XACML 3.0 Core Specification (英文版) 翻译汇总文档深入介绍了访问控制语言XACML的核心概念。本章节将帮助读者理解XACML的核心要素,以便在实际应用中实现有效的权限管理和安全决策。
1. **术语解析**
- **Access**: 指主体(用户或系统)尝试访问资源的行为。
- **Action**: 对资源执行的操作,例如读取、写入或修改。
- **Access Control**: 根据政策或策略集来决定是否允许访问。
- **Advice**: PDP(Policy Decision Point)提供的额外信息,用于补充授权决策。
- **Applicable Policy**: 一组与特定请求相关的策略和策略集。
- **Attribute**: 主体、资源、动作或环境中的特性,如用户角色、时间戳等。
- **Authorization Decision**: PDP对Applicable Policy的评估结果,包括许可、拒绝、不确定或不适用,并可能包含责任和建议。
2. **逻辑结构与运算**
- **Conjunctive Sequence**: 使用逻辑"AND"操作连接的一系列条件。
- **Disjunctive Sequence**: 使用逻辑"OR"操作连接的一系列条件。
- **Condition**: 表达式,用于评估为真、假或不确定。
3. **请求和决策处理**
- **Decision Request**: PEP(Policy Enforcement Point)发送给PDP的请求,请求进行授权判断。
- **Decision**: PDP对规则、策略或策略集评估后的结果。
4. **上下文与环境**
- **Context**: 规范化的表示,影响决策请求和授权决策的环境因素,包括与授权决策相关的独立属性。
- **Context Handler**: 负责将原始请求格式转换为XACML标准格式,以及将授权决策的XACML格式转换回原始响应格式的系统组件。
5. **策略元素**
- **Issuer**: 描述策略中资源特性的属性集。
- **Named Attribute**: 具有特定名称和类别的特殊属性实例,用于标识和区分不同的属性。
通过理解这些核心概念,开发者能够更好地设计、实施和管理基于XACML 3.0的访问控制机制,确保在分布式环境中实现细粒度的权限管理和审计跟踪。在实际应用中,XACML有助于实现跨系统、跨域的统一安全策略,并支持动态适应性和灵活性。