Политика XACML для динамических атрибутов

Question

Я хочу, чтобы, если запрашивающая сторона и владелец политики находились в одной комнате (здесь расположение является динамическим атрибутом), то запрашивающая сторона получит доступ к ресурсу. Как я могу написать это в политике XACML?

Answer 1

То, что вы хотите сделать, может быть реализовано с использованием условия XACML.

В серии " Вопрос аксиоматики недели " есть статья на эту тему, которую вы можете прочитать здесь.

С условием вы можете реализовать отношения. Отношения, в вашем случае, будут сравнивать местоположение запрашивающей стороны и местоположение владельца политики.

В ALFA ваша политика может выглядеть следующим образом:

policy allow{
    apply firstApplicable
    rule allow{
        permit
        condition requesterLocation == policyOwnerLocation
    }
}  

Это создает следующий XML:

<?xml version="1.0" encoding="UTF-8"?>
 <!--This file was generated by the ALFA Plugin for Eclipse from Axiomatics AB (http://www.axiomatics.com). 
 Any modification to this file will be lost upon recompilation of the source ALFA file-->
<xacml3:Policy xmlns:xacml3="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17"
    PolicyId="http://axiomatics.com/alfa/identifier/example.allow"
    RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:first-applicable"
    Version="1.0">
    <xacml3:Description />
    <xacml3:PolicyDefaults>
        <xacml3:XPathVersion>http://www.w3.org/TR/1999/REC-xpath-19991116</xacml3:XPathVersion>
    </xacml3:PolicyDefaults>
    <xacml3:Target />
    <xacml3:Rule 
            Effect="Permit"
            RuleId="http://axiomatics.com/alfa/identifier/example.allow.allow">
        <xacml3:Description />
        <xacml3:Target />
        <xacml3:Condition>
            <xacml3:Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:any-of-any">
                <xacml3:Function FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-equal"/>
                <xacml3:AttributeDesignator 
                    AttributeId="com.axiomatics.example.requesterLocation"
                    DataType="http://www.w3.org/2001/XMLSchema#string"
                    Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject"
                    MustBePresent="false"
                />
                <xacml3:AttributeDesignator 
                    AttributeId="com.axiomatics.example.policyOwnerLocation"
                    DataType="http://www.w3.org/2001/XMLSchema#string"
                    Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource"
                    MustBePresent="false"
                />
            </xacml3:Apply>
        </xacml3:Condition>
    </xacml3:Rule>
</xacml3:Policy>