     CONTACT-INFO "WG-email:   snmpv3@tis.com
  670.                   Subscribe:  majordomo@tis.com
  671.                               In message body:  subscribe snmpv3
  672.  
  673.                   Chair:      Russ Mundy
  674.                               Trusted Information Systems
  675.                   postal:     3060 Washington Rd
  676.                               Glenwood MD 21738
  677.                               USA
  678.                   email:      mundy@tis.com
  679.                   phone:      +1-301-854-6889
  680.  
  681.                   Co-editor:  Bert Wijnen
  682.                               IBM T.J. Watson Research
  683.                   postal:     Schagen 33
  684.                               3461 GL Linschoten
  685.                               Netherlands
  686.                   email:      wijnen@vnet.ibm.com
  687.                   phone:      +31-348-432-794
  688.  
  689.                   Co-editor:  Randy Presuhn
  690.                               BMC Software, Inc
  691.                   postal:     1190 Saratoga Avenue, Suite 130
  692.                               San Jose, CA  95129-3433
  693.                               USA
  694.                   email:      rpresuhn@bmc.com
  695.                   phone:      +1-408-556-0720
  696.  
  697.                   Co-editor:  Keith McCloghrie
  698.                               Cisco Systems, Inc.
  699.                   postal:     170 West Tasman Drive
  700.                               San Jose, CA  95134-1706
  701.                               USA
  702.                   email:      kzm@cisco.com
  703.  
  704.  
  705.  
  706. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 12]
  707.  
  708. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  709.  
  710.  
  711.                   phone:      +1-408-526-5260
  712.                  "
  713.  
  714.     DESCRIPTION  "The management information definitions for the
  715.                   View-based Access Control Model for SNMP.
  716.                  "
  717.     ::= { snmpModules 10 }    -- to be verified with IANA
  718.  
  719. -- Administrative assignments ****************************************
  720.  
  721. acmMIBObjects      OBJECT IDENTIFIER ::= { snmpAcmMIB 1 }
  722. acmMIBConformance  OBJECT IDENTIFIER ::= { snmpAcmMIB 2 }
  723.  
  724. -- Information about Local Contexts **********************************
  725.  
  726. acmContextTable  OBJECT-TYPE
  727.     SYNTAX       SEQUENCE OF AcmContextEntry
  728.     MAX-ACCESS   not-accessible
  729.     STATUS       current
  730.     DESCRIPTION "The table of locally available contexts. If a context
  731.                  is listed in this table that does not mean that
  732.                  access to this context has been defined in the
  733.                  acmAccessTable. It just means that the context exists
  734.                  and that MIB objects may exist in this context.
  735.  
  736.                  This table must be made accessible via the default
  737.                  context.
  738.  
  739.                  This table is read-only meaning that it cannot be
  740.                  configured via SNMP.
  741.  
  742.                  This table is provides information to SNMP Command
  743.                  Generator applications so they can properly configure
  744.                  the acmAccessTable to control access to all contexts
  745.                  at the SNMP entity that provides access to the
  746.                  information in these contexts.
  747.                 "
  748.     ::= { acmMIBObjects 1 }
  749.  
  750. acmContextEntry  OBJECT-TYPE
  751.     SYNTAX       AcmContextEntry
  752.     MAX-ACCESS   not-accessible
  753.     STATUS       current
  754.     DESCRIPTION "Information about a particular context."
  755.     INDEX       {
  756.                   acmContextName
  757.                 }
  758.     ::= { acmContextTable 1 }
  759.  
  760. AcmContextEntry ::= SEQUENCE
  761.     {
  762.  
  763.  
  764.  
  765. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 13]
  766.  
  767. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  768.  
  769.  
  770.         acmContextName SnmpAdminString
  771.     }
  772.  
  773. acmContextName   OBJECT-TYPE
  774.     SYNTAX       SnmpAdminString (SIZE(0..32))
  775.     MAX-ACCESS   read-only
  776.     STATUS       current
  777.     DESCRIPTION "A human readable name identifying a particular
  778.                  context at a particular SNMP entity.
  779.                 "
  780.     ::= { acmContextEntry 1 }
  781.  
  782. -- Information about Groups ******************************************
  783.  
  784. acmSecurityToGroupTable    OBJECT-TYPE
  785.     SYNTAX       SEQUENCE OF AcmSecurityToGroupEntry
  786.     MAX-ACCESS   not-accessible
  787.     STATUS       current
  788.     DESCRIPTION "The table that maps a combination of securityModel
  789.                  and securityName into a groupName which defines an
  790.                  access control policy for a group of principals.
  791.                 "
  792.     ::= { acmMIBObjects 2 }
  793.  
  794. acmSecurityToGroupEntry OBJECT-TYPE
  795.     SYNTAX       AcmSecurityToGroupEntry
  796.     MAX-ACCESS   not-accessible
  797.     STATUS       current
  798.     DESCRIPTION "An entry in this table maps the combination of a
  799.                  securityModel and securityName into a groupName.
  800.                 "
  801.     INDEX       {
  802.                   acmSecurityModel,
  803.                   acmSecurityName
  804.                 }
  805.     ::= { acmSecurityToGroupTable 1 }
  806.  
  807. AcmSecurityToGroupEntry ::= SEQUENCE
  808.     {
  809.         acmSecurityModel               SnmpSecurityModel,
  810.         acmSecurityName                SnmpAdminString,
  811.         acmGroupName                   SnmpAdminString,
  812.         acmSecurityToGroupStorageType  StorageType,
  813.         acmSecurityToGroupStatus       RowStatus
  814.     }
  815.  
  816. acmSecurityModel OBJECT-TYPE
  817.     SYNTAX       SnmpSecurityModel
  818.     MAX-ACCESS   not-accessible
  819.     STATUS       current
  820.     DESCRIPTION "The Security Model, which is the first index in this
  821.  
  822.  
  823.  
  824. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 14]
  825.  
  826. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  827.  
  828.  
  829.                  table.
  830.                 "
  831.     ::= { acmSecurityToGroupEntry 1 }
  832.  
  833. acmSecurityName  OBJECT-TYPE
  834.     SYNTAX       SnmpAdminString
  835.     MAX-ACCESS   not-accessible
  836.     STATUS       current
  837.     DESCRIPTION "The securityName for a principal represented in a
  838.                  Security Model independent format.
  839.                  Used as a second index in this table.
  840.                 "
  841.     ::= { acmSecurityToGroupEntry 2 }
  842.  
  843. acmGroupName     OBJECT-TYPE
  844.     SYNTAX       SnmpAdminString
  845.     MAX-ACCESS   read-create
  846.     STATUS       current
  847.     DESCRIPTION "The name of the group to which this entry (e.g. the
  848.                  combination of securityModel and securityName)
  849.                  belongs.
  850.  
  851.                  This groupName represents an access control policy
  852.                  and is used as an index in the acmAccessTable.
  853.                 "
  854.     ::= { acmSecurityToGroupEntry 3 }
  855.  
  856. acmSecurityToGroupStorageType OBJECT-TYPE
  857.     SYNTAX       StorageType
  858.     MAX-ACCESS   read-create
  859.     STATUS       current
  860.     DESCRIPTION "The storage type for this conceptual row.
  861.  
  862.                  Conceptual rows having the value 'permanent' need not
  863.                  allow write-access to any columnar objects in the row.
