XACML - 政策實際上是否需要規則？

Question

如果我定義了一個XACML策略並在策略目標中提供了一些屬性，我是否實際上需要提供一個附加規則？

Answer 1

是的，你需要一個規則來實際說出你想要允許還是拒絕訪問。

Answer 2

從架構驗證的角度來看，您可以制定一個沒有規則的策略，但正如克雷格指出的那樣，規則就是決定。所以一個無規則的政策是毫無意義的。

Answer 3

您需要考慮策略的邏輯流程。通過定義目標屬性，你告訴它要影響什麼，但不是如何。即使您使用ActionMatch在策略目標中定義了操作，您確實所做的是針對具有特定操作ID的規則處的操作。

換句話說，策略目標中定義的動作通過匹配屬性值來標識與動作相關的實體。這仍然錯過了強制性的規則，其中將包含行動邏輯。