xacml - XACML または DB アプローチ

Question

私は XACML ドキュメントを調べ、XML ファイルで承認ポリシーを維持することについて説明しています。データベースにポリシーを維持することで同じことができます。私の質問は、DB アプローチよりも XACML のように XML ファイルにポリシーを保存する利点は何ですか?結局のところ、XML の解析またはデータベースのクエリを実行するだけです。

Answer 1

XACML ポリシー リポジトリは、任意のもの、データベース、ファイル システム、または任意のレジストリにすることができます。しかし、クラスタリング、セキュリティ、管理性、およびパフォーマンスについて考えると. データベースアプローチを使用するのは良いことだと思います..その理由をいくつか挙げさせてください..

1. 複数の PDP ノード (異なるマシン) がクラスター化された環境で実行されている場合、ノードが同じデータベースを指すのは簡単です。その後、ポリシーはマスター ノードで管理でき、他のノード間でのポリシーの配布について心配する必要はありません。
2. XACML ポリシーには、それに関連付けられたメタ データを含めることができます。 Policy Orderポリシーに関連付けられているメタデータの 1 つです。ファイルベースのアプローチを使用する場合、それらを別の方法で管理する必要がある場合があります。ただし、データベースの場合は、ポリシー テーブルに別の列を追加するだけです。実際には実用的な PDP です。ポリシーの有効化/無効化、ポリシー アップデーター、最終更新時刻など、他の関連するメタ データが存在する場合があります。
3. ポリシー キャッシングを使用していない場合は、データベース アプローチを使用する方がよいと思います。速いかもしれません。一部のデータベースは、キャッシュ自体を提供する場合があります。メタデータがある場合は、単一の SQL クエリで取得することもできます

ただし、実用的な PDP では、リクエストごとにポリシーを読み取ってロードすることは決してないと思います。PDP が初期化されると、ポリシーがキャッシュにロードされます。その場合、ファイル ベースのアプローチでパフォーマンスの問題は発生しません。ただし、キャッシュが頻繁に期限切れになると、ほとんどの場合、ポリシーが読み込まれる可能性があります。そのため、常にデータベース アプローチを採用することをお勧めします。