  864.                 "
  865.     DEFVAL      { nonVolatile }
  866.     ::= { acmSecurityToGroupEntry 4 }
  867.  
  868. acmSecurityToGroupStatus   OBJECT-TYPE
  869.     SYNTAX       RowStatus
  870.     MAX-ACCESS   read-create
  871.     STATUS       current
  872.     DESCRIPTION "The status of this conceptual row.
  873.  
  874.                  The value of this object has no effect on whether
  875.                  other objects in this conceptual row can be modified.
  876.                 "
  877.     ::= { acmSecurityToGroupEntry 5 }
  878.  
  879. -- Reverse mapping from groupName into securityName(s) ***************
  880.  
  881.  
  882.  
  883. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 15]
  884.  
  885. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  886.  
  887.  
  888.  
  889. acmGroupListTable OBJECT-TYPE
  890.     SYNTAX       SEQUENCE OF AcmGroupListEntry
  891.     MAX-ACCESS   not-accessible
  892.     STATUS       current
  893.     DESCRIPTION "The acmGroupListTable complements the
  894.                  acmSecurityToGroupTable by providing an efficient
  895.                  means to determine the membership of a given group.
  896.                 "
  897.     ::= { acmMIBObjects 3 }
  898.  
  899. acmGroupListEntry OBJECT-TYPE
  900.     SYNTAX       AcmGroupListEntry
  901.     MAX-ACCESS   not-accessible
  902.     STATUS       current
  903.     DESCRIPTION "An entry in this table corresponds to an entry in the
  904.                  acmSecurityToGroupTable, using acmGroupName as its
  905.                  primary key.
  906.                 "
  907.     INDEX       {
  908.                   acmGroupName,
  909.                   acmSecurityModel,
  910.                   acmSecurityName
  911.                 }
  912.     ::= { acmGroupListTable 1 }
  913.  
  914. AcmGroupListEntry ::= SEQUENCE
  915.     {
  916.         acmGroupListStatus    RowStatus
  917.     }
  918.  
  919. acmGroupListStatus OBJECT-TYPE
  920.     SYNTAX       RowStatus
  921.     MAX-ACCESS   read-only
  922.     STATUS       current
  923.     DESCRIPTION "The status of this conceptual row.
  924.  
  925.                  The value is identical to that of the corresponding
  926.                  acmSecurityToGroupEntry's acmSecurityToGroupStatus.
  927.                 "
  928.     ::= { acmGroupListEntry 1 }
  929.  
  930. -- Information about Access Rights ***********************************
  931.  
  932. acmAccessTable   OBJECT-TYPE
  933.     SYNTAX       SEQUENCE OF AcmAccessEntry
  934.     MAX-ACCESS   not-accessible
  935.     STATUS       current
  936.     DESCRIPTION "The table of group access rights configured in the
  937.                  Local Configuration Datastore (LCD).
  938.  
  939.  
  940.  
  941.  
  942. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 16]
  943.  
  944. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  945.  
  946.  
  947.                  Each entry is indexed by a contextPrefix, a groupName
  948.                  a securityModel and a Level of Security (LoS).  To
  949.                  determine whether access is allowed, one entry from
  950.                  this table needs to be selected and the proper
  951.                  viewName from that entry must be used for access
  952.                  control checking.
  953.  
  954.                  To select the proper entry, first a match must be
  955.                  found for the contextPrefix.  The procedure for this
  956.                  process depends on the value of acmAccessContextMatch:
  957.  
  958.                  - exact
  959.                    In this case, the acmAccessContextPrefix represents
  960.                    an exact contextName, and so the name must match
  961.                    exactly.
  962.  
  963.                  - prefix
  964.                    In this case, the acmAccessContextPrefix represents
  965.                    a prefix of a contextName, so that (a limited form
  966.                    of) wildcarding is possible.  The value of
  967.                    acmAccessContextPrefix must match with the first
  968.                    part of the contextName to which access is
  969.                    requested.
  970.  
  971.                    For example, if an acmAccessContextPrefix value of
  972.                    'repeater' is used, then both contexts named
  973.                    'repeater1' and 'repeater2' are accessible.
  974.  
  975.                  Multiple entries could match. In that case:
  976.  
  977.                  - The entry which has the longest value for
  978.                    acmAccessContextPrefix wins.
  979.  
  980.                    Otherwise, if still no single winner (e.g. multiple
  981.                    entries have the same acmAccessContextPrefix value,
  982.  
  983.                  - The entry which has the value 'exact' for the
  984.                    corresponding acmAccessContextMatch, wins.
  985.  
  986.                    Otherwise, if still no single winner (e.g. multiple
  987.                    entries have a acmAccessContextMatch value 'exact',
  988.  
  989.                  - Then continue.  At the 4th match to make a final
  990.                    winner will be found if there are still multiple
  991.                    entries.
  992.  
  993.                  The second match to make is for the groupName.
  994.                  Here an exact match must be found.
  995.  
  996.                  The 3rd match to make is for the securityModel.
  997.                  Here an exact match must be found. If no such exact
  998.  
  999.  
  1000.  
  1001. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 17]
  1002.  
  1003. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1004.  
  1005.  
  1006.                  match exists, then an entry that has the 'all' value
  1007.                  (see definition of SnmpSecurityModel in [SNMP-ARCH])
  1008.                  for the acmAccessSecurityModel is considered to match.
  1009.  
  1010.                  The 4th match to make is for the LoS.  Here the LoS
  1011.                  at which access is requested must be greater than or
  1012.                  equal to the value of the acmAccessLoS.
  1013.                  If multiple entries are still considered to match,
  1014.                  then the entry which has the lowest value for the
  1015.                  corresponding acmAccessLoS wins.
  1016.                 "
  1017.     ::= { acmMIBObjects 4 }
  1018.  
  1019. acmAccessEntry   OBJECT-TYPE
  1020.     SYNTAX       AcmAccessEntry
  1021.     MAX-ACCESS   not-accessible
  1022.     STATUS       current
  1023.     DESCRIPTION "An access right configured in the Local Configuration
  1024.                  Datastore (LCD) authorizing access to an SNMP context.
  1025.                 "
  1026.     INDEX       { acmAccessContextPrefix,
  1027.                   acmGroupName,
  1028.                   acmSecurityModel,
  1029.                   acmAccessLoS
  1030.                 }
  1031.     ::= { acmAccessTable 1 }
  1032.  
  1033. AcmAccessEntry ::= SEQUENCE
  1034.     {
  1035.         acmAccessContextPrefix    SnmpAdminString,
  1036.         acmAccessLoS              SnmpLoS,
  1037.         acmAccessContextMatch     INTEGER,
  1038.         acmAccessReadViewName     SnmpAdminString,
  1039.         acmAccessWriteViewName    SnmpAdminString,
  1040.         acmAccessNotifyViewName   SnmpAdminString,
  1041.         acmAccessStorageType      StorageType,
  1042.         acmAccessStatus           RowStatus
  1043.     }
  1044.  
  1045. acmAccessContextPrefix OBJECT-TYPE
  1046.     SYNTAX       SnmpAdminString
  1047.     MAX-ACCESS   not-accessible
  1048.     STATUS       current
  1049.     DESCRIPTION "In order to gain the access rights allowed by this
  1050.                  conceptual row, a contextName must match exactly
  1051.                  (if the value of acmAccessContextMatch is 'exact')
  1052.                  or partially (if the value of acmAccessContextMatch
  1053.                  is 'prefix') to the value of the instance of this
  1054.                  object.
