policy - 如何使用自定义属性编写 XACML 策略

Question

我正在尝试编写一个将利用自定义属性的 XACML 策略。我在想这样的事情:

<?xml version="1.0" encoding="UTF-8"?>
<Policy xmlns="urn:oasis:names:tc:xacml:1.0:policy"
  xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" PolicyId="deny-demo100"
  RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:first-applicable">
  <Description> </Description>
  <Target>
    <Subjects>
      <AnySubject/>
    </Subjects>
    <Resources>
  <AnyResource/>
</Resources>
<Actions>
  <AnyAction/>
</Actions>
  </Target>

  <Rule Effect="Deny" RuleId="rule-deny-demo100">
    <Target>
      <Subjects>
        <AnySubject/>
      </Subjects>
      <Resources>
        <Resource>
           <AnyResource/>
        </Resource>
      </Resources>
      <Actions>
        <Action>
          <ActionMatch MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">customAttribute</AttributeValue>
            <ActionAttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-    id" MustBePresent="false" DataType="http://www.w3.org/2001/XMLSchema#string"/>
          </ActionMatch>
        </Action>
      </Actions>
    </Target>    
  </Rule>

  <Rule RuleId="deny-demo100-catch-all" Effect="Permit" />

</Policy>

(我们正在使用 Fedora 的 XACML 实现)。

我确信我在这里遗漏了一些非常简单和基本的东西，但无法弄清楚是什么。有人能给我指出正确的方向吗？

Answer 1

自定义属性是什么意思？您想用“简单的古英语”表达什么？

在 XACML 中，您可以使用您喜欢的任何属性，例如角色、公民身份、许可、资源分类、一天中的时间...当然，属性的可用性取决于您要保护的应用程序的类型。您如何使用 Fedora 实现？是用于 Fedora Linux 操作系统中的访问控制吗？

如果您想将属性与值进行比较，例如公民身份 == 加拿大人，然后使用 <Target/> 。如果您想比较两个属性，例如间隙 > 分类，然后使用<Condition> .