Стандарт (ы) для формата или структуры ресурса-источника XACML?

Question

Есть ли стандартный или одобренный профиль для формата/структуры идентификаторов ресурсов (urn: oasis: names: tc: xacml: 1.0: resource: resource-id), который активно используется поставщиками продуктов IdAM? Я разрабатываю прототип кода для таких продуктов, как Oracle Entitlements Server (OES), ForgeRock OpenAM и WSO2 Identity Server (WSO2IS) около года, а идентификаторы ресурсов, по-видимому, специфичны для поставщиков. Например, основываясь на моем опыте:

В OES ресурс идентификаторы принимают форму/имя приложения/типа ресурса/ресурсных элементов, разделенных косой чертой

В OpenAM Идентификаторы ресурсов выглядят так: realm/название приложения/элементы ресурсов, разделенных косой чертой

В WSO2IS там не кажется, конкретный формат в жизнь, по крайней мере, не через графический интерфейс управления

В АКСИОМАТИКА Policy Server, пользователи могут выбирать формат, который им нравится.

Я просмотрел Hierarchical Resource Profile, но я не вижу (или пропустил), где указанные продавцы специально поддерживают этот профиль. (Я также не на 100% уверен в своей применимости к конкретному вопросу, о котором я прошу, и именно поэтому я упоминаю его.)

Одной из конкретных проблемных областей является моделирование ресурсов, которые необходимо защитить приложение, действующее в роли PEP, поскольку, как представляется, существует определенная информация о конкретном поставщике/реализации, которая является частью моделирования идентификаторов ресурсов. Внутри нашего клиента есть сильное желание оставаться нейтральным поставщиком/поставщиком, что является одной из основных причин, по которым они заинтересованы в реализации на основе стандартов (XACML).

Любые рекомендации или рекомендации по этому вопросу были бы весьма полезными.

Answer 1

В XACML вы можете свободно выбирать свою структуру. Нет предопределенной структуры. Как OES, так и WSO2 обучают вас структуре, чтобы упростить их инструмент управления, который, как вы указываете, блокирует вас в этих поставщиках.

Существует - вы указываете - профиль, называемый иерархическим профилем ресурсов, который определяет, как вы можете создавать свои собственные идентификаторы ресурсов. Я проверил технический список оазисного комитета, и насколько я могу судить об этом только SunXACML и Axiomatics.

Если вы посмотрите на реалистичные реализации XACML 3.0, например, Axiomatics Policy Server вы увидите, что вы можете определить свои собственные атрибуты, свою таксономию и структуру политики. Вы не привязаны к взгляду поставщика на мир.