XACML - действительно ли политика требует правила?

Question

Если я определяю политику XACML и предоставляю некоторые атрибуты в целевом объекте политики, нужно ли мне на самом деле предоставлять дополнительное правило?

Answer 1

Да, вам нужно правило, чтобы фактически сказать, хотите ли вы разрешить или запретить доступ.

Answer 2

С точки зрения проверки схемы у вас может быть политика без правил, но, как указывает Крэйг, именно это правило и является решением. Так что политика без правил бессмысленна.

Answer 3

Вам нужно подумать о потоке логики для политики.Определяя целевые атрибуты, вы указываете, что должно влиять, а не как.Даже если вы определяете действия в целевом объекте политики с помощью ActionMatch, то, что вы действительно сделали, нацеливаете Правило на Действия с определенным ActionID.

Другими словами, действия, определенные в целевом объекте политики, идентифицируют связанные с действием объекты путем сопоставления значений атрибутов.Это все еще пропускает обязательное Правило, которое будет содержать логику действия.