5G NSSAA切片二次鉴权与EAP信令拆解

┌───────────────────────────────────────────────────────┐
│              NSSAA在5G认证体系中的位置                    │
│                                                       │
│   Stage 1: 主认证 (5G-AKA / EAP-AKA')                 │
│   ┌─────┐    ┌─────┐    ┌─────┐    ┌─────┐           │
│   │ UE  │───▶│ SEAF│───▶│ AUSF│───▶│ UDM │           │
│   └─────┘    └─────┘    └─────┘    └─────┘           │
│       验证: SUPI/USIM凭证 → 获得Allowed NSSAI          │
│                                                       │
│   Stage 2: NSSAA (EAP-based)                         │
│   ┌─────┐    ┌─────┐    ┌───────┐    ┌──────┐        │
│   │ UE  │───▶│ AMF │───▶│NSSAAF │───▶│ AAA-S│        │
│   └─────┘    └─────┘    └───────┘    └──────┘        │
│       验证: 企业级EAP凭证 → 获得切片接入授权              │
└───────────────────────────────────────────────────────┘

┌──────────┐     Registration Request     ┌─────┐
│   UE     │─────────────────────────────▶│ AMF │
│          │    (Requested NSSAI:          │     │
│          │     S-NSSAI-A, S-NSSAI-B)     │     │
└──────────┘                               └──┬──┘
                                              │
                           ┌──────────────────┤
                           ▼                  ▼
                    订阅数据查询           主认证(如需)
                           │                  │
                           ▼                  ▼
                    ┌─────────────────────────────┐
                    │  AMF 判断逻辑:               │
                    │  S-NSSAI-A: 需要NSSAA        │
                    │  S-NSSAI-B: 不需要NSSAA      │
                    └──────────┬──────────────────┘
                               │
                               ▼
                    Registration Accept
                    Allowed NSSAI: [S-NSSAI-B]
                    Pending NSSAI: [S-NSSAI-A]

sequenceDiagram
    participant UE
    participant AMF
    participant NSSAAF
    participant AAA_P as AAA-P<br/>(可选)
    participant AAA_S as AAA-S<br/>(第三方)

    Note over UE,AAA_S: 阶段0: 注册流程已完成主认证, AMF已确定S-NSSAI需要NSSAA

    rect rgb(230, 245, 255)
    Note over UE,AMF: Step 1-3: EAP Identity交换
    AMF->>UE: NAS MM Transport<br/>(EAP Identity Request, S-NSSAI)
    UE->>AMF: NAS MM Transport<br/>(EAP Identity Response, S-NSSAI)
    end

    rect rgb(255, 245, 230)
    Note over AMF,AAA_S: Step 4-6: 向AAA-S发起认证请求
    AMF->>NSSAAF: Nnssaaf_NSSAA_Authenticate Request<br/>(EAP ID Response, GPSI, S-NSSAI)
    NSSAAF->>AAA_P: AAA Protocol Message<br/>(EAP ID Response, GPSI, S-NSSAI/ENSI)
    AAA_P->>AAA_S: AAA Protocol Message<br/>(EAP ID Response, GPSI, S-NSSAI/ENSI)
    Note over AAA_S: AAA-S存储GPSI与EAP ID关联<br/>用于后续重认证/撤销
    end

    rect rgb(230, 255, 230)
    Note over UE,AAA_S: Step 7-14: EAP消息多轮交互
    loop EAP方法可能需要多轮交互
        AAA_S->>AAA_P: EAP-Request/Challenge
        AAA_P->>NSSAAF: EAP-Request/Challenge
        NSSAAF->>AMF: Nnssaaf_NSSAA_Authenticate Response<br/>(EAP-Request/Challenge)
        AMF->>UE: NAS MM Transport<br/>(EAP-Request/Challenge)
        UE->>AMF: NAS MM Transport<br/>(EAP-Response)
        AMF->>NSSAAF: Nnssaaf_NSSAA_Authenticate Request<br/>(EAP-Response, GPSI, S-NSSAI)
        NSSAAF->>AAA_P: AAA Protocol (EAP-Response)
        AAA_P->>AAA_S: AAA Protocol (EAP-Response)
    end
    end

