Политика XACML для динамических атрибутов

Я хочу, чтобы если запрашивающая сторона и владелец политики находятся в одной комнате (здесь местоположение является динамическим атрибутом), то запрашивающая сторона получит доступ к ресурсу. Как я могу написать это в политике XACML?


authorization access-control abac xacml alfa
person jabed morshed    schedule 13.08.2016    source источник
comment
Это очень непонятно. Что такое владелец полиса? Что вы пытаетесь защитить? Похоже, вам нужно условие в вашем полисе. Ознакомьтесь с вопросом недели Axiomatics (вы также можете отправить им свой вопрос в Твиттере). axiomatics.com/blog/entry/   -  person David Brossard    schedule 13.08.2016

Ответы (1)


arrow_upward
1
arrow_downward

То, что вы хотите сделать, можно реализовать с помощью условия XACML.

В серии вопроса недели Axiomatics есть статьи по этой теме, которую вы можете прочитать здесь.

С помощью условия вы можете реализовать связь. Отношения в вашем случае будут сравнивать местоположение инициатора запроса и местоположение владельца политики.

В ALFA ваша политика может выглядеть следующим образом:

policy allow{
    apply firstApplicable
    rule allow{
        permit
        condition requesterLocation == policyOwnerLocation
    }
}

Это генерирует следующий XML:

<?xml version="1.0" encoding="UTF-8"?>
 <!--This file was generated by the ALFA Plugin for Eclipse from Axiomatics AB (http://www.axiomatics.com). 
 Any modification to this file will be lost upon recompilation of the source ALFA file-->
<xacml3:Policy xmlns:xacml3="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17"
    PolicyId="http://axiomatics.com/alfa/identifier/example.allow"
    RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:first-applicable"
    Version="1.0">
    <xacml3:Description />
    <xacml3:PolicyDefaults>
        <xacml3:XPathVersion>http://www.w3.org/TR/1999/REC-xpath-19991116</xacml3:XPathVersion>
    </xacml3:PolicyDefaults>
    <xacml3:Target />
    <xacml3:Rule 
            Effect="Permit"
            RuleId="http://axiomatics.com/alfa/identifier/example.allow.allow">
        <xacml3:Description />
        <xacml3:Target />
        <xacml3:Condition>
            <xacml3:Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:any-of-any">
                <xacml3:Function FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-equal"/>
                <xacml3:AttributeDesignator 
                    AttributeId="com.axiomatics.example.requesterLocation"
                    DataType="http://www.w3.org/2001/XMLSchema#string"
                    Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject"
                    MustBePresent="false"
                />
                <xacml3:AttributeDesignator 
                    AttributeId="com.axiomatics.example.policyOwnerLocation"
                    DataType="http://www.w3.org/2001/XMLSchema#string"
                    Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource"
                    MustBePresent="false"
                />
            </xacml3:Apply>
        </xacml3:Condition>
    </xacml3:Rule>
</xacml3:Policy>
person David Brossard    schedule 01.11.2016