Spring Security与XACML集成（或任何其他基于策略的解决方案）

Question

我们的Web应用程序基于Spring安全性。我们已经通过SSO提供程序（CAS）处理身份验证

我们正在尝试寻找一种方便的解决方案来处理我们的应用程序的授权（角色和前提）。

我了解了XACML；但是，找不到在Spring-security框架中实现和集成它的任何实践经验/示例。

有人对此有经验吗？

谢谢，雷。

Answer 1

Asela 所说的对于大多数基于 XACML 的授权服务器来说都是正确的。

您可以选择开源：

• WSO2（Asela 的）为您提供的不仅仅是 XACML BTW - 它首先是一个中介平台
• ForgeRock 的 OpenAM
• JBoss 的 PicketBox。
• 赫拉斯AF
• 授权力量

一些实现 XACML 2.0，其他实现 XACML 3.0

在供应商空间中，您有：

• IBM（XACML 2.0）
• 甲骨文（专有）
• 戴尔（XACML 3.0，基于.NET）
• 公理化（XACML 3.0、.NET 和 Java）

免责声明：我为后者工作，Axiomatics。我们过去测试过实现 Spring Security Access Decision 的示例 PEP，并且运行良好。我们的 PDP 既可以作为 SOAP Web 服务公开，也可以根据 XACML 的 REST 配置文件通过 REST 公开。

您想让 Spring Access Decision Manager 实现 XACML PEP 吗？您想使用投票器吗？您需要支持义务和建议吗？

您还可以使用 Axiomatics 也提供的 AOP PEP。我们将在下周四举办有关该主题的网络研讨会。详细信息请参见此处。