    rect rgb(255, 230, 230)
    Note over UE,AAA_S: Step 15-18: 认证结果
    AAA_S->>AAA_P: EAP-Success/Failure<br/>(GPSI, S-NSSAI)
    AAA_P->>NSSAAF: AAA Protocol<br/>(EAP-Success/Failure, S-NSSAI, GPSI)
    NSSAAF->>AMF: Nnssaaf_NSSAA_Authenticate Response<br/>(EAP-Success/Failure, S-NSSAI, GPSI)
    AMF->>UE: NAS MM Transport<br/>(EAP-Success/Failure)
    Note over AMF: AMF存储NSSAA结果到UE Context
    end

    rect rgb(240, 240, 255)
    Note over UE,AMF: Step 19a: 更新Allowed NSSAI
    AMF->>UE: UE Configuration Update<br/>(新Allowed NSSAI包含该S-NSSAI)
    Note over UE,AMF: Step 19b: 若全部失败则执行Deregistration
    end

graph LR
    subgraph "SliceAuthInfo (Request)"
        A[EapId<br/>EAP Identity] --> B[Gpsi<br/>GPSI]
        B --> C[SNssai<br/>S-NSSAI]
    end

    subgraph "SliceAuthContext (Response)"
        D[SliceAuthId<br/>会话标识]
        D --> E[EapMessage<br/>EAP消息]
    end

    subgraph "SliceAuthConfirmationData"
        F[EapMessage<br/>UE的EAP响应]
        F --> G[SliceAuthId<br/>会话标识]
    end

stateDiagram-v2
    [*] --> Requested: UE注册请求<br/>包含S-NSSAI
    Requested --> Pending_NSSAI: AMF判定需要NSSAA<br/>放入Pending NSSAI
    Pending_NSSAI --> NSSAA_InProgress: AMF发送EAP Identity Request
    NSSAA_InProgress --> Allowed_NSSAI: NSSAA成功<br/>EAP-Success
    NSSAA_InProgress --> Rejected_NSSAI: NSSAA失败<br/>EAP-Failure
    Allowed_NSSAI --> NSSAA_InProgress: AAA-S触发重认证
    Allowed_NSSAI --> Rejected_NSSAI: AAA-S触发授权撤销
    Rejected_NSSAI --> NSSAA_InProgress: UE重新请求<br/>或订阅变更
    Pending_NSSAI --> Deregistered: 所有S-NSSAI的NSSAA<br/>全部失败

sequenceDiagram
    participant AAA_S as AAA-S
    participant NSSAAF
    participant UDM
    participant AMF
    participant UE

    AAA_S->>NSSAAF: Re-Auth Request (GPSI, S-NSSAI)
    NSSAAF->>UDM: Nudm_UECM_Get (GPSI, AMF Registration)
    UDM->>NSSAAF: AMF ID
    NSSAAF-->>AAA_S: ACK
    NSSAAF->>AMF: Nnssaaf_NSSAA_Re-AuthenticationNotification<br/>(GPSI, S-NSSAI)
    Note over AMF: 检查S-NSSAI是否在Allowed NSSAI中
    AMF->>UE: 触发完整NSSAA流程<br/>(回到Section 16.3步骤)

 注册请求(Requested NSSAI)
       │
       ▼
  ┌─────────┐    N22    ┌──────┐
  │   AMF   │─────────▶│ NSSF │ ← 切片选择
  └────┬────┘           └──────┘
       │
       ▼
  检查订阅数据(UDM)
  哪些S-NSSAI需要NSSAA?
       │
       ├── 不需要NSSAA → 直接入Allowed NSSAI
       │
       └── 需要NSSAA → 放入Pending NSSAI
                         │
                         ▼
                   触发NSSAA流程
                   (AMF↔NSSAAF↔AAA-S)
                         │
               ┌─────────┼─────────┐
               ▼                   ▼
          NSSAA成功            NSSAA失败
          加入Allowed          加入Rejected
          NSSAI                NSSAI