authorization - XACML 义务

Question

我们如何在 XACML 中使用义务？任何引用都会有所帮助
场景是义务应该引用 PIP 并将结果返回给 PEP
谢谢
来自作者评论的示例:

<ObligationExpressions>
    <ObligationExpression ObligationId="EmailObligation" FulfillOn="Permit">
        <AttributeAssignmentExpression AttributeId="urn:oasis:names:tc:xacml:3.0:example:attribute:text">
            <AttributeDesignator MustBePresent="false" Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject" AttributeId="urn:oasis:names:tc:xacml:1.0:subject:subject-id" DataType="w3.org/2001/XMLSchema#string"/>
        </AttributeAssignmentExpression>
    </ObligationExpression> 
</ObligationExpressions>

Answer 1

XACML 中的义务(以及 XACML 3.0 中引入的 Advice)用于丰富授权流程。

典型的 XACML 响应仅包含一个决定(允许、拒绝、不适用或不确定)。但是，如果您想告诉用户访问被拒绝的原因怎么办？如果你想实现一个“打破玻璃”的场景怎么办？

这是义务和建议派上用场的地方。这里有一些例子:

拒绝 Alice 访问文档 D + 义务:给她的经理 Bob 发送电子邮件，让他知道 Alice 试图访问文档 D。

拒绝House Doctor 查看病历的权利+ 义务:告诉Doctor House 他可以“打破玻璃”访问病历。

允许 Joe 查看文档 D，但在将其返回给 Joe 之前先为文档添加水印

在 XACML 3.0 中，义务和建议可以包含可变部分，例如 - 在上面的示例中 - 经理的电子邮件。这些部分可以从 PIP 中检索。