PROSAGA码农传奇-大数据安全-在属性解析不可能的情况下，ABAC PIP应该做些什么？

<div class =“post-text”itemprop =“text”>
  
    <a href="https://www.nist.gov/publications/guide-attribute-based-access-control-abac-definition-and-considerations" rel="nofollow noreferrer">
      ABAC
    </A>
     是一个广义的概念，没有指明这种低级行为;并且很难为所有ABAC框架提供通用的最佳实践，因为有越来越多的ABAC框架可能完全不同：其中一些是标准的（例如。
    <a href="http://docs.oasis-open.org/xacml/3.0/xacml-3.0-core-spec-en.html" rel="nofollow noreferrer">
      OASIS XACML
    </A>
    ，
    <a href="https://www.nist.gov/publications/exploring-next-generation-access-control-methodologies" rel="nofollow noreferrer">
      NIST NGAC
    </A>
    ），其他非标准但通用的（例如。
    <a href="https://www.openpolicyagent.org/" rel="nofollow noreferrer">
      OPA
    </A>
    ），其他产品特定的（例如
    <a href="https://kubernetes.io/docs/reference/access-authn-authz/abac/" rel="nofollow noreferrer">
      Kubernetes ABAC
    </A>
    ）。
  
  
    由于规范更加成熟，因此更容易为XACML（3.0）标准提供提示：
  
  <OL>
    <LI>
      
        的
           5.29
        </强>
         说：
        
          如果上下文中不存在匹配属性，则
          的
            MustBePresent
          </强>
           属性控制此元素是返回空包还是 Interterminate 。见7.3.5节。
        
         （MustBePresent是在XACML策略中的AttributeDesignator元素上定义的.AntributeDesignator是对属性的引用，在您的情况下，如果该属性在当前请求上下文中不可用，则应调用PIP。）
      
    </LI>
    <LI>
      
        的
           7.3.5
        </强>
         提供更多细节：
        
          如果缺少该属性，则MustBePresent控制属性指示符或属性选择器是返回空包还是 Interminminate 结果。如果MustBePresent是 False （默认值），则缺少的属性应该导致空包。如果MustBePresent是 True ，则缺少的属性应该导致 Interterminate 。应该根据包含的表达式，规则，策略和策略集的规范来处理这个“确定”结果。如果结果为 Interterminate ，则属性的AttributeId，DataType和Issuer可以在第7.17节中描述的授权决策中列出。但是，PDP可能出于安全原因选择不返回此类信息。 [...]无论在策略评估期间对请求上下文进行任何动态修改，PDP都应该表现得好像每个属性值包在首次测试之前在上下文中完全填充，并且此后在评估期间是不可变的。 （也就是说，该属性的每个后续测试都应使用最初测试过的同一组值。）
        
        的
          最后一句特别意味着如果PIP属性解析导致空包并且MustBePresent = False，则应该将属性值保留为空包以用于其余的策略评估，即不要尝试再次为相同属性调用PIP （在相同的背景下冒着价值变化的风险）。
        </强>
      
    </LI>
    <LI>
      
        的
           7.19.3
        </强>
         指定PDP应如何在其响应中包含有关缺失属性的信息。
      
    </LI>
    <LI>
      
        请注意，最终结果也会受到XACML中的算法组合的影响。例如。即使由于子规则/策略（集）中的PIP错误而导致AttributeDesignator返回Indeterminate，封闭策略的算法（如deny-unless-permit（resp.allow -no-deny））也可能返回Deny（resp.Permit），无论如何。
      
    </LI>
  </醇>
  
    这就是标准所说的，那就是特定于实现的行为。在
    <a href="https://github.com/authzforce/core" rel="nofollow noreferrer">
      AuthzForce
    </A>
     例如，XACML实现，我们在尝试尽可能符合XACML时区分以下情况：
  
  <OL>
    <LI>
      如果在属性解析（连接问题，配置错误，缺少依赖性等）期间发生PIP内部错误，那么无论MustBePresent如何，AttributeDesignator都会评估为Indeterminate，因为我们认为这很关键，我们添加信息
      
        缺少属性XXX
      
      ;我们还会添加有关原因的信息，例如
      缺少依赖项：属性YYY
      
       如果PIP需要一些上下文中缺少的属性来完成其工作（例如
      
        缺少依赖：属性'subject-id'
      
       如果PIP获取用户的角色但需要subject-id属性来执行该操作，则缺少该角色。
    </LI>
    <LI>
      如果PIP属性解析完成没有错误但没有找到值，则换句话说结果为空（例如，某些PIP从数据库中成功获取用户的角色，但由于没有为用户分配任何角色，因此获取空列表。），然后，如果MustBePresent = false，则AttributeDesignator评估为空包，否则（如果MustBePresent = true）返回Indeterminate信息
      
        缺少属性XXX
      
      。
    </LI>
  </醇>
</DIV>