  1055.                 "
  1056.     ::= { acmAccessEntry 1 }
  1057.  
  1058.  
  1059.  
  1060. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 18]
  1061.  
  1062. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1063.  
  1064.  
  1065.  
  1066. acmAccessLoS     OBJECT-TYPE
  1067.     SYNTAX       SnmpLoS
  1068.     MAX-ACCESS   not-accessible
  1069.     STATUS       current
  1070.     DESCRIPTION "The minimum level of security required in order to
  1071.                  gain the access rights allowed by this conceptual
  1072.                  row.  An LoS of noAuthNoPriv is lower than authNoPriv
  1073.                  which in turn is lower than authPriv.
  1074.  
  1075.                  If multiple entries are equally indexed except for
  1076.                  this acmAccessLoS index, then the entry which has
  1077.                  the lowest value for acmAccessLoS wins.
  1078.                 "
  1079.     ::= { acmAccessEntry 2 }
  1080.  
  1081. acmAccessContextMatch OBJECT-TYPE
  1082.     SYNTAX       INTEGER
  1083.                 { exact (1), -- exact match of prefix and contextName
  1084.                   prefix (2) -- Only match to the prefix
  1085.                 }
  1086.     MAX-ACCESS   read-create
  1087.     STATUS       current
  1088.     DESCRIPTION "If exact is set, then the value of the index part
  1089.                  acmAccessContextPrefix of this entry in this table
  1090.                  represents a full contextName.
  1091.  
  1092.                  If prefix is set, then the value of the index part
  1093.                  acmAccessContextPrefix of this entry in this
  1094.                  table represents a partial contextName which acts
  1095.                  as a prefix so that a simple form of wildcarding
  1096.                  is possible.
  1097.                 "
  1098.     ::= { acmAccessEntry 3 }
  1099.  
  1100. acmAccessReadViewName OBJECT-TYPE
  1101.     SYNTAX       SnmpAdminString
  1102.     MAX-ACCESS   read-create
  1103.     STATUS       current
  1104.     DESCRIPTION "The value of an instance of this object identifies
  1105.                  the MIB view of the SNMP context to which this
  1106.                  conceptual row authorizes read access.
  1107.  
  1108.                  The identified MIB view is that one for which the
  1109.                  acmViewTreeFamilyViewName has the same value as the
  1110.                  instance of this object; if the value is the empty
  1111.                  string or if there is no active MIB view having this
  1112.                  value of acmViewTreeFamilyViewName, then no access is
  1113.                  granted.
  1114.                 "
  1115.     DEFVAL      { ''H }   -- the empty string
  1116.  
  1117.  
  1118.  
  1119. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 19]
  1120.  
  1121. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1122.  
  1123.  
  1124.     ::= { acmAccessEntry 4 }
  1125.  
  1126. acmAccessWriteViewName OBJECT-TYPE
  1127.     SYNTAX       SnmpAdminString
  1128.     MAX-ACCESS   read-create
  1129.     STATUS       current
  1130.     DESCRIPTION "The value of an instance of this object identifies
  1131.                  the MIB view of the SNMP context to which this
  1132.                  conceptual row authorizes write access.
  1133.  
  1134.                  The identified MIB view is that one for which the
  1135.                  acmViewTreeFamilyViewName has the same value as the
  1136.                  instance of this object; if the value is the empty
  1137.                  string or if there is no active MIB view having this
  1138.                  value of acmViewTreeFamilyViewName, then no access is
  1139.                  granted.
  1140.                 "
  1141.     DEFVAL      { ''H }   -- the empty string
  1142.     ::= { acmAccessEntry 5 }
  1143.  
  1144. acmAccessNotifyViewName OBJECT-TYPE
  1145.     SYNTAX       SnmpAdminString
  1146.     MAX-ACCESS   read-create
  1147.     STATUS       current
  1148.     DESCRIPTION "The value of an instance of this object identifies
  1149.                  the MIB view of the SNMP context to which this
  1150.                  conceptual row authorizes access for notifications.
  1151.  
  1152.                  The identified MIB view is that one for which the
  1153.                  acmViewTreeFamilyViewName has the same value as the
  1154.                  instance of this object; if the value is the empty
  1155.                  string or if there is no active MIB view having this
  1156.                  value of acmViewTreeFamilyViewName, then no access is
  1157.                  granted.
  1158.                 "
  1159.     DEFVAL      { ''H }   -- the empty string
  1160.     ::= { acmAccessEntry 6 }
  1161.  
  1162. acmAccessStorageType OBJECT-TYPE
  1163.     SYNTAX       StorageType
  1164.     MAX-ACCESS   read-create
  1165.     STATUS       current
  1166.     DESCRIPTION "The storage type for this conceptual row.
  1167.  
  1168.                  Conceptual rows having the value 'permanent' need not
  1169.                  allow write-access to any columnar objects in the row.
  1170.                 "
  1171.     DEFVAL      { nonVolatile }
  1172.     ::= { acmAccessEntry 7 }
  1173.  
  1174. acmAccessStatus  OBJECT-TYPE
  1175.  
  1176.  
  1177.  
  1178. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 20]
  1179.  
  1180. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1181.  
  1182.  
  1183.     SYNTAX       RowStatus
  1184.     MAX-ACCESS   read-create
  1185.     STATUS       current
  1186.     DESCRIPTION "The status of this conceptual row.
  1187.  
  1188.                  The value of this object has no effect on whether
  1189.                  other objects in this conceptual row can be modified.
  1190.                 "
  1191.     ::= { acmAccessEntry 8 }
  1192.  
  1193. -- Information about MIB views ***************************************
  1194.  
  1195. -- Support for views having instance-level granularity is optional
  1196.  
  1197. acmMIBViews      OBJECT IDENTIFIER ::= { acmMIBObjects 5 }
  1198.  
  1199. acmViewSpinLock  OBJECT-TYPE
  1200.     SYNTAX       TestAndIncr
  1201.     MAX-ACCESS   read-write
  1202.     STATUS       current
  1203.     DESCRIPTION "An advisory lock used to allow cooperating SNMP
  1204.                  Command Generator applications to coordinate their
  1205.                  use of the Set operation in creating view subtrees.
  1206.  
  1207.                  When creating a new view or altering an existing
  1208.                  view, it is important to understand the potential
  1209.                  interactions with other uses of the view.  The
  1210.                  acmViewSpinLock should be retrieved.  The name of the
  1211.                  view to be created should be determined to be unique
  1212.                  by the SNMP Command Generator application by
  1213.                  consulting the acmViewTreeFamilyTable.  Finally, the
  1214.                  named view may be created (Set), including the
  1215.                  advisory lock.
  1216.                  If another SNMP Command Generator application has
  1217.                  altered the views in the meantime, then the spin
  1218.                  lock's value will have changed, and so this creation
  1219.                  will fail because it will specify the wrong value for
  1220.                  the spin lock.
  1221.  
  1222.                  Since this is an advisory lock, the use of this lock
  1223.                  is not enforced.
  1224.                 "
  1225.     ::= { acmMIBViews 1 }
  1226.  
