xacml - XACML 回答我可以访问什么？

Question

我想通过使用 XACML 来回答诸如我可以访问什么的问题，它们是不是 Axiomatics ARQ 的解决方法？

Answer 1

我想您想从 XACML PDP 中提出问题（bob 可以访问哪些资源？），而不仅仅是希望得到布尔类型（允许、拒绝）的结果。根据 XACML 核心规范，没有提到这种类型的查询。但是你可以实现它。一种方法是使用多决策配置文件。PEP 可以将系统中的所有资源、动作和用户（bob）发送到 PDP，然后 PDP 会响应多个 XACML 结果，PEP 可以过滤掉允许的资源。此外，与 Axiomatics 一样，有一些 xACML 实现以自己的方式支持此功能。WSO2 Identity Server 是一个开源的 XACML 引擎，也支持此功能。您可以从这里找到更多详细信息. Identity Server 引入了一个搜索 API，它将搜索所有策略并评估它们以返回给定用户的可访问资源。同样如上所述，有时，您可以使用多个决策配置文件和分层资源配置文件来实现相同的行为。但这取决于您的用例。我想这会对你有所帮助。