如何管理PEP和PDP之間的信任

Question

我正在使用分佈式方案，其中有多個PEP和PDP實例，在這種情況下，PDP將如何驗證XACML請求是否來自我的可信PEP。

Answer 1

可以有不同的方式來信任PEP。規範中沒有明確提及。但提到您必須使用SSL和身份驗證機制（例如Basic/Digest身份驗證）。還有一個SAML-XACML配置文件，講述了PEP-PDP通信。但我想，可以採用兩種簡單的方法。

1. 使用SSL進行基本認證。每個PEP都有用戶/密碼。當PEP發送XACML請求時，用戶/密碼必須在基本驗證標頭內發送。 PDP可以通過處理Basic Auth頭來驗證用戶/通行證。所有的PDP可以連接相同的憑證存儲。

2. 相互SSL。 （雙向SSL）。您可以實施PDP以支持相互SSL。然後，PEP必須通過交換證書來創建SSL會話。 PEP必須有自己的證書（私鑰，公鑰對）。要信任由PDP認證的PEP，它們必須位於PDP的信任庫中（或由可信CA簽名的較少），然後PDP可以信任PEP的證書。