1

我正在尝试针对我的 WSO2 身份服务器中的策略使用 EntitlementService 操作 GetEntitledAttributes。我期望如果我只传递一个 subject_id,(role name,) 进行此调用，我应该取回适用于该角色的资源和操作，但我根本没有得到任何匹配。在下面提供的示例中，我期望取回资源“EchoService”和“读取”操作。我将 WSO2 IS 4.1.0 与默认策略和属性查找器一起使用。有人可以告诉我我需要做什么才能从我的 WSO2 身份服务器获得权利吗？

谢谢，

卡特里娜飓风

这是请求：

    <?xml version='1.0' encoding='utf-8'?>
     <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
       <soapenv:Body>
         <getEntitledAttributes xmlns="http://org.apache.axis2/xsd"                xmlns:ns2="http://dto.entitlement.identity.carbon.wso2.org/xsd">
           <subjectName>Manager</subjectName>
           <resourceName/>
           <subjectId/>
           <action/>
          <enableChildSearch>true</enableChildSearch>
        </getEntitledAttributes>
       </soapenv:Body>
      </soapenv:Envelope>

这是应该评估的政策之一：

    <Policy xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17"      PolicyId="EchoServicePolicy"      RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:first-applicable" Version="1.0">
<Target>
      <AnyOf>
         <AllOf>
            <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
               <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">Manager</AttributeValue>
               <AttributeDesignator AttributeId="http://wso2.org/claims/role" Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject"                 DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
            </Match>
         </AllOf>
      </AnyOf>
   </Target>
   <Rule Effect="Permit" RuleId="Rule-1">
      <Target>
         <AnyOf>
            <AllOf>
               <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
                  <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">EcoService</AttributeValue>
                  <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:resource:resource-id" Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource"              DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
               </Match>
            </AllOf>
         </AnyOf>
         <AnyOf>
            <AllOf>
               <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
                  <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">read</AttributeValue>
                  <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id" Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action"              DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
               </Match>
            </AllOf>
         </AnyOf>
      </Target>
   </Rule>
   <Rule Effect="Deny" RuleId="Rule-2">
      <Target>
         <AnyOf>
            <AllOf>
               <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
                  <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">EcoService</AttributeValue>
                  <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:resource:resource-id" Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource"                DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
               </Match>
            </AllOf>
         </AnyOf>
         <AnyOf>
            <AllOf>
               <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
                  <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">write</AttributeValue>
                  <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id" Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action"                DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
               </Match>
            </AllOf>
         </AnyOf>
      </Target>
   </Rule>
</Policy>
4

1 回答 1

0

该方法允许应用程序根据 XACML PDP 动态检查哪些资源可以访问。根据 XACML 核心规范，它只讨论一个可以提供布尔值授权结果的 PDP（基本上允许、拒绝、不适用，不确定的结果和使用建议和义务的一些额外数据）。基本上从 PDP 中，应用程序 (PEP) 可以询问“用户是否有权这样做”？并且应用程序 (PEP) 不能提出诸如“给定用户允许的资源和操作是什么？”之类的问题。这种方法提供了这种能力。您可以从此处找到更多详细信息，还可以尝试使用示例

于 2013-11-25T14:54:08.997 回答