XACML은 실제로 찾고있는 솔루션입니다. 액세스 제어에만 중점을 둔 규칙 엔진 유형입니다. OASIS에서 정의한 표준 인 XACML은 세 부분으로 정의됩니다.

• 건축
• 정책 언어 (실제로 원하는 것)
• 요청 / 응답 체계 (승인 결정을 요청하는 방법).

아키텍처는 다음과 같습니다.

• PDP (Policy Decision Point)는 아키텍처의 핵심 부분입니다. 알려진 정책 세트에 대해 수신 권한 부여 요청을 평가하는 구성 요소입니다.
• PEP (Policy Enforcement Point)는 애플리케이션 / API / 서비스를 보호하는 코드입니다. PEP는 비즈니스 요청을 가로 채고 XACML 권한 부여 요청을 작성하여 PDP로 전송하고 응답을 다시 수신하며 응답 내부의 결정을 시행합니다.
• PIP (Policy Information Point)는 PDP를 LDAP, 데이터베이스 또는 웹 서비스와 같은 외부 데이터 소스에 연결할 수있는 구성 요소입니다. PIP는 PEP가 “앨리스 doc # 12를 볼 수 있습니까?”와 같은 요청을 보낼 때 편리합니다. PDP에는 사용자의 연령을 요구하는 정책이 있습니다. PDP는 PIP에 “앨리스의 나이를 줘”라고 요청한 다음 정책을 처리 할 수 ​​있습니다.
• PAP (정책 관리 지점)는 전체 XACML 솔루션 (속성 정의, 정책 작성 및 PDP 구성)을 관리하는 장소입니다.

첫 사용 사례는 다음과 같습니다.

/*
 * All users in department 1 with over 5 years of seniority can VIEW resource FOOBAR-1, else not authorized
 * 
 */
 policy departmentOne{
    target clause department == 1
    apply firstApplicable
    /**
     * All users in department 1 with over 5 years of seniority can VIEW resource FOOBAR-1, else not authorized
     */
    rule allowFooBar1{
        target clause resourceId=="FOOBAR-1" and seniority>=5 and actionId=="VIEW"
        permit
    }
    rule denyOtherAccess{
        deny
    }

 }

두 번째 사용 사례는 다음과 같습니다.

 /*
  * "All users in department 2, if the date is after 03/15/2016, can VIEW resource FOOBAR-2, else not authorized"
  *  
  */
  policy departmentTwo{
    target clause department == 1
    apply firstApplicable
    rule allowFooBar2{
        target clause resourceId=="FOOBAR-1" and seniority>=5 and currentDate>"2016/03/15":date and actionId=="VIEW"
        permit
    }
    rule denyOtherAccess{
        deny
    }
  }

참조를 사용하여 두 가지 사용 사례를 단일 정책으로 결합 할 수 있습니다.

  policyset global{
    apply firstApplicable
    departmentOne
    departmentTwo
  }

그리고 당신은 끝났습니다!

XACML 및 ALFA에 대한 자세한 내용은 다음을 참조하십시오.

• XACML 개발자 블로그
• XACML 개발자의 YouTube 채널

답변