1

IdAM 产品供应商正在积极使用的资源标识符 (urn:oasis:names:tc:xacml:1.0:resource:resource-id) 的格式/结构是否有标准或批准的配置文件？大约一年来，我一直在针对 Oracle Entitlements Server (OES)、ForgeRock OpenAM 和 WSO2 Identity Server (WSO2IS) 等产品开发原型代码，并且资源标识符在本质上似乎是特定于供应商的。例如，根据我的经验：

在 OES中，资源标识符采用 /应用程序名称/资源类型/由斜线分隔的资源元素的形式

在 OpenAM中，资源标识符的形式似乎是 /领域/应用程序名称/由斜线分隔的资源元素

在 WSO2IS中似乎没有强制执行特定格式，至少没有通过管理 GUI

在 Axiomatics Policy Server中，用户可以选择自己喜欢的格式。

我已经查看了Hierarchical Resource Profile，但我没有看到（或错过）上述供应商特别支持此配置文件的地方。（我也不能 100% 确定它是否适用于我所问的具体问题，这就是我提到它的原因。）

需要关注的具体领域之一是由扮演 PEP 角色的应用程序保护的资源建模，因为似乎确实有一定数量的供应商/实现特定信息是资源建模的一部分身份标识。我们的客户强烈希望保持供应商/供应商中立，这是他们对基于标准 (XACML) 的实施感兴趣的主要原因之一。

任何有关此主题的指导或参考将不胜感激。

4

1 回答 1

1

在 XACML 中，您可以自由选择您的结构。没有预定义的结构。OES 和 WSO2 都将您硬塞进一个结构中，以便更轻松地使用他们的管理工具，正如您所指出的那样，这会将您锁定在这些供应商中。

有 - 你指出 - 一个称为分层资源配置文件的配置文件定义了如何创建自己的资源 ID。我查看了 oasis 委员会的技术列表，据我所知，只有 SunXACML 和 Axiomatics 实现了它。

如果您查看纯粹的 XACML 3.0 实现，例如 Axiomatics Policy Server，您会发现您可以定义自己的属性、您自己的分类和策略结构。您不必拘泥于供应商的世界观。

于 2015-12-01T15:27:17.530 回答