architecture - XACML 作为现有应用程序的演进步骤

Question

我已经开始对 XACML 和外部授权做一些研究。现在我有一个使用 RBAC 模型的现有应用程序。然而，该实现有很多缺点(角色不容易定义，角色过于粗糙)。

XACML 是一个不错的选择吗？是否有任何现有的应用程序从 RBAC 来源切换到 XACML？有什么缺点吗？

Answer 1

免责声明:我是 IBM 的开发人员，我正在开发广泛使用 XACML 的产品(Tivoli Security Policy Manager)。我有点偏向 XACML。

我认为 XACML 是一个很好的选择，主要是因为它几乎可以支持任何安全模型。我建议在 XACML 中对您现有的 RBAC 解决方案进行建模(参见 the profile)，然后将其扩展为在您的业务需求需要的地方包含更细粒度的访问控制。

将您的授权代码外部化到策略中具有额外的优势，即无需重新编译即可修改应用程序的安全模型。

Are there any exisitng applications which have switched to XACML from an RBAC origin?

不幸的是，我不知道任何具体的例子，至少是我可以公开谈论的例子。有一个内部 IBM 项目分配了一个月的时间来实现他们的授权模块，但通过使用我们的 XACML 实现将其外部化，它在一周内完成。这显然与您的示例不同，因为它是一个“绿色领域”开发项目，但强调您正在考虑的一般方法有好处。