dsh-duty-separation-proof

提供されたDSHワークフローが宣言された職務分離を維持したことを示す、オフラインかつ決定的な証拠です。リクエスト/承認/実行/観察の正確な順序、ハッシュに紐づくオブジェクトとワークフローの同一性、レシートチェーンの連続性、互いに素なプリンシパル集合、承認クォーラム、プリンシパル/オブザーバーの多様性と鮮度を検証します。出力するのは、編集済みのコンテンツアドレス型JSON判定のみです。

これは認可システムではありません。ロールを付与したり、リクエストを承認したり、変更を実行したり、レシートを認証したり、稼働中のシステムを検査したり、提供された台帳が網羅的であることを証明したりするものではありません。

これが独立したレイヤーである理由

NISTは、静的、動的、オブジェクトベース、運用、履歴ベースの職務分離を区別しています。このプラグインは、提供された単一のワークフローオブジェクトに対する狭い事後証拠レイヤーを実装します。以下を補完します：

• dsh-guarded-hcl — 分離はオプティマイザー/評価者/ポリシー/コミットコントローラーの境界に固有です。

• dsh-decision-effect-proof — 認可決定と効果を調整します。

• dsh-artifact-promotion-proof — アーティファクトのプロモーションチェーンを検証します。

• dsh-access-review-proof — エンタイトルメントの再認定クロージャを検証します。

ここでの問いはただ一つです：提供されたハッシュ連鎖ワークフローレシートが、宣言された職務競合ポリシーを満たしていたか？

Related MCP server: EVIDIQ Rubric MCP

使用方法

npm test
npm run check
node bin/dsh-duty-separation-proof.mjs inspect examples/settled.json
node bin/dsh-duty-separation-proof.mjs verify examples/settled.json

DSHバンドルはdsh_duty_separation_inspectとdsh_duty_separation_verifyを公開します。スタンドアロンMCPサーバーは、同等の証明専用インラインツールを公開します。

マニフェスト境界

すべてのワークフロー、オブジェクト、リビジョン、ポリシー、プリンシパル、オブザーバー、レシートのIDは小文字のSHA-256値です。唯一の公開識別子は限定されたproofIdであり、レポートにはそのハッシュのみが含まれます。必須シーケンスはrequestで始まり、executeを含み、observeで終わり、複数のapproveステージを含む場合があります。disjointDutySetsとクォーラムしきい値は明示的なポリシー入力です。

レポートは意図的にauthenticatesReceipts: false、provesLedgerExhaustive: false、provesAbsenceOfUndeclaredActions: falseと明記します。

参考文献

• NIST Separation of Duty glossary

• NIST SP 800-192

MITライセンス。