问题标签 [xacml]

描述

我创建了多个 XACML 文件，其中包含根据first-applicable规则组合算法评估的多个策略。

有时我无法避免 XACML 中的代码重复，我必须在 XACML 文件的多个位置复制某个 XACML 策略。

<import file="xacml/deny-policy.xacml"/>是否可以通过xml 或其他方式避免 XACML 中的代码重复？

云授权上下文中基于属性的访问控制和基于活动的访问控制有什么区别？

我按照链接在 XACML 上使用 SAML 信封运行 pdp。然后我创建了 web 服务（ pdp 和 pdpclient - 换句话说 XACML 请求生成器）。在这里，每件事都运行良好，即生成请求并使用给定的（由以下链接给出的测试策略）策略获得完美的结果。

现在我用我的策略测试 pdp ！！但是（在我看来） pdp 没有正确评估政策。例如，这是我的政策

这是我的要求

Subject-Id: urn:oasis:names:tc:xacml:1.0:subject:outside-university, Subject-Value: Staff

Arttibute-Id: urn:oasis:names:tc:xacml:1.0:resource:file123，属性值：服务器文件

Action-Id: urn:oasis:names:tc:xacml:1.0:action:delete123, Action-Value: Delete

我得到的响应是Deny。如您所见，MustBePresent = true在 Policy-Target 和 Request 的 Subject、Resource 和 Action 中包含 none 的 Id。根据 XACML 2.0，如果 MustBePresent 为真且请求中不存在 ID，则目标将是不确定的。如果目标是政策目标，那么整个政策将是不确定的。但是在这种情况下，在策略目标不确定后，PDP 仍然根据规则组合算法评估规则并做出结果。

让我知道我是否错了。

嗨，我正在使用WSO2 Balana XACML，我发现wso2他们提供的示例正在从resource folder. 我不想从文件系统加载策略，因为我想从数据库加载它，或者我将提供服务 URL，他们的 PDP 将检查传入请求的策略，或者是他们的任何其他方式建议。

嗨，我经历了许多有关 XACML 的用例，但我不知道在 PDP 中加载策略的最佳方式是什么。根据 OASIS 定义的 PDP 工作流程，我理解传入请求何时到达 PDP。PDP 负责根据请求匹配相应的策略。

由于 PDP 将匹配每一个策略，所以想想我有 10,000 个策略存储在分布式环境中的场景，那时会发生什么。匹配会消耗越来越多的时间，这不是匹配策略的有效方式。

我需要对这个问题做一些澄清：

1. 如何在不同的服务器上分发策略？

2. 如果我在不同的服务器上分发策略，那么我的 PDP 将如何识别并从特定服务器获取相应的策略？

3. PDP 识别与传入请求匹配的确切策略的最佳方式是什么？

我浏览了 XACML 文档，它解释了如何在 XML 文件中维护授权策略，同样可以通过将策略保存在数据库中来完成，我的问题是在 XML 文件中存储策略（如 XACML）而不是 DB 方法的优势是什么，因为归根结底，它只是解析 XML 或查询数据库。

我正在使用 Balana XACML 进行授权。谁能与我分享一个扩展 Balana 的 PolicyFinderModule 的类，以使 PDP 读取指定的 XACML 策略。我想要一些东西，好像我们有 BALANA 提供的 SampleAttributeFinderModule、SampleResourceFinderModule。

我为授权创建了一个 XACML 文件，如下所示：

我正在做基于 balana 的验证，但出现以下错误：

但我已经提到了资源 ID，相同的代码适用于 balana 测试策略文件，不同之处在于我使用的是策略集而不是“策略”。

出于测试目的，我们设置了一个给定的策略，允许对一个资源进行 GET 操作给具有经理角色的用户。

然后，我们使用“PEP TryIt”表单来检查策略是如何应用于具有和不具有经理角色的用户的，以及在删除和添加角色之后的情况。我们发现了以下两种行为：1) PEP TryIt 返回 Permit，对于已删除其经理角色的给定用户=> 意外。只有在将给定策略发布到 PDP 后，系统才会返回 NotApplicable。

2) PEP TryIt 返回 NotApplicable，对于重新分配其经理角色的给定用户=> Unexpected 只有在将给定策略发布到 PDP 后，系统才会返回 Permit。

每次将角色授予/删除给给定用户时，是否需要将策略发布到 PDP？这是预期的行为还是应该被视为错误？

谢谢！费尔明·奥尔达斯。

我想以编程方式生成 XACML 2.0 策略。有没有办法做到这一点或将一组 XACML 3.0 策略转换为 XACML 2.0 策略？

谢谢