Почему ответ XACML возвращает NotApplicable в веб-приложении Azure?

Во-первых, я создал проект Spring Boot на IntelliJ на основе [блога]:https://www.javadevjournal.com/spring-boot/spring-boot-application-intellij/. Затем я создал контроллер и сервис с @PostMapping внутри него. Я использовал balana [github]:https://github.com/wso2/balana для реализации механизма XACML. .

Когда[блог]:https://docs.wso2.com/display/IS570/Writing+XACML+3+Policies+in+WSO2+Identity+Server+-+7 выполняется, политика и запрос xacml создаются как жестко закодированные. Когда служба вызывается через Postman как сообщение http (http://localhost:8080/evaluate), ответ xacml работал как исключение с решениями PERMIT и DENY. До сих пор все в порядке.

Когда я хочу опубликовать его в веб-приложении Azure, ответ включает NotApplicable в качестве решения. Есть ли какая-то аномалия в моей политике и запросе или я что-то пропустил?

Образец политики

<Policy xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17" PolicyId="2" RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:first-applicable" Version="1.0">
    <Description>sample policy</Description>
    <Target></Target>
    <Rule Effect="Permit" RuleId="primary-group-customer-rule">
        <Target>
            <AnyOf>
                <AllOf>
                    <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-regexp-match">
                        <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">http://localhost:8280/services/echo/</AttributeValue>
                        <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:resource:resource-id" Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource" DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true">                 </AttributeDesignator>
                    </Match>
                    <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
                        <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">read</AttributeValue>
                        <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id" Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action" DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
                    </Match>
                </AllOf>
            </AnyOf>
        </Target>
        <Condition>
            <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-subset">
                <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-bag">
                    <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">admin</AttributeValue>
                </Apply>
                <AttributeDesignator AttributeId="group" Category="urn:oasis:names:tc:xacml:3.0:group" DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
            </Apply>
        </Condition>
    </Rule>
    <Rule Effect="Deny" RuleId="deny-rule"></Rule>
</Policy>

Пример запроса XACML

<Request xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17" CombinedDecision="false" ReturnPolicyIdList="false">
    <Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action">
        <Attribute AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id" IncludeInResult="false">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">read</AttributeValue>
        </Attribute>
    </Attributes>
    <Attributes Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject">
        <Attribute AttributeId="urn:oasis:names:tc:xacml:1.0:subject:subject-id" IncludeInResult="false">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">admin</AttributeValue>
        </Attribute>
    </Attributes>
    <Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource">
        <Attribute AttributeId="urn:oasis:names:tc:xacml:1.0:resource:resource-id" IncludeInResult="false">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">http://localhost:8280/services/echo/</AttributeValue>
        </Attribute>
    </Attributes>
    <Attributes Category="urn:oasis:names:tc:xacml:3.0:group">
        <Attribute AttributeId="group" IncludeInResult="false">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">admin</AttributeValue>
        </Attribute>
    </Attributes>
</Request>

Ответ на локальном хосте


<Response xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17">
  <Result>
    <Decision>Permit</Decision>
    <Status><StatusCode Value="urn:oasis:names:tc:xacml:1.0:status:ok"/></Status>
  </Result>
</Response>

Ответ в веб-приложении Azure


<Response xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17">
  <Result>
    <Decision>NotApplicable</Decision>
    <Status><StatusCode Value="urn:oasis:names:tc:xacml:1.0:status:ok"/></Status>
  </Result>
</Response>

azure spring-boot azure-web-app-service xacml3 xacml
person user3751548    schedule 23.01.2019    source источник

Ответы (1)


arrow_upward
3
arrow_downward

Не должно быть никакой разницы в принятии решений (РАЗРЕШИТЬ или ЗАПРЕЩАТЬ) в зависимости от того, где развернуто ваше приложение.

Я могу рассказать вам, как определить, связана ли проблема с вашим приложением, вашей политикой или ошибкой в ​​вашем запросе.

Во-первых, просто чтобы убедиться, что запросы одинаковы, проверили ли вы журналы для PDP как на Azure, так и на вашем локальном хосте, чтобы убедиться, что запросы действительно поступают одинаково?

Если да, то далее я предлагаю вам установить очень, очень простое правило, которое будет возвращать DENY несмотря ни на что. Затем убедитесь, что вы получаете DENY при локальном запуске приложения Spring Boot локально (т. е. $ mvn spring-boot:run на вашем компьютере) и на развернутом сервере.

Если вы не можете получить DENY на обоих, вам нужно пересмотреть логику вашего приложения и тому подобное.

Как только вы получите DENY, настройте простую политику, которая принимает один параметр. т.е. если someNumber == 2, вернуть PERMIT. Затем попробуйте это как на локальном хосте, так и на Azure. Как только у вас это заработает, вы готовы попробовать политику, которую вы упомянули в своем вопросе.

К вашему сведению, у меня есть несколько проектов Spring Boot, которые взаимодействуют с механизмом XACML (Axiomatics, а не WSO2) в моем Github, например: https://github.com/michaelcgood/Axiomatics-Yet-Another-PEP .

На моем веб-сайте также есть несколько статей о Spring Boot: https://michaelcgood.com/category/spring/< /а> . Если у вас есть вопросы о содержании или коде, вы можете связаться со мной (информация на странице контактов), и я отвечу, как смогу.

person Michael C Good    schedule 23.01.2019
comment
Спасибо за ваш ответ. После просмотра ваших репозиториев я свяжусь с вами, если не смогу решить эту проблему. - person user3751548; 24.01.2019