解決XACML策略沖突

Question

XACML如何處理策略沖突？ 如果PAP（策略管理點）在包含的兩個policy.xml文件中具有兩個不同的<policy>元素，其中兩個策略具有相同的Target ，將評估哪個？ 兩種策略均獨立包含在<policy>中的不同文件中。

如果兩個<policy>元素都在<PolicySet> ，則將使用PolicyCombiningAlgId 。 但是當它們獨立存在時，XACML引擎如何處理呢？

Answer 1

（注意：我清理了您的問題，因為您有很多XACML錯誤）。

解決XACML中的沖突有兩種方法。 這些是：

• 策略組合算法。 這些設置在PolicySet元素內部，用於合並PolicySet子級的結果（Policy和PolicySet元素的混合）。
• 規則組合算法。 這些設置在Policy元素內部，用於合並Rule子元素的結果。

您的問題最具體地涉及您配置了帶有多個策略的策略決策點（PDP）（而不是您編寫的PAP）的情況。 哪一個贏了？ 由於它們都沒有包裝，因此沒有任何組合算法可供選擇。 XACML標准中未定義此行為，並且將取決於您使用的XACML引擎。

例如， Axiomatics XACML引擎迫使您始終選擇一個根策略（集合），即該引擎將其視為入口點的策略（集合）。 傳遞給PDP的任何其他策略僅在根策略引用它們的情況下使用。

如果您想了解有關組合算法的更多信息，請查看我最近寫的這篇博客文章 。