database - NoSQL 数据库的 ABAC

Question

如果我需要使用 ABAC 模型访问数据库，我知道有一些可能性(例如，如果数据库是 Oracle，则可以使用 Oracle VPD)。尽管如此，我找到的所有解决方案都仅适用于关系数据库。是否可以使用 NoSQL 数据库实现 ABAC？

Answer 1

是的。我工作的 Axiomatics 提供了一个 ABAC 解决方案，可用于广泛的系统。有一种专用解决方案将 ABAC 应用于关系数据库，但除此之外，还有一种基于 API 的通用解决方案可用于保护范围更广的系统。

当您想使用 NoSQL 系统(或包含大量数据的任何系统)实现 ABAC 时，您有 2 个选择:

• 向目标系统提供授权配置。在这种情况下，您可以利用目标的能力来定义授权。这是供应和治理系统(例如 Sailpoint)以及 Axiomatics 通过其 Policy Server 及其 Reverse Query API 采取的一种方法
• 生成在查询进入 NoSQL 系统之前在运行时应用的过滤器表达式。这与 Oracle VDP 或 ADAF MD 对关系数据库采用的方法相同。在这种情况下，有一个策略执行点(PEP - 标准 ABAC 架构的一部分)的概念。同样，Axiomatics 为您提供 SDK，因此您可以将自己与自己的系统集成并生成您感兴趣的过滤器(无论是 NoSQL 还是其他)。

根据您正在处理的系统，这可能是一项简单或艰巨的任务。为 LDAP 进行过滤是儿戏，但为 SQL 进行过滤要困难得多(这就是我们提供 SQL OOTB 的原因)。

希望对你有帮助

大卫。