User-Managed Access

Lo User-Managed Access, noto anche come UMA, è un protocollo di gestione degli accessi web-based, basato sullo standard OAuth 2.0. Questo protocollo è attualmente definito da una specifica giunta alla versione draft 1.0. Una specifica corrispondente definisce gli obblighi dei soggetti legalmente responsabili che si impegnano ad interagire in conformità alla specifica UMA. L’iniziativa condotta dalla Kantara Initiative, si pone l’obiettivo di introdurre lo sviluppo di UMA come standard web.

Nell’ambito di UMA vengono analizzati diversi impatti:

1. Per prima cosa, si parte dalla constatazione che il consenso è un mezzo debole e inadatto ad esercitare la verifica dell’utente nell’ambito della condivisione di informazioni sensibili.
2. Secondo, si parte dal presupposto che la gestione delle data-sharing connections tra un singolo server e un singolo client per volta, mal si adatta al funzionamento di Internet.
3. Terzo, altro aspetto fondamentale è contrassegnato dalla constatazione che lo individual empowerment e il privacy enhancement richiedono il controllo e la visibilità delle informazioni condivise, con una varietà di controparti, non solamente con le applicazioni che l’individuo utilizza.

Di conseguenza, la definizione di UMA si concentra sull'individuazione di come l’utente si possa avvalere di un’applicazione web, chiamata Authorization Serve (AS), per coordinare la protezione e la condivisione delle risorse web che sono sotto il suo controllo. Le risorse web potrebbero risiedere in un numero qualsiasi di server, che UMA definisce Resource Server (RS). Le parti che hanno necessità di accedere all’informazione - tra le quali può essere incluso l'utente che ha fornito l’autorizzazione iniziale, chiamato Resource Owner (RO), ma anche altre persone od organizzazioni, chiamate Requesting Party (RqP) - possono accedere alle risorse protette attraverso applicazioni Client. L’accesso è tuttavia condizionato al soddisfacimento delle policy di autorizzazione dell’utente (Resource Owner), che sono gestite e conservate presso l' Authorization Server.

Collegamenti esterni

• UMA FAQ
• OSIS interop UMA1 area
• Latest UMA Core Protocol draft
• [Latest UMA Binding Obligations spec]
• Venn of access control
• University Newcastle SMART Team's blog
• UMA Implementations