  1227. acmViewTreeFamilyTable OBJECT-TYPE
  1228.     SYNTAX       SEQUENCE OF AcmViewTreeFamilyEntry
  1229.     MAX-ACCESS   not-accessible
  1230.     STATUS       current
  1231.     DESCRIPTION "Locally held information about families of subtrees
  1232.                  within MIB views.
  1233.  
  1234.  
  1235.  
  1236.  
  1237. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 21]
  1238.  
  1239. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1240.  
  1241.  
  1242.                  Each MIB view is defined by two sets of view subtrees:
  1243.                    - the included view subtrees, and
  1244.                    - the excluded view subtrees.
  1245.                  Every such view subtree, both included and excluded,
  1246.                  is defined in this table.
  1247.  
  1248.                  To determine if a particular object instance is in
  1249.                  a particular MIB view, compare the object instance's
  1250.                  OBJECT IDENTIFIER with each of the MIB view's active
  1251.                  entries in this table.  If none match, then the
  1252.                  object instance is not in the MIB view.  If one or
  1253.                  more match, then the object instance is included in,
  1254.                  or excluded from, the MIB view according to the
  1255.                  value of acmViewTreeFamilyType in the entry whose
  1256.                  value of acmViewTreeFamilySubtree has the most
  1257.                  sub-identifiers.  If multiple entries match and have
  1258.                  the same number of sub-identifiers, then the
  1259.                  lexicographically greatest instance of
  1260.                  acmViewTreeFamilyType determines the inclusion or
  1261.                  exclusion.
  1262.  
  1263.                  An object instance's OBJECT IDENTIFIER X matches an
  1264.                  active entry in this table when the number of
  1265.                  sub-identifiers in X is at least as many as in the
  1266.                  value of acmViewTreeFamilySubtree for the entry, and
  1267.                  each sub-identifier in the value of
  1268.                  acmViewTreeFamilySubtree matches its corresponding
  1269.                  sub-identifier in X.  Two sub-identifiers match
  1270.                  either if the corresponding bit of the value of
  1271.                  acmViewTreeFamilyMask for the entry is zero (the
  1272.                  'wild card' value), or if they are equal.
  1273.  
  1274.                  A 'family' of subtrees is the set of subtrees defined
  1275.                  by a particular combination of values of
  1276.                  acmViewTreeFamilySubtree and acmViewTreeFamilyMask.
  1277.                  In the case where no 'wild card' is defined in the
  1278.                  acmViewTreeFamilyMask, the family of subtrees reduces
  1279.                  to a single subtree.
  1280.  
  1281.                  When an SNMP Command Generator application wants to
  1282.                  create a new MIB view, then it should first obtain
  1283.                  the value of the advisory spin lock and a list of
  1284.                  existing named views.  It then selects a new
  1285.                  non-existing index-value (viewName) for
  1286.                  acmViewTreeFamilyViewName.  The SNMP Command Generator
  1287.                  application can then start creating entries in the
  1288.                  acmViewTreeFamilyTable.  It should include the
  1289.                  advisory lock in the Set Operation to ensure that an
  1290.                  other such application has not in the meanwhile
  1291.                  created new entries with a new (possibly colliding)
  1292.                  viewName in this table.
  1293.  
  1294.  
  1295.  
  1296. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 22]
  1297.  
  1298. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1299.  
  1300.  
  1301.  
  1302.                  When creating MIB views, it is strongly advised that
  1303.                  first the 'excluded' acmViewTreeFamilyEntries are
  1304.                  created and then the 'included' entries.
  1305.  
  1306.                  When deleting MIB views, it is strongly advised that
  1307.                  first the 'included' acmViewTreeFamilyEntries are
  1308.                  deleted and then the 'excluded' entries.
  1309.                 "
  1310.     ::= { acmMIBViews 2 }
  1311.  
  1312. acmViewTreeFamilyEntry OBJECT-TYPE
  1313.     SYNTAX       AcmViewTreeFamilyEntry
  1314.     MAX-ACCESS   not-accessible
  1315.     STATUS       current
  1316.     DESCRIPTION "Information on a particular family of view subtrees
  1317.                  included in or excluded from a particular SNMP
  1318.                  context's MIB view.
  1319.  
  1320.                  Implementations must not restrict the number of
  1321.                  families of view subtrees for a given MIB view,
  1322.                  except as dictated by resource constraints on the
  1323.                  overall number of entries in the
  1324.                  acmViewTreeFamilyTable.
  1325.  
  1326.                  The value of acmViewTreeFamilyViewName in the INDEX
  1327.                  clause of this table identifies the MIB view in which
  1328.                  this subtree family exists.
  1329.  
  1330.                  A MIB view (viewName) for which there are no
  1331.                  conceptual rows in this table is the empty set of
  1332.                  view subtrees.
  1333.                 "
  1334.     INDEX       { acmViewTreeFamilyViewName,
  1335.                   acmViewTreeFamilySubtree
  1336.                 }
  1337.     ::= { acmViewTreeFamilyTable 1 }
  1338.  
  1339. AcmViewTreeFamilyEntry ::= SEQUENCE
  1340.     {
  1341.         acmViewTreeFamilyViewName     SnmpAdminString,
  1342.         acmViewTreeFamilySubtree      OBJECT IDENTIFIER,
  1343.         acmViewTreeFamilyMask         OCTET STRING,
  1344.         acmViewTreeFamilyType         INTEGER,
  1345.         acmViewTreeFamilyStorageType  StorageType,
  1346.         acmViewTreeFamilyStatus       RowStatus
  1347.     }
  1348.  
  1349. acmViewTreeFamilyViewName OBJECT-TYPE
  1350.     SYNTAX       SnmpAdminString
  1351.     MAX-ACCESS   not-accessible
  1352.  
  1353.  
  1354.  
  1355. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 23]
  1356.  
  1357. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1358.  
  1359.  
  1360.     STATUS       current
  1361.     DESCRIPTION "The human readable name for a family of view subtrees.
  1362.                 "
  1363.     ::= { acmViewTreeFamilyEntry 1 }
  1364.  
  1365. acmViewTreeFamilySubtree OBJECT-TYPE
  1366.     SYNTAX       OBJECT IDENTIFIER
  1367.     MAX-ACCESS   not-accessible
  1368.     STATUS       current
  1369.     DESCRIPTION "The MIB subtree which when combined with the
  1370.                  corresponding instance of acmViewTreeFamilyMask
  1371.                  defines a family of view subtrees.
  1372.                 "
  1373.     ::= { acmViewTreeFamilyEntry 2 }
  1374.  
  1375. acmViewTreeFamilyMask OBJECT-TYPE
  1376.     SYNTAX       OCTET STRING (SIZE (0..16))
  1377.     MAX-ACCESS   read-create
  1378.     STATUS       current
  1379.     DESCRIPTION "The bit mask which, in combination with the
  1380.                  corresponding instance of acmViewTreeFamilySubtree,
  1381.                  defines a family of view subtrees.
  1382.  
  1383.                  Each bit of this bit mask corresponds to a
  1384.                  sub-identifier of acmViewTreeFamilySubtree, with the
  1385.                  most significant bit of the i-th octet of this octet
  1386.                  string value (extended if necessary, see below)
  1387.                  corresponding to the (8*i - 7)-th sub-identifier, and
  1388.                  the least significant bit of the i-th octet of this
  1389.                  octet string corresponding to the (8*i)-th
  1390.                  sub-identifier, where i is in the range 1 through 16.
