具有多個資源，多個規則和多個操作的XACML策略

Question

在多決策概要方案中，我想為特定租戶和根客戶（例如客戶）創建策略。 在這里，我的情況就像我有一個租戶T1，並且租戶T1被允許訪問根資源Customer。 客戶是頂級資源，它將包含子子資源，例如： Sub-Resources: name, email 。 在我的方案中，如何創建策略，以便可以為每個子資源強制執行多個規則，例如：

規則1：管理員允許訪問資源- {name: create,read,update,delete}, {email: create,read,update,delete}規則2：員工允許訪問資源- {name: read,update}, {email: read} {name: create,read,update,delete}, {email: create,read,update,delete} {name: read,update}, {email: read}請共享相同的政策結構和請求格式。

在請求格式中，我只希望傳遞租戶ID和根級別資源Customer。

Answer 1

在這種情況下，您想要做的就是傳遞您感興趣的字段ID。

該請求將是：“ Alice可以查看客戶記錄＃123的名稱字段”嗎？

您可以將其表示為多重決策請求，例如：

“ Alice可以查看客戶記錄＃123的名稱，電子郵件和職位名稱字段”嗎？

無論哪種方式，您的政策都將以領域為中心。 它將保護給定的字段或一組字段。 您實際上可以定義一組非敏感字段和一組敏感字段。 您甚至可以根據字段元數據編寫策略。 與其說“用戶可以查看字段'email'”，不如說“如果用戶的權限>字段的敏感度，則用戶可以查看字段”。

另外，您也可以使用反向查詢-盡管它特定於Axiomatics的API。 反向查詢使您可以執行以下類型的請求/響應：

• 問：列出愛麗絲可以查看的字段
• 答：姓名，電子郵件