评估XACML 3.0组合算法

作者: 听风～
发布时间: 2023-08-24 01:09:24 (9月前)
转自：

3 条回复

0#
回复此人
晴天3 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <H1> 评估结果仅使用P1 </H1> <UL> <LI> q1 = {（组，员工），（资源，文件1），（时间，日期）} <UL> <LI> 的<strong> 响应： </强> 允许。 P1中的第一条规则启动，组合算法使过程停止。一天中的时间对决策没有影响。 </LI> </UL> </LI> <LI> q2 = {（组，学生），（资源，文件2），（时间，夜晚）} <UL> <LI> 的<strong> 响应： </强> 允许。 P1中的第二条规则启动，组合算法使进程停在那里。一天中的时间再次对决策没有影响。 </LI> </UL> </LI> <LI> q3 = {（group，staff），（resource，file1）} <UL> <LI> 的<strong> 响应： </强> 允许。这与q1基本相同。 </LI> </UL> </LI> </UL> <H1> 评估结果仅使用P2 </H1> <UL> <LI> q1 = {（组，员工），（资源，文件1），（时间，日期）} <UL> <LI> 的<strong> 响应： </强> 允许，因为在白天允许所有访问。 P2内的规则1不适用。规则2授予访问权限。 </LI> </UL> </LI> <LI> q2 = {（组，学生），（资源，文件2），（时间，夜晚）} <UL> <LI> 的<strong> 响应： </强> 拒绝，因为所有访问都在夜间被拒绝。 P2中的规则1适用。组合算法使得处理在规则1之后停止。 </LI> </UL> </LI> <LI> q3 = {（group，staff），（resource，file1）} <UL> <LI> 的<strong> 响应： </强> 不适用。如果指定了时间，则仅触发这两个规则，而在此请求中不是这种情况。因此，评估以NotApplicable结束。 </LI> </UL> </LI> </UL> <H1> 使用P3（P1和P2的组合）的评估结果 </H1> <UL> <LI> q1 = {（组，员工），（资源，文件1），（时间，日期）} <UL> <LI> 的<strong> 响应： </强> 允许访问，因为员工可以在白天查看file1。 </LI> </UL> </LI> <LI> q2 = {（组，学生），（资源，文件2），（时间，夜晚）} <UL> <LI> 的<strong> 响应： </强> 无论学生想要查看什么，访问都被拒绝。在这种情况下，由于P3中的过度组合算法（拒绝覆盖），夜间策略胜过所有其他策略。 </LI> </UL> </LI> <LI> q3 = {（group，staff），（resource，file1）} <UL> <LI> 的<strong> 响应： </强> 允许访问，因为允许员工查看file1并且没有指定时间。 </LI> </UL> </LI> </UL> <H1> 笔记 </H1> <P> 不需要在白天授予访问权限的策略。事实上，它甚至可能会打开您不希望拥有的访问权限。例如，根据当前的政策，学生可以编辑自己的考试成绩，只要它是白天。 </p> </DIV>

编辑
1#
回复此人
Jacob | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 另一个答案是详细的，并且在很大程度上是正确的，除了涉及规则的目标缺少MustBePresent设置为true的属性的两个案例。 </p> <P> 这个答案中只讨论这些案例。 </p> <H1> 政策p2 - 请求q3 </H1> <UL> <LI> 规则：如果全部匹配则拒绝：时间[MBP] =夜晚 - ＆gt;由于缺少时间属性而不确定{D}且MustBePresent = true且规则效果为拒绝 </LI> <LI> 规则：如果匹配全部允许：时间[MBP] =天 - ＆gt;由于类似的原因，不确定{P} </LI> <LI> op：denyOverrides - ＆gt;不确定{} DP </LI> </UL> <P> 评估结果为Indeterminate {DP} </p> <H1> policyset p3 - 请求q3： </H1> <UL> <LI> 政策p1 <UL> <LI> rule：如果匹配all则允许：group = staff，resource = file1 - ＆gt;允许 </LI> <LI> op：permitOverrides - ＆gt;许可，不管任何其他规则的结果 </LI> </UL> </LI> <LI> 政策p2 - ＆gt;如前一种情况所述，不确定{DP} </LI> <LI> op：denyOverrides - ＆gt;不确定{} DP </LI> </UL> <P> 评估结果为Indeterminate {DP} </p> <H1> 参考 </H1> <P> XACML 3.0规范包含您理解所需的所有详细信息 </p> <UL> <LI> <P> 对于属性检索和MustBePresent标志，请参阅 <a href="http://docs.oasis-open.org/xacml/3.0/xacml-3.0-core-spec-os-en.html#_Toc325047178" rel="nofollow noreferrer"> 第7.3.5节 </A> </p> </LI> <LI> <P> 对于组合算法，请参阅 <a href="http://docs.oasis-open.org/xacml/3.0/xacml-3.0-core-spec-os-en.html#_Toc325047268" rel="nofollow noreferrer"> 附录C. </A> </p> </LI> </UL> </DIV>

编辑

登录后才能参与评论