  1391.  
  1392.                  Each bit of this bit mask specifies whether or not
  1393.                  the corresponding sub-identifiers must match when
  1394.                  determining if an OBJECT IDENTIFIER is in this
  1395.                  family of view subtrees; a '1' indicates that an
  1396.                  exact match must occur; a '0' indicates 'wild card',
  1397.                  i.e., any sub-identifier value matches.
  1398.  
  1399.                  Thus, the OBJECT IDENTIFIER X of an object instance
  1400.                  is contained in a family of view subtrees if, for
  1401.                  each sub-identifier of the value of
  1402.                  acmViewTreeFamilySubtree, either:
  1403.  
  1404.                    the i-th bit of acmViewTreeFamilyMask is 0, or
  1405.  
  1406.                    the i-th sub-identifier of X is equal to the i-th
  1407.                    sub-identifier of the value of
  1408.                    acmViewTreeFamilySubtree.
  1409.  
  1410.                  If the value of this bit mask is M bits long and
  1411.  
  1412.  
  1413.  
  1414. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 24]
  1415.  
  1416. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1417.  
  1418.  
  1419.                  there are more than M sub-identifiers in the
  1420.                  corresponding instance of acmViewTreeFamilySubtree,
  1421.                  then the bit mask is extended with 1's to be the
  1422.                  required length.
  1423.  
  1424.                  Note that when the value of this object is the
  1425.                  zero-length string, this extension rule results in
  1426.                  a mask of all-1's being used (i.e., no 'wild card'),
  1427.                  and the family of view subtrees is the one view
  1428.                  subtree uniquely identified by the corresponding
  1429.                  instance of acmViewTreeFamilySubtree.
  1430.                 "
  1431.     DEFVAL      { ''H }
  1432.     ::= { acmViewTreeFamilyEntry 3 }
  1433.  
  1434. acmViewTreeFamilyType OBJECT-TYPE
  1435.     SYNTAX       INTEGER  { included(1), excluded(2) }
  1436.     MAX-ACCESS   read-create
  1437.     STATUS       current
  1438.     DESCRIPTION "The indication of whether the corresponding instances
  1439.                  of acmViewTreeFamilySubtree and acmViewTreeFamilyMask
  1440.                  define a family of view subtrees which is included in
  1441.                  or excluded from the MIB view.
  1442.                 "
  1443.     DEFVAL      { included }
  1444.     ::= { acmViewTreeFamilyEntry 4 }
  1445.  
  1446. acmViewTreeFamilyStorageType OBJECT-TYPE
  1447.     SYNTAX       StorageType
  1448.     MAX-ACCESS   read-create
  1449.     STATUS       current
  1450.     DESCRIPTION "The storage type for this conceptual row.
  1451.  
  1452.                  Conceptual rows having the value 'permanent' need not
  1453.                  allow write-access to any columnar objects in the row.
  1454.                 "
  1455.     DEFVAL      { nonVolatile }
  1456.     ::= { acmViewTreeFamilyEntry 5 }
  1457.  
  1458. acmViewTreeFamilyStatus OBJECT-TYPE
  1459.     SYNTAX       RowStatus
  1460.     MAX-ACCESS   read-create
  1461.     STATUS       current
  1462.     DESCRIPTION "The status of this conceptual row.
  1463.  
  1464.                  The value of this object has no effect on whether
  1465.                  other objects in this conceptual row can be modified.
  1466.                 "
  1467.     ::= { acmViewTreeFamilyEntry 6 }
  1468.  
  1469. -- Conformance information *******************************************
  1470.  
  1471.  
  1472.  
  1473. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 25]
  1474.  
  1475. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1476.  
  1477.  
  1478.  
  1479. acmMIBCompliances  OBJECT IDENTIFIER ::= { acmMIBConformance 1 }
  1480. acmMIBGroups       OBJECT IDENTIFIER ::= { acmMIBConformance 2 }
  1481.  
  1482. -- Compliance statements *********************************************
  1483.  
  1484. acmMIBCompliance MODULE-COMPLIANCE
  1485.     STATUS       current
  1486.     DESCRIPTION "The compliance statement for SNMP engines which
  1487.                  implement the SNMP View-based Access Control Model
  1488.                  configuration MIB.
  1489.                 "
  1490.     MODULE -- this module
  1491.         MANDATORY-GROUPS { acmBasicGroup }
  1492.  
  1493.         OBJECT        acmAccessContextMatch
  1494.         MIN-ACCESS    read-only
  1495.         DESCRIPTION  "Write access is not required."
  1496.  
  1497.         OBJECT        acmAccessReadViewName
  1498.         MIN-ACCESS    read-only
  1499.         DESCRIPTION  "Write access is not required."
  1500.  
  1501.         OBJECT        acmAccessWriteViewName
  1502.         MIN-ACCESS    read-only
  1503.         DESCRIPTION  "Write access is not required."
  1504.  
  1505.         OBJECT        acmAccessNotifyViewName
  1506.         MIN-ACCESS    read-only
  1507.         DESCRIPTION  "Write access is not required."
  1508.  
  1509.         OBJECT        acmAccessStorageType
  1510.         MIN-ACCESS    read-only
  1511.         DESCRIPTION  "Write access is not required."
  1512.  
  1513.         OBJECT        acmAccessStatus
  1514.         MIN-ACCESS    read-only
  1515.         DESCRIPTION  "Create access to the acmAccessTable
  1516.                       is not required.
  1517.                      "
  1518.  
  1519.         OBJECT        acmViewTreeFamilyMask
  1520.         WRITE-SYNTAX  OCTET STRING (SIZE (0))
  1521.         MIN-ACCESS    read-only
  1522.         DESCRIPTION  "Support for configuration via SNMP of subtree
  1523.                       families using wild-cards is not required.
  1524.                      "
  1525.  
  1526.         OBJECT        acmViewTreeFamilyType
  1527.         MIN-ACCESS    read-only
  1528.         DESCRIPTION  "Write access is not required."
  1529.  
  1530.  
  1531.  
  1532. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 26]
  1533.  
  1534. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1535.  
  1536.  
  1537.  
  1538.         OBJECT        acmViewTreeFamilyStorageType
  1539.         MIN-ACCESS    read-only
  1540.         DESCRIPTION  "Write access is not required."
  1541.  
  1542.         OBJECT        acmViewTreeFamilyStatus
  1543.         MIN-ACCESS    read-only
  1544.         DESCRIPTION  "Create access to the acmViewTreeFamilyTable
  1545.                       is not required.
  1546.                      "
  1547.     ::= { acmMIBCompliances 1 }
  1548.  
  1549. -- Units of conformance **********************************************
  1550.  
  1551. acmBasicGroup OBJECT-GROUP
  1552.     OBJECTS {
  1553.               acmContextName,
  1554.               acmGroupName,
  1555.               acmSecurityToGroupStorageType,
  1556.               acmSecurityToGroupStatus,
  1557.               acmGroupListStatus,
  1558.               acmAccessContextMatch,
  1559.               acmAccessReadViewName,
  1560.               acmAccessWriteViewName,
  1561.               acmAccessNotifyViewName,
  1562.               acmAccessStorageType,
  1563.               acmAccessStatus,
  1564.               acmViewSpinLock,
  1565.               acmViewTreeFamilyMask,
  1566.               acmViewTreeFamilyType,
  1567.               acmViewTreeFamilyStorageType,
  1568.               acmViewTreeFamilyStatus
  1569.             }
  1570.     STATUS       current
  1571.     DESCRIPTION "A collection of objects providing for remote
  1572.                  configuration of an SNMP engine which implements
  1573.                  the SNMP View-based Access Control Model (ACM).
