問題タブ [xacml3]

Java アプリケーションで Balana とともに XACML 3.0 を使用しています。MY XML スキーマは次のように定義されています。

私のアプリケーションは、次のように XACML リクエストを PEP に送信します。

私のポリシールールには次のものがあります。

私の応答は次のとおりです。

これには、coPisEmail と coPisFullName の義務値は含まれません。また、これらの動的属性の値を取得する方法がわかりませんか? また、アプリケーションでこれらの値をどのように使用できますか? たとえば、すべての電子メールと氏名を含む 1 つの値のみを返すか、個別の値を個別の応答で返すか? ここで機能に何かが欠けていると思います：

XACML に関する多くの情報を検索した結果、参入障壁の 1 つは、詳細な XML 構文で実装されるポリシーに対する仕様の要求であるように思われます。Axiomatics Eclipse ALFA プラグインは、ベンダーと契約しない限り、無料のツールではないことを理解しています。

クロスプラットフォームで動作する独自のオープンソース ALFA 実装を作成したいと考えていますが、ALFA に準拠していることを確認したいと考えています。私はパブリック ALFA 仕様を持っているので、Antlr4 g4 文法を書くことができますが、ここで車輪を再発明したくありません。

オープンソース コミュニティが利用できる ALFA g4 文法は存在しますか?

XACML 標準を読んでいて、この要素が表示されますが、ドキュメントは非常に技術的であり、これらの要素に関する例を見つけることができません。

要素CombinerParametersと要素CombinerParameterは XACML で何をしますか?

ありがとう。

例を使用して私の問題を説明しましょう -

ルート ロケーション Mumbai (ロケーション階層のルート要素) と 2 つの子 Andheri と Bandra があるとします。

私にはマネージャーと工場エンジニアの 2 つの役割があります。マネージャーはムンバイの下にあるすべての場所にアクセスでき、プラント エンジニアはルート要素 (ムンバイ) の子レベルのアクセス権があります。

私には、従業員「A」がマネージャー、従業員「B」、「C」、「D」の 4 人の従業員がプラント エンジニアとして勤務しています。

「B」、「C」、および「D」はプラント エンジニアであるため、3 つすべてが Andheri および Bandra レベルの場所にアクセスできますが、XACML ポリシーを通じて、プラント エンジニア「B」および「D」が特権を持つ必要があるという条件を適用したいと考えています。 Andheri の場所のみにアクセスするには、プラント エンジニア「C」には、Andheri と Bandra の両方の場所にアクセスする権限が必要です。

上記の条件を満たすことができる XACML ポリシーをどのように記述すればよいかわかりません。

wso2is-5.1.0 で与えられた XACML ポリシーの下にアップロードしようとしています。「ポリシーのアップロードに失敗しました。無効な資格ポリシーです。ポリシーは XACML スキーマに従って有効ではありません」というエラー メッセージが表示されます。XACML の何が問題なのかわかりません。コンソールで[2016-06-20 18:50:06,142] ERROR {org.wso2.carbon.identity.entitlement.EntitlementUtil} - ポリシーメッセージに無効な名前空間が見つかりました。

XACML ポリシーで NotApplicable 応答が返されるのはなぜですか? 私の XACML ポリシー、リクエスト、およびレスポンスを以下で見つけてください。私のポリシーでは、ユーザー名に一致するメイン ターゲット要素があります。テストには wso2is-5.1.0 を使用しています。

XACML ポリシー

XACML リクエスト

XACML レスポンス

次のように定義された XACML 3.0 ポリシーがあります。

私の XACML リクエストは、値「Computer Engineering」を含む追加の AttributeId="group" で次のようになります。

PEP がNotApplicableを返すことを望んでいましたが、逆に次の応答を返します: with PERMIT 定義されたポリシー ルールには、ルール ターゲットとして「グループ」と呼ばれる属性が含まれていませんが、要求は値を持つ「グループ」属性を送信しています。 Computer Engineering」と、それもマッチと PERMIT 応答を返すことです。

足りないものはありますか？私はそれを理解できませんでした。現在、アプリケーションの PEP 実装としてBalanaを使用しています。