标签: authzforce

有没有人编写过XACML实现而不是Sun XACML Implementation和XEngine？

谁在他们的产品中使用它们？

哪些供应商提供PDP？我读了一些关于WebLogic XACML Provider的内容.还有哪些其他产品支持XACML？

我是XACML政策的新手.您能指定我如何实施XACML策略吗？我尝试过不同的API.但对于我的项目,我需要实现XACML评估引擎.那么,你能帮我提供实施细节吗？哪种语言最适合实施评估引擎.

提前致谢.

我想在 Orion Context Broker NGSI API 级别提供访问控制，以确保真正的数据隔离。我想确保租户只能查询/更新他们的上下文，而不能查询/更新其他租户的上下文。

为此，我开始在 Orion Context Broker 前面放置一个Wilma PEP Proxy实例。然后，我根据官方IdM Keyrock docker映像配置了自己的 Identity Manager keyrock GE 实例，并根据官方AuthzForce docker 映像配置了自己的 Authorization PDP GE 。

经过几天的配置和多次尝试，我终于可以让这三个安全通用启用器正常工作，使用PEP 代理级别 2对 Orion Context Broker NGSI API 的请求进行身份验证和授权。

但是，2 级授权不足以保证我想要的，因为服务（租户）和子服务（应用程序路径）信息都在请求的标头中。特别是在Fiware-Service 和Fiware-ServicePath 标头中。为了构建基于标头的授权策略，您需要使用级别 3：XACML 授权。

问题是我在 Fiware 的官方文档中进行了一些挖掘，但找不到任何 XACML 策略的示例。除了 Wilma PEP Proxy 的官方文档（请参阅此处）外，您可能必须修改 PEP Proxy 源代码才能获得此级别的授权。

由于这种情况被认为是检查请求的高级参数，例如正文或自定义标头，因此这取决于具体的用例。因此，程序员应该修改 PEP 代理源代码以包含特定要求。

有这样可能吗？

我真的需要修改 PEP 代理源代码来实现像租户只能访问他的数据这样简单的事情吗？

我正在评估PDP引擎，此刻我尝试AuthzForce Core。到目前为止，PDP评估请求的过程非常可靠：

//My request and pdp configuration files
File confLocation = new File("D:/docs/XACML/AuthZForce/IIA001/pdp.xml");//pdp.xml tells the pdp where the policies xml files are
File requestFile = new File("D:/docs/XACML/AuthZForce/IIA001/Request.xml");

//I instantiate the pdp engine and the xacml parser
final PdpEngineConfiguration pdpEngineConf = PdpEngineConfiguration.getInstance(confLocation, null, null);
PdpEngineInoutAdapter<Request, Response> pdp = PdpEngineAdapters.newXacmlJaxbInoutAdapter(pdpEngineConf);
XmlUtils.XmlnsFilteringParser xacmlParserFactory = XacmlJaxbParsingUtils.getXacmlParserFactory(false).getInstance();

//I parse the request file
Object request = xacmlParserFactory.parse(requestFile.toURI().toURL());
if (request instanceof Request) {
    //At this point I could access all request attributes or alter them …

我将使用 OAuth2 和 XACML（使用 AuthZForce、Balana、AT&T XACML 或类似的东西）来保护我的 Spring Cloud 应用程序。

我想使用 Spring-Cloud(-Netflix) 的微服务。为了使 XACML 可用，我认为我需要这个：

1. 每个现有 API 服务的 PEP
2. PDP 作为新服务，由 PEP 使用。因为Spring-Cloud(-Netflix)具有负载均衡功能(Eureka)，所以我需要在Eureka上注册该服务并实现REST-API。
3. 由于所有 PDP 应使用相同的策略，因此需要集中存储它们（策略提供者）

哪种框架最适合这种方法。

update 1 AuthZForce 应该可以（根据功能描述），但我不太确定如何（没有详细的文档或教程）。