XACML сравнивает два атрибута запроса.

Мой запрос xacml содержит два атрибута, которые я хочу сравнить как часть условия политики.

Они есть:

urn:oasis:names:tc:xacml:1.0:subject:group-id
urn:oasis:names:tc:xacml:1.0:resource:resource-id

Все примеры политик, которые я нашел, сравнивают только один атрибут запроса (т. е. ResourceAttributeDesignator) с атрибутом AttributeValue, который жестко запрограммирован.

Как мне сравнить, что идентификатор группы равен идентификатору ресурса?


xacml3
person bwgz57    schedule 16.05.2014    source источник

Ответы (1)


arrow_upward
4
arrow_downward

Вам нужно использовать условие XACML. Наборы политик, политики и правила имеют цели XACML, которые вы можете использовать для сравнения атрибута со значением, например. role=='manager'. В правилах также есть элемент условия XACML, с помощью которого можно выполнять более сложные сравнения, включая сравнение двух атрибутов.

Вот пример (используя нотацию ALFA):

namespace stackoverflow{

    attribute groupId{
        category = subjectCat
        id = "urn:oasis:names:tc:xacml:1.0:subject:group-id"
        type = string
    }

    attribute resourceId{
        category = resourceCat
        id = "urn:oasis:names:tc:xacml:1.0:resource:resource-id"
        type = string
    }

    policy example{

        apply firstApplicable
        rule checkGroup{
            condition groupId==resourceId
            permit
        }
    }
}

Вот вывод в XACML 3.0:

<?xml version="1.0" encoding="UTF-8"?>
 <!--This file was generated by the ALFA Plugin for Eclipse from Axiomatics AB (http://www.axiomatics.com). 
 Any modification to this file will be lost upon recompilation of the source ALFA file-->
<xacml3:Policy xmlns:xacml3="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17"
    PolicyId="http://axiomatics.com/alfa/identifier/stackoverflow.example"
    RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:first-applicable"
    Version="1.0">
    <xacml3:Description />
    <xacml3:PolicyDefaults>
        <xacml3:XPathVersion>http://www.w3.org/TR/1999/REC-xpath-19991116</xacml3:XPathVersion>
    </xacml3:PolicyDefaults>
    <xacml3:Target />
    <xacml3:Rule 
            Effect="Permit"
            RuleId="http://axiomatics.com/alfa/identifier/stackoverflow.example.checkGroup">
        <xacml3:Description />
        <xacml3:Target />
        <xacml3:Condition>
            <xacml3:Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:any-of-any">
                <xacml3:Function FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-equal"/>
                <xacml3:AttributeDesignator 
                    AttributeId="urn:oasis:names:tc:xacml:1.0:subject:group-id"
                    DataType="http://www.w3.org/2001/XMLSchema#string"
                    Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject"
                    MustBePresent="false"
                />
                <xacml3:AttributeDesignator 
                    AttributeId="urn:oasis:names:tc:xacml:1.0:resource:resource-id"
                    DataType="http://www.w3.org/2001/XMLSchema#string"
                    Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource"
                    MustBePresent="false"
                />
            </xacml3:Apply>
        </xacml3:Condition>
    </xacml3:Rule>
</xacml3:Policy>

Вы можете скачать подключаемый модуль ALFA здесь.

person David Brossard    schedule 16.05.2014