Сравнение определенного пользовательского атрибута пользователя - PullRequest
Новая
       181

Сравнение определенного пользовательского атрибута пользователя

0 голосов
/ 26 мая 2019

Для документа политики XACML, который я имел в виду, у меня есть субъект (пользователь) и объект, каждый из которых прикреплен с меткой. Давайте назовем это myLabel = {[a,b,c], [1,2,3]}. Я хочу сделать сравнение частей этого ярлыка.

Как определить субъект и объект, который будет содержать эту метку, в запросе на доступ и в политике, чтобы сформулировать решение для сравнения?

Я хочу использовать XML, а не JSON или ALFA, чтобы объявить выше.

1 Ответ

1 голос
/ 29 мая 2019

XACML (и ALFA) поставляется с набором четко определенных типов данных и функций. Например, XACML определяет следующие типы данных:

  • строка
  • целое число
  • булево
  • дата ...

Существует 18 или около того типов данных "из коробки".

Для работы с этими типами данных XACML определяет сотни функций, таких как:

  • строка-равно
  • строка-больше чем
  • ...

Атрибуты в XACML (например, метка, роль или отдел) должны иметь тип данных. Атрибуты могут быть многозначными. Другими словами, role = ["manager"] или role = ["manager", "employee", "janitor"]. Оба совершенно действительны.

В вашем случае вы имеете в виду значение, структурированное следующим образом: {[a,b,c],[1,2,3]}. Это не стандартный тип данных. Это сложный объект и как таковой требует дальнейшей обработки (в PEP? В PIP?). Как вы думали передать его PDP?

Предположим, у нас есть простые значения, например label = '2'. Чтобы сравнить метку пользователя с меткой ресурса и предоставить доступ, если они равны, вы должны написать следующее:

ALFA 

    /**
     * Control access based on labels
     */
    policy labelAccessControl{
        apply firstApplicable
        rule allowIfSameLabel{
            permit
            condition user.label == object.label
        }

    }

XACML XML-эквивалент 

<?xml version="1.0" encoding="UTF-8"?><!--This file was generated by the 
    ALFA Plugin for Eclipse from Axiomatics AB (http://www.axiomatics.com). --><!--Any modification to this file will 
    be lost upon recompilation of the source ALFA file -->
<xacml3:Policy
    xmlns:xacml3="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17"
    PolicyId="http://axiomatics.com/alfa/identifier/com.axiomatics.labelAccessControl"
    RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:first-applicable"
    Version="1.0">
    <xacml3:Description>Control access based on labels</xacml3:Description>
    <xacml3:PolicyDefaults>
        <xacml3:XPathVersion>http://www.w3.org/TR/1999/REC-xpath-19991116
        </xacml3:XPathVersion>
    </xacml3:PolicyDefaults>
    <xacml3:Target />
    <xacml3:Rule Effect="Permit"
        RuleId="com.axiomatics.labelAccessControl.allowIfSameLabel">
        <xacml3:Description />
        <xacml3:Target />
        <xacml3:Condition>
            <xacml3:Apply
                FunctionId="urn:oasis:names:tc:xacml:3.0:function:any-of-any">
                <xacml3:Function
                    FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-equal" />
                <xacml3:AttributeDesignator
                    AttributeId="com.axiomatics.user.label"
                    Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject"
                    DataType="http://www.w3.org/2001/XMLSchema#string"
                    MustBePresent="false" />
                <xacml3:AttributeDesignator
                    AttributeId="com.axiomatics.object.label"
                    Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource"
                    DataType="http://www.w3.org/2001/XMLSchema#string"
                    MustBePresent="false" />
            </xacml3:Apply>
        </xacml3:Condition>
    </xacml3:Rule>
</xacml3:Policy>
...