Как я могу получить отпечатки консоли XACML на Java

Question

Как я могу получить отпечатки консоли XACML на Java

Я работаю над xacml как невероятно новый человек и работаю над созданием политики. Конечно, я сталкиваюсь с проблемами, обычно я начинаю с добавления некоторых операторов print.ln в Java, чтобы начать выяснять, куда попадает код (или нет), но я ничего не вижу в документации OASIS. XACML для распечаток или отладок.

Итак, мне интересно, есть ли способы сделать это или я могу что-то добавить, чтобы выяснить, где или почему что-то работает в оценке политики / правила.

Конкретная проблема заключается в том, что я получаю разрешение из правила политики, оно, похоже, оценивает "P" так же, как "PI", а затем возвращает разрешение для него.

    <Condition>
        <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:any-of">
            <Function FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-equal" />
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">PI</AttributeValue>
            <AttributeDesignator
                AttributeId="urn:oasis:names:tc:xacml:1.0:subject:subject-id"
                Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject"
                DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true" />
        </Apply>
    </Condition>

Я думаю, что это может быть функция: any-of и функция string-equal, которая заставляет ее вычислять истинное условие здесь, но я не уверен. Я работаю с другим парнем над этим, и он, кажется, настаивает, что это не проблема, но у меня нет всего кода, который нужно проработать.

Но все же, если есть способ сделать распечатку, это было бы замечательно, особенно потому, что я хочу знать, к чему ведет моя оценка при запуске различных алгоритмов, таких как сначала применимые.

1

java xacml abac balana

Источник

user5067279 14 июл '15 в 20:47

1 ответ

Другие вопросы по тегам java xacml abac balana

user1021725 15 июл '15 в 07:36 2015-07-15 07:36 · Answer 1 · 2015-07-15 07:36

То, что вам нужно, не имеет ничего общего со спецификацией OASIS XACML и со всем, что связано с используемым вами движком. Вы должны сказать Balana распечатать заявления / след. Сервер Axiomatics Policy Server предоставляет вам такую возможность: вы можете смоделировать оценку и получить трассировку, которая показывает вам, что произошло, какой результат вы получаете и почему.

Ваш фрагмент говорит, что он вернет true, если есть хотя бы одно значение для urn:oasis:names:tc:xacml:1.0:subject:subject-id (из-за флага MustBePresent значение true), и одно из этих значений должно быть равно PI,

Например, если у вас есть следующая политика (которая совпадает с вашей, но обернута внутри Rule и Policy:

Обозначение ALFA ( Википедия)

namespace example{

    import Attributes.*

    policy simpleCondition{
        apply firstApplicable
        rule simpleCondition{
            condition "PI"==subjectId
            permit
        }

    }
}

Нотация XACML 3.0

<?xml version="1.0" encoding="UTF-8"?>
 <!--This file was generated by the ALFA Plugin for Eclipse from Axiomatics AB (http://www.axiomatics.com). 
 Any modification to this file will be lost upon recompilation of the source ALFA file-->
<xacml3:Policy xmlns:xacml3="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17"
    PolicyId="http://axiomatics.com/alfa/identifier/example.simpleCondition"
    RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:first-applicable"
    Version="1.0">
    <xacml3:Description />
    <xacml3:PolicyDefaults>
        <xacml3:XPathVersion>http://www.w3.org/TR/1999/REC-xpath-19991116</xacml3:XPathVersion>
    </xacml3:PolicyDefaults>
    <xacml3:Target />
    <xacml3:Rule 
            Effect="Permit"
            RuleId="http://axiomatics.com/alfa/identifier/example.simpleCondition.simpleCondition">
        <xacml3:Description />
        <xacml3:Target />
        <xacml3:Condition>
            <xacml3:Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:any-of">
                <xacml3:Function FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-equal"/>
                <xacml3:AttributeValue
                    DataType="http://www.w3.org/2001/XMLSchema#string">PI</xacml3:AttributeValue>
                <xacml3:AttributeDesignator 
                    AttributeId="urn:oasis:names:tc:xacml:1.0:subject:subject-id"
                    DataType="http://www.w3.org/2001/XMLSchema#string"
                    Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject"
                    MustBePresent="false"
                />
            </xacml3:Apply>
        </xacml3:Condition>
    </xacml3:Rule>
</xacml3:Policy>

Тестирование политики с помощью точки управления политикой аксиоматики (PAP)

Создайте запрос XACML для проверки вашего варианта использования.

Пустой запрос XACML

<xacml-ctx:Request ReturnPolicyIdList="true" CombinedDecision="false" xmlns:xacml-ctx="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17">
   <xacml-ctx:Attributes Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject" >
   </xacml-ctx:Attributes>
   <xacml-ctx:Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:environment" >
   </xacml-ctx:Attributes>
   <xacml-ctx:Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action" >
   </xacml-ctx:Attributes>
   <xacml-ctx:Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource" >
   </xacml-ctx:Attributes>
   <xacml-ctx:Attributes Category="http://axiomatics.com/xacml/attribute-category/none" >
   </xacml-ctx:Attributes>
</xacml-ctx:Request>

Из-за MustBePresent флаг, этот запрос приводит к неопределенности.

XACML-запрос с неверным идентификатором субъекта

<xacml-ctx:Request ReturnPolicyIdList="true" CombinedDecision="false" xmlns:xacml-ctx="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17">
   <xacml-ctx:Attributes Category="http://axiomatics.com/xacml/attribute-category/none" >
   </xacml-ctx:Attributes>
   <xacml-ctx:Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:environment" >
   </xacml-ctx:Attributes>
   <xacml-ctx:Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource" >
   </xacml-ctx:Attributes>
   <xacml-ctx:Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action" >
   </xacml-ctx:Attributes>
   <xacml-ctx:Attributes Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject" >
      <xacml-ctx:Attribute AttributeId="urn:oasis:names:tc:xacml:1.0:subject:subject-id" IncludeInResult="true">
         <xacml-ctx:AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">Not PI</xacml-ctx:AttributeValue>
      </xacml-ctx:Attribute>
   </xacml-ctx:Attributes>
</xacml-ctx:Request>

Этот запрос приводит к NotApplicable.

Запрос XACML с правильным идентификатором субъекта, PI

<xacml-ctx:Request ReturnPolicyIdList="true" CombinedDecision="false" xmlns:xacml-ctx="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17">
   <xacml-ctx:Attributes Category="http://axiomatics.com/xacml/attribute-category/none" >
   </xacml-ctx:Attributes>
   <xacml-ctx:Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:environment" >
   </xacml-ctx:Attributes>
   <xacml-ctx:Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource" >
   </xacml-ctx:Attributes>
   <xacml-ctx:Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action" >
   </xacml-ctx:Attributes>
   <xacml-ctx:Attributes Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject" >
      <xacml-ctx:Attribute AttributeId="urn:oasis:names:tc:xacml:1.0:subject:subject-id" IncludeInResult="true">
         <xacml-ctx:AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">PI</xacml-ctx:AttributeValue>
      </xacml-ctx:Attribute>
   </xacml-ctx:Attributes>
</xacml-ctx:Request>

Этот запрос приводит к Разрешению.

Вот как выглядит трассировка оценки в точке администрирования политики аксиоматики:

Симуляция политики на сервере политики Axiomatics