  1574.                 "
  1575.     ::= { acmMIBGroups 1 }
  1576.  
  1577. END
  1578.  
  1579.  
  1580.  
  1581.  
  1582.  
  1583.  
  1584.  
  1585.  
  1586.  
  1587.  
  1588.  
  1589.  
  1590.  
  1591. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 27]
  1592. ^L
  1593. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1594.  
  1595.  
  1596. 5.  Security Considerations
  1597.  
  1598.  
  1599. 5.1.  Recommended Practices
  1600.  
  1601.    This document is meant for use in the SNMP architecture.  The
  1602.    View-based Access Control Model (ACM) described in this document
  1603.    checks access rights to management information based on:
  1604.  
  1605.    - contextName, representing a set of management information at the
  1606.      managed system where the Access Control module is running.
  1607.    - groupName, representing a group or set of zero, one or more
  1608.      securityNames.  The combination of a securityModel and a
  1609.      securityName is mapped into a group in the View-based Access
  1610.      Control Model.
  1611.    - securityModel used for the transmission of an SNMP message.
  1612.    - Level of Security (LoS) used for the transmission of an SNMP
  1613.      message.
  1614.    - operation performed on the management information.
  1615.    - MIB views for read, write or notify access.
  1616.  
  1617.    When the User-based Access Control module (ACM) is called for
  1618.    checking access rights, it is assumed that the calling module has
  1619.    ensured the authentication and privacy aspects as specified by the
  1620.    Level of Security (LoS) that is being passed.
  1621.  
  1622.  
  1623. 5.2.  Defining Groups
  1624.  
  1625.    The groupNames are used to give access to a group of zero, one or
  1626.    more securityNames.  Within the ACM, a groupName is considered to
  1627.    exist if that groupName is listed in the acmSecurityToGroupTable.
  1628.    By mapping the combination of a securityModel and securityName into
  1629.    a groupName, an SNMP Command Generator application can add/delete
  1630.    securityNames to/from a group, that is if proper access is allowed.
  1631.  
  1632.  
  1633. 5.3.  Conformance
  1634.  
  1635.    For an implementation of the View-based Access Control Model to be
  1636.    conformant, it MUST implement the SNMP-VIEW-BASED-ACM-MIB.  It also
  1637.    SHOULD [RFC2119] implement the initial configuration, described in
  1638.    appendix A.
  1639.  
  1640.  
  1641.  
  1642.  
  1643.  
  1644.  
  1645.  
  1646.  
  1647.  
  1648.  
  1649.  
  1650. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 28]
  1651. ^L
  1652. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1653.  
  1654.  
  1655. 6.  Editor's Addresses
  1656.  
  1657.    Co-editor:  Bert Wijnen
  1658.                IBM T. J. Watson Research
  1659.    postal:     Schagen 33
  1660.                3461 GL Linschoten
  1661.                Netherlands
  1662.    email:      wijnen@vnet.ibm.com
  1663.    phone:      +31-348-432-794
  1664.  
  1665.    Co-editor:  Randy Presuhn
  1666.                BMC Software, Inc
  1667.    postal:     1190 Saratoga Avenue, Suite 130
  1668.                San Jose, CA  95129-3433
  1669.                USA
  1670.    email:      rpresuhn@bmc.com
  1671.    phone:      +1-408-556-0720
  1672.  
  1673.    Co-editor:  Keith McCloghrie
  1674.                Cisco Systems, Inc.
  1675.    postal:     170 West Tasman Drive
  1676.                San Jose, CA  95134-1706
  1677.                USA
  1678.    email:      kzm@cisco.com
  1679.    phone:      +1-408-526-5260
  1680.  
  1681.  
  1682. 7.  Acknowledgements
  1683.  
  1684. This document describes the work of the SNMP Security and
  1685. Administrative Framework Evolution team, comprised of
  1686.  
  1687.     David Harrington (Cabletron Systems Inc.)
  1688.     Jeff Johnson (Cisco)
  1689.     David Levi (SNMP Research Inc.)
  1690.     John Linn (Openvision)
  1691.     Russ Mundy (Trusted Information Systems) chair
  1692.     Shawn Routhier (Epilogue)
  1693.     Glenn Waters (Nortel)
  1694.     Bert Wijnen (IBM T. J. Watson Research)
  1695.  
  1696.  
  1697.  
  1698.  
  1699.  
  1700.  
  1701.  
  1702.  
  1703.  
  1704.  
  1705.  
  1706.  
  1707.  
  1708.  
  1709. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 29]
  1710. ^L
  1711. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1712.  
  1713.  
  1714. 8.  References
  1715.  
  1716. [RFC1902] The SNMPv2 Working Group, Case, J., McCloghrie, K.,
  1717.      Rose, M., and S., Waldbusser, "Structure of Management
  1718.      Information for Version  2 of the Simple Network Management
  1719.      Protocol (SNMPv2)", RFC 1905, January 1996.
  1720.  
  1721. [RFC1905] The SNMPv2 Working Group, Case, J., McCloghrie, K.,
  1722.      Rose, M., and S., Waldbusser, "Protocol Operations for
  1723.      Version 2 of the Simple Network Management Protocol (SNMPv2)",
  1724.      RFC 1905, January 1996.
  1725.  
  1726. [RFC1906] The SNMPv2 Working Group, Case, J., McCloghrie, K.,
  1727.      Rose, M., and S. Waldbusser, "Transport Mappings for
  1728.      Version 2 of the Simple Network Management Protocol (SNMPv2)",
  1729.      RFC 1906, January 1996.
  1730.  
  1731. [RFC1907] The SNMPv2 Working Group, Case, J., McCloghrie, K.,
  1732.      Rose, M., and S. Waldbusser, "Management Information Base for
  1733.      Version 2 of the Simple Network Management Protocol (SNMPv2)",
  1734.      RFC 1907, January 1996.
  1735.  
  1736. [RFC1908] The SNMPv2 Working Group, Case, J., McCloghrie, K.,
  1737.      Rose, M., and S. Waldbusser, "Coexistence between Version 1
  1738.      and Version 2 of the Internet-standard Network Management
  1739.      Framework", RFC 1908, January 1996.
  1740.  
  1741. [RFC2119] Network Working Group, Bradner, S., "Key words for use in
  1742.      RFCs to Indicate Requirement Levels", RFC 2119, March 1997.
  1743.  
  1744. [SNMP-ARCH] The SNMPv3 Working Group, Harrington, D., Wijnen, B.,
  1745.      "An Architecture for describing Internet Management Frameworks",
  1746.      draft-ietf-snmpv3-next-gen-arch-02.txt, June 1997.
  1747.  
  1748. [SNMPv3-MPC] The SNMPv3 Working Group, Wijnen, B., Harrington, D.,
  1749.      "Message Processing and Control Model for version 3 of the Simple
  1750.      Network Management Protocol (SNMPv3)",
  1751.      draft-ietf-snmpv3-mpc-00.txt, July 1997.
