XACML - 策略实际上是否需要规则？

Question

如果我定义了XACML策略并在策略目标中提供了一些属性，我是否真的需要提供其他规则？

Answer 1

是的，您需要一条规则来实际说明您是要允许还是拒绝访问。

Answer 2

从架构验证的角度来看，您可以拥有一个没有规则的策略，但正如Craig所指出的那样，规则就是决策的内容。因此，无规则的政策毫无意义。

Answer 3

您需要考虑政策的逻辑流程。通过定义目标属性，您可以告诉它要影响什么，而不是如何影响。即使您使用ActionMatch在策略目标中定义操作，您真正做的是使用特定的ActionID定位操作的规则。

换句话说，策略目标中定义的操作通过匹配属性值来识别与操作相关的实体。这仍然缺少强制规则，它将包含动作逻辑。