Общий дизайн XACML RBAC для множества приложений

Question

Есть ли способ создать общий контроль доступа на основе ролей (RBAC) в корпоративных приложениях, чтобы другие приложения могли также использовать одну и ту же конфигурацию?

Я видел поддержку WSo2 Rbac с XACML, но я не могу понять, как разрабатывать общие политики RBAC, чтобы другие приложения также могли ее использовать.

Я понял, как создавать политики в XACML с WSO2 Identity Server, но я не могу понять, как все приложения Java будут использовать эти политики?

Answer 1

Для использования политик XACML в ваших приложениях необходимо установить агент XACML PEP (Policy Enforcement Point), интегрированный с вашим приложением. Агент PEP перехватит все ваши запросы на доступ к ресурсу и преобразует его в XACML-запрос, а затем связывается с сервером политики XACML для принятия решения.

Если ваше приложение является веб-приложением Java, вы можете создать фильтр сервлетов в качестве PEP. Вы можете найти образец here и here.

Если вы используете его для авторизации на уровне поля или вне веб-приложения, вы можете использовать клиент PEP на основе бережливости, который будет связываться с вашим сервером политики XACML. Вы можете найти образец PEP, используя java here. Thrift - более эффективный протокол, чем SOAP или REST.

Answer 2

В дополнение к ответу Юсуфа, в котором основное внимание уделяется обеспечению соблюдения, вы также должны рассмотреть возможность использования RBAC Profile of XACML, который фокусируется на самом дизайне политики. В нем объясняется, как разрабатывать политики для приложений, ориентированных на RBAC.

В профиле, показанном на диаграмме ниже, политики организованы в политики ролей и политики разрешений. Благодаря использованию ссылок на политику можно назначить несколько разрешений нескольким политикам ролей. Также возможно, чтобы роли наследовали другие роли (например, менеджер наследовал бы разрешения сотрудника).

НТН