  1752.  
  1753. [SNMPv3-USM] The SNMPv3 Working Group, Blumenthal, U., Wijnen, B.,
  1754.      "The User-Based Security Model for Version 3 of the Simple
  1755.      Network Management Protocol (SNMPv3)",
  1756.      draft-ietf-snmpv3-usm-00.txt, July 1997.
  1757.  
  1758. [ISO-ASN.1] Information processing systems - Open Systems
  1759.      Interconnection - Specification of Abstract Syntax Notation One
  1760.      (ASN.1), International Organization for Standardization.
  1761.      International Standard 8824, (December, 1987).
  1762.  
  1763.  
  1764.  
  1765.  
  1766.  
  1767.  
  1768. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 30]
  1769. ^L
  1770. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1771.  
  1772.  
  1773. APPENDIX A - Installation
  1774.  
  1775. A.1.  Installation Parameters
  1776.  
  1777. During installation, an authoritative SNMP engine SHOULD (in the
  1778. meaning as defined in [RFC2119]) be configured with several initial
  1779. parameters.  These include for the View-based Access Control Model:
  1780.  
  1781. 1) A security posture
  1782.  
  1783.    The choice of security posture determines if initial configuration
  1784.    is implemented and if so how.  One of three possible choices
  1785.    is selected:
  1786.  
  1787.          minimum-secure,
  1788.          semi-secure,
  1789.          very-secure (i.e. no-initial-configuration)
  1790.  
  1791.    In the case of a very-secure posture, there is no initial
  1792.    configuration, and so the following steps are irrelevant.
  1793.  
  1794. 2) A default context
  1795.  
  1796.    One entry in the acmContextTable with a contextName of "" (the
  1797.    empty string), representing the default context.  Note that this
  1798.    table gets created automatically if a default context exists.
  1799.  
  1800.                                  no privacy support  privacy support
  1801.                                  ------------------  ---------------
  1802.      acmContextName              ""                  ""
  1803.  
  1804. 3) An initial group
  1805.  
  1806.    One entry in the acmSecurityToGroupTable to allow access to group
  1807.    "initial".
  1808.  
  1809.                                  no privacy support  privacy support
  1810.                                  ------------------  ---------------
  1811.    acmSecurityModel              3 (USM)             3 (USM)
  1812.    acmSecurityName               "initial"           "initial"
  1813.    acmGroupName                  "initial"           "initial"
  1814.    acmSecurityToGroupStorageType anyValidStorageType anyValidStorageType
  1815.    acmSecurityToGroupStatus      active              active
  1816.  
  1817. 4) An initial acmGroupListTable
  1818.  
  1819.    Those columns marked with (index) are index-only objects and are
  1820.    not really present in this table.  Note that this table gets created
  1821.    automatically because of the configuration of the initial group.
  1822.  
  1823.    One entry in the acmGroupListTable as follows:
  1824.  
  1825.  
  1826.  
  1827. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 31]
  1828.  
  1829. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1830.  
  1831.  
  1832.  
  1833.                                  no privacy support  privacy support
  1834.                                  ------------------  ---------------
  1835.      acmGroupName     (index)    "initial"           "initial"
  1836.      acmSecurityModel (index)    3 (USM)             3 (USM)
  1837.      acmSecurityName  (index)    "initial"           "initial"
  1838.      acmGroupListStatus          active              active
  1839.  
  1840.  
  1841. 5) Initial access rights
  1842.  
  1843.    Three entries in the acmAccessTable as follows:
  1844.  
  1845.    - read-notify access for securityModel USM, LoS "noAuthNoPriv"
  1846.      on behalf of securityNames that belong to the group "initial" to
  1847.      the <restricted> MIB view in the context with contextName "".
  1848.  
  1849.    - read-write-notify access for securityModel USM, LoS "authNoPriv"
  1850.      on behalf of securityNames that belong to the group "initial" to
  1851.      the <all> MIB view in the context with contextName "".
  1852.  
  1853.    - if privacy is supported,
  1854.      read-write-notify access for securityModel USM for LoS "authPriv"
  1855.      on behalf of securityNames that belong to the group "initial" to
  1856.      the <all> MIB view in the context with contextName "".
  1857.  
  1858.    That translates into the following entries in the acmAccessTable.
  1859.    Those columns marked with (index) are index-only objects and are
  1860.    not really present in this table at all.
  1861.  
  1862.    - One entry to be used for unauthenticated access (noAuthNoPriv):
  1863.  
  1864.                                no privacy support  privacy support
  1865.                                ------------------  ---------------
  1866.      acmAccessContextPrefix    ""                  ""
  1867.      acmGroupName     (index)  "initial"           "initial"
  1868.      acmSecurityModel (index)  3 (USM)             3 (USM)
  1869.      acmAccessLoS              noAuthNoPriv        noAuthNoPriv
  1870.      acmAccessReadViewName     "restricted"        "restricted"
  1871.      acmAccessWriteViewName    ""                  ""
  1872.      acmAccessNotifyViewName   "restricted"        "restricted"
  1873.      acmAccessStorageType      anyValidStorageType anyValidStorageType
  1874.      acmAccessStatus           active              active
  1875.  
  1876.    - One entry to be used for authenticated access but without
  1877.      privacy (authNoPriv):
  1878.                                no privacy support  privacy support
  1879.                                ------------------  ---------------
  1880.      acmAccessContextPrefix    ""                  ""
  1881.      acmGroupName     (index)  "initial"           "initial"
  1882.      acmSecurityModel (index)  3 (USM)             3 (USM)
  1883.  
  1884.  
  1885.  
  1886. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 32]
  1887.  
  1888. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1889.  
  1890.  
  1891.      acmAccessLoS              authNoPriv          authNoPriv
  1892.      acmAccessReadViewName     "all-iso"           "all-iso"
  1893.      acmAccessWriteViewName    "all-iso"           "all-iso"
  1894.      acmAccessNotifyViewName   "all-iso"           "all-iso"
  1895.      acmAccessStorageType      anyValidStorageType anyValidStorageType
  1896.      acmAccessStatus           active              active
  1897.  
  1898.    - One entry to be used for authenticated access with privacy
  1899.      (authPriv):
  1900.  
  1901.                                no privacy support  privacy support
  1902.                                ------------------  ---------------
  1903.      acmAccessContextPrefix                        ""
  1904.      acmGroupName     (index)                      "initial"
  1905.      acmSecurityModel (index)                      3 (USM)
  1906.      acmAccessLoS                                  authPriv
  1907.      acmAccessReadViewName                         "all-iso"
  1908.      acmAccessWriteViewName                        "all-iso"
  1909.      acmAccessNotifyViewName                       "all-iso"
  1910.      acmAccessStorageType                          anyValidStorageType
  1911.      acmAccessStatus                               active
  1912.  
  1913.      Note however, that this last entry is also covered by the
  1914.      entry that allows authNoPriv access because the authPriv access
  1915.      is a better LoS than the authNoPriv.
  1916.  
  1917. 6) Two MIB views depending on the security posture.
  1918.  
  1919.    -  One view (the <all-iso> view) for authenticated access:
  1920.  
  1921.       -  the <all-iso> MIB view is the following subtree:
  1922.              "iso"  (subtree 1)
  1923.  
