Я новичок в архитектуре XACML и буду признателен, если вы поможете мне со следующим вопросом.
Можно ли использовать несколько PIP таким образом, чтобы ответ, извлеченный из одного PIP, использовался в качестве входного параметра для другого PIP?
Если да, то можете ли вы предоставить мне простой пример запроса XML?
заранее спасибо
Да, можно использовать несколько PIP таким образом, чтобы атрибут, разрешенный PIP, можно было использовать в качестве входных данных для другого PIP.
Основываясь на архитектуре XACML, это зависит от PDP, чтобы решить, как разрешать атрибуты с помощью PIP.
Как это работает на высоком уровне:
Subject-ID=AliceAction-ID=ReadSubject-ID, PDP пытается запросить PIP или PIP для разрешения Action-ID и предоставляет PIP значение, которое оно имеет, равное Subject-ID (из входящего запроса). Например, у нас есть 2 PIP: PIP A может разрешить resource-ID из Subject-ID, а PIP B может разрешить Action-ID из resource-IDresource-ID на основе входного запроса Subject-IDfrom с использованием PIP A, а затем использует resource-ID для разрешения Action-ID с помощью PIP B, который затем используется PDP для оценки политика. Если PIP B вернет Алису, вы получите permit решение, иначе это будет NotApplicableОбратите внимание, что это зависит от того, как реализован PDP для разрешения атрибутов с использованием связанных PIP, как в вашем случае использования.
PDP от компании Axiomatics может выполнять поиск по цепочке PIP.
Раскрытие информации: я работаю в Axiomatics, где мы предоставляем решения для управления доступом на основе XACML.
