Почему ответ XACML возвращает NotApplicable в веб-приложении Azure? - PullRequest
Новая
       103

Почему ответ XACML возвращает NotApplicable в веб-приложении Azure?

0 голосов
/ 23 января 2019

Во-первых, я создал проект Spring Boot на IntelliJ на базе [blog]: https://www.javadevjournal.com/spring-boot/spring-boot-application-intellij/. Затем я сгенерировал контроллер и сервис с @PostMapping внутри него. Я использовал balana [github]: https://github.com/wso2/balana для реализации движка XACML.

Когда [blog]: https://docs.wso2.com/display/IS570/Writing+XACML+3+Policies+in+WSO2+Identity+Server+-+7, политика и запрос xacml создаются как жестко закодированные. Когда служба вызывается через Почтальон как http post (http://localhost:8080/evaluate), Ответ xacml работал как исключение с решениями PERMIT и DENY. Здесь все в порядке.

Когда я хочу опубликовать его в веб-приложении Azure, ответ включает NotApplicable в качестве решения. Есть ли какая-то аномалия в моей политике и запросе, или я что-то пропустил?

Пример политики 

<Policy xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17" PolicyId="2" RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:first-applicable" Version="1.0">
    <Description>sample policy</Description>
    <Target></Target>
    <Rule Effect="Permit" RuleId="primary-group-customer-rule">
        <Target>
            <AnyOf>
                <AllOf>
                    <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-regexp-match">
                        <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">http://localhost:8280/services/echo/</AttributeValue>
                        <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:resource:resource-id" Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource" DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true">                 </AttributeDesignator>
                    </Match>
                    <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
                        <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">read</AttributeValue>
                        <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id" Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action" DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
                    </Match>
                </AllOf>
            </AnyOf>
        </Target>
        <Condition>
            <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-subset">
                <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-bag">
                    <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">admin</AttributeValue>
                </Apply>
                <AttributeDesignator AttributeId="group" Category="urn:oasis:names:tc:xacml:3.0:group" DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
            </Apply>
        </Condition>
    </Rule>
    <Rule Effect="Deny" RuleId="deny-rule"></Rule>
</Policy>

Пример запроса XACML 

<Request xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17" CombinedDecision="false" ReturnPolicyIdList="false">
    <Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action">
        <Attribute AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id" IncludeInResult="false">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">read</AttributeValue>
        </Attribute>
    </Attributes>
    <Attributes Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject">
        <Attribute AttributeId="urn:oasis:names:tc:xacml:1.0:subject:subject-id" IncludeInResult="false">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">admin</AttributeValue>
        </Attribute>
    </Attributes>
    <Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource">
        <Attribute AttributeId="urn:oasis:names:tc:xacml:1.0:resource:resource-id" IncludeInResult="false">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">http://localhost:8280/services/echo/</AttributeValue>
        </Attribute>
    </Attributes>
    <Attributes Category="urn:oasis:names:tc:xacml:3.0:group">
        <Attribute AttributeId="group" IncludeInResult="false">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">admin</AttributeValue>
        </Attribute>
    </Attributes>
</Request>

Ответ на Localhost 


<Response xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17">
  <Result>
    <Decision>Permit</Decision>
    <Status><StatusCode Value="urn:oasis:names:tc:xacml:1.0:status:ok"/></Status>
  </Result>
</Response>

Ответ в Azure Web App 


<Response xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17">
  <Result>
    <Decision>NotApplicable</Decision>
    <Status><StatusCode Value="urn:oasis:names:tc:xacml:1.0:status:ok"/></Status>
  </Result>
</Response>

1 Ответ

0 голосов
/ 23 января 2019

Не должно быть никакой разницы с точки зрения принятия решений (РАЗРЕШЕНИЯ или ОТКАЗ) в зависимости от того, где развернуто ваше приложение.

Я могу рассказать вам, как определить, связана ли проблема с вашим приложением, с вашей политикой или с ошибкой в ​​вашем запросе.

Во-первых, просто чтобы проверить, совпадают ли запросы, проверили ли вы журналы для PDP на Azure и на локальном хосте, чтобы убедиться, что запросы действительно совпадают?

ЕслиИтак, затем я предлагаю вам установить очень, очень простое правило, которое будет возвращать DENY, несмотря ни на что.Затем убедитесь, что вы получаете DENY при локальном запуске приложения Spring Boot локально (т.е. $ mvn spring-boot:run на вашем компьютере) и на развернутом сервере.

Если вы не можете получить DENY на обоих, вам нужно пересмотреть логику своего приложения и тому подобное.

Как только вы получите DENY, установите простую политику, которая принимает один параметр.IE, если someNumber == 2, вернуть разрешение.Затем попробуйте это как на локальном хосте, так и на Azure.Как только у вас это заработает, вы готовы попробовать политику, упомянутую в вашем вопросе.

К вашему сведению У меня есть несколько проектов Spring Boot, которые взаимодействуют с механизмом XACML (Axiomatics, а не WSO2) в моем Github, например: https://github.com/michaelcgood/Axiomatics-Yet-Another-PEP.

У меня также есть несколько статей о Spring Boot на моем сайте: https://michaelcgood.com/category/spring/.Если у вас есть вопросы по поводу содержимого или кода, вы можете связаться со мной (информация на странице контактов), и я отвечу, как смогу.

...