  1924.    -  A second view (the <restricted> view) for unauthenticated
  1925.       access.  This view is configured according to the selected
  1926.       security posture:
  1927.  
  1928.       -  For the "very-secure" posture there is no default initial
  1929.          configuration, so no MIB views are pre-scribed.
  1930.  
  1931.       -  For the "semi-secure" posture:
  1932.  
  1933.          the <restricted> MIB view is the union of these subtrees:
  1934.          (a) "system"      (subtree 1.3.6.1.2.1.1)     [RFC1907]
  1935.          (b) "snmp"        (subtree 1.3.6.1.2.1.11)    [RFC1907]
  1936.          (c) "snmpEngine"  (subtree 1.3.6.1.6.3.7.2.1) [SNMP-ARCH]
  1937.          (d) "snmpV3Stats" (subtree 1.3.6.1.6.3.8.2.1) [SNMPv3-MPC]
  1938.          (e) "usmStats"    (subtree 1.3.6.1.6.3.9.2.1) [SNMPv3-USM]
  1939.  
  1940.       -  For the "minimum-secure" posture:
  1941.  
  1942.  
  1943.  
  1944.  
  1945. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 33]
  1946.  
  1947. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  1948.  
  1949.  
  1950.          the <restricted> MIB view is the following subtree.
  1951.              "iso"  (subtree 1)
  1952.  
  1953.    This translates into the following "all-iso" entry in the
  1954.    acmViewTreeFamilyTable:
  1955.  
  1956.                                 minimum-secure      semi-secure
  1957.                                 ----------------    ---------------
  1958.    acmViewTreeFamilyViewName    "all-iso"           "all-iso"
  1959.    acmViewTreeFamilySubtree     1                   1
  1960.    acmViewTreeFamilyMask        ""                  ""
  1961.    acmViewTreeFamilyType        1 (included)        1 (included)
  1962.    acmViewTreeFamilyStorageType anyValidStorageType anyValidStorageType
  1963.    acmViewTreeFamilyStatus      active              active
  1964.  
  1965.    This translates into the following "restricted" entries in the
  1966.    acmViewTreeFamilyTable:
  1967.  
  1968.                                 minimum-secure      semi-secure
  1969.                                 ----------------    ---------------
  1970.    acmViewTreeFamilyViewName    "restricted"        "restricted"
  1971.    acmViewTreeFamilySubtree     1                   1.3.6.1.2.1.1
  1972.    acmViewTreeFamilyMask        " "                  ""
  1973.    acmViewTreeFamilyType        1 (included)        1 (included)
  1974.    acmViewTreeFamilyStorageType anyValidStorageType anyValidStorageType
  1975.    acmViewTreeFamilyStatus      active              active
  1976.  
  1977.    acmViewTreeFamilyViewName                        "restricted"
  1978.    acmViewTreeFamilySubtree                         1.3.6.1.2.1.11
  1979.    acmViewTreeFamilyMask                            ""
  1980.    acmViewTreeFamilyType                            1 (included)
  1981.    acmViewTreeFamilyStorageType                     anyValidStorageType
  1982.    acmViewTreeFamilyStatus                          active
  1983.  
  1984.    acmViewTreeFamilyViewName                        "restricted"
  1985.    acmViewTreeFamilySubtree                         1.3.6.1.6.3.7.2.1
  1986.    acmViewTreeFamilyMask                            ""
  1987.    acmViewTreeFamilyType                            1 (included)
  1988.    acmViewTreeFamilyStorageType                     anyValidStorageType
  1989.    acmViewTreeFamilyStatus                          active
  1990.  
  1991.    acmViewTreeFamilyViewName                        "restricted"
  1992.    acmViewTreeFamilySubtree                         1.3.6.1.6.3.8.2.1
  1993.    acmViewTreeFamilyMask                            ""
  1994.    acmViewTreeFamilyType                            1 (included)
  1995.    acmViewTreeFamilyStorageType                     anyValidStorageType
  1996.    acmViewTreeFamilyStatus                          active
  1997.  
  1998.    acmViewTreeFamilyViewName                        "restricted"
  1999.    acmViewTreeFamilySubtree                         1.3.6.1.6.3.9.2.1
  2000.    acmViewTreeFamilyMask                            ""
  2001.  
  2002.  
  2003.  
  2004. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 34]
  2005.  
  2006. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  2007.  
  2008.  
  2009.    acmViewTreeFamilyType                            1 (included)
  2010.    acmViewTreeFamilyStorageType                     anyValidStorageType
  2011.    acmViewTreeFamilyStatus                          active
  2012.  
  2013.  
  2014.  
  2015.  
  2016.  
  2017.  
  2018.  
  2019.  
  2020.  
  2021.  
  2022.  
  2023.  
  2024.  
  2025.  
  2026.  
  2027.  
  2028.  
  2029.  
  2030.  
  2031.  
  2032.  
  2033.  
  2034.  
  2035.  
  2036.  
  2037.  
  2038.  
  2039.  
  2040.  
  2041.  
  2042.  
  2043.  
  2044.  
  2045.  
  2046.  
  2047.  
  2048.  
  2049.  
  2050.  
  2051.  
  2052.  
  2053.  
  2054.  
  2055.  
  2056.  
  2057.  
  2058.  
  2059.  
  2060.  
  2061.  
  2062.  
  2063. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 35]
  2064.  
  2065. Draft      View-based Access Control Model (ACM) for SNMP      July 1997
  2066.  
  2067.  
  2068. Table of Contents
  2069.  
  2070. 0.  Issues and Change Log                                              2
  2071. 0.1.  Issues                                                           2
  2072. 0.2.  Change Log                                                       2
  2073. 1.  Introduction                                                       4
  2074. 1.2.  Access Control                                                   4
  2075. 1.3.  Local Configuration Datastore                                    5
  2076. 2.  Elements of the Model                                              6
  2077. 2.1.  groupName                                                        6
  2078. 2.2.  Level of Security (LoS)                                          6
  2079. 2.3.  Contexts                                                         6
  2080. 2.4.  MIB Views and View Families                                      7
  2081. 2.4.1.  View Subtree                                                   7
  2082. 2.4.2.  ViewTreeFamily                                                 7
  2083. 2.5.  Access Policy                                                    8
  2084. 3.  Elements of Procedure                                              9
  2085. 3.1  Processing the isAccessAllowed Service Request                   10
  2086. 4.  Definitions                                                       12
  2087. 5.  Security Considerations                                           28
  2088. 5.1.  Recommended Practices                                           28
  2089. 5.2.  Defining Groups                                                 28
  2090. 5.3.  Conformance                                                     28
  2091. 6.  Editor's Addresses                                                29
  2092. 7.  Acknowledgements                                                  29
  2093. 8.  References                                                        30
  2094. A.1.  Installation Parameters                                         31
  2095.  
  2096.  
  2097.  
  2098.  
  2099.  
  2100.  
  2101.  
  2102.  
  2103.  
  2104.  
  2105.  
  2106.  
  2107.  
  2108.  
  2109.  
  2110.  
  2111.  
  2112.  
  2113.  
  2114.  
  2115.  
  2116.  
  2117.  
  2118.  
  2119.  
  2120.  
  2121.  
  2122.  
  2123.  
  2124. Wijnen/Presuhn/McCloghrie      Expires December 1997           [Page 36]
  2125.