1. Zuhause
  2. Frage und Antwort
  3. AuthZForce PDP verhält sich nicht wie erwartet

AuthZForce PDP verhält sich nicht wie erwartet

2017-07-22 5 views
2

Ich habe eine Richtlinie so erweitert, dass sie eine neue Richtlinie enthält. Dies bedeutet, dass ich den Richtlinien Ziele hinzugefügt habe, um sicherzustellen, dass eine Anfrage die richtige Richtlinie anspricht.AuthZForce PDP verhält sich nicht wie erwartet

hier ist die Politik gesetzt XACML:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?> 
<PolicySet xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17" PolicySetId="P1" Version="1.3" PolicyCombiningAlgId="urn:oasis:names:tc:xacml:3.0:policy-combining-algorithm:deny-overrides"> 
<Description>CD Governance PolicySet</Description> 
<Target/> 
<Policy PolicyId="urn:oasis:names:tc:xacml:1.0:date-in:july:policy" RuleCombiningAlgId="urn:oasis:names:tc:xacml:3.0:rule-combining-algorithm:deny-overrides" Version="01"> 
    <Description>Reject if the Date is July Policy</Description> 
    <Target> 
     <AnyOf> 
      <AllOf> 
       <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal"> 
        <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">freezeCheck</AttributeValue> 
        <AttributeDesignator 
         AttributeId="urn:oasis:names:tc:xacml:1.0:date-in:july:target-check" 
         DataType="http://www.w3.org/2001/XMLSchema#string" 
         Category="urn:oasis:names:tc:xacml:1.0:subject-category:resource" 
         MustBePresent="false" 
         /> 
       </Match> 
      </AllOf> 
     </AnyOf> 
    </Target> 
    <Rule RuleId="urn:oasis:names:tc:xacml:1.0:date-not-in:july:rule" Effect="Permit"> 
    <Condition> 
     <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:and"> 
      <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:not" > 
       <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:date-is-in"> 
        <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:date-one-and-only"> 
         <AttributeDesignator 
          AttributeId="urn:oasis:names:tc:xacml:1.0:date-in:july:current-date" 
          DataType="http://www.w3.org/2001/XMLSchema#date" 
          MustBePresent="true" 
          Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject" /> 
        </Apply> 
        <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:date-bag"> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2017-07-01</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-02</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-03</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-04</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-05</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-06</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-07</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-08</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-09</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-10</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-11</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-12</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-13</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-14</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-15</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-16</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-17</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-18</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-19</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-20</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-21</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-22</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-23</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-24</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-25</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-26</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-27</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-28</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-29</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-30</AttributeValue> 
         <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-31</AttributeValue> 
        </Apply> 
       </Apply> 
      </Apply> 
     </Apply> 
     </Condition> 
    </Rule> 
    <Rule RuleId="urn:oasis:names:tc:xacml:1.0:date-in:july:rule" Effect="Deny"> 
    <Condition>  
     <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:date-is-in"> 
      <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:date-one-and-only"> 
       <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:date-in:july:current-date" DataType="http://www.w3.org/2001/XMLSchema#date" MustBePresent="true" 
       Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject" /> 
      </Apply> 
      <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:date-bag"> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2017-07-01</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-02</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-03</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-04</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-05</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-06</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-07</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-08</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-09</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-10</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-11</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-12</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-13</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-14</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-15</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-16</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-17</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-18</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-19</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-20</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-21</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-22</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-23</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-24</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-25</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-26</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-27</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-28</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-29</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-30</AttributeValue> 
       <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2002-07-31</AttributeValue> 
      </Apply> 
     </Apply> 
    </Condition> 
    </Rule> 
</Policy> 
<Policy PolicyId="urn:oasis:names:tc:xacml:1.0:app-in:prod:policy" RuleCombiningAlgId="urn:oasis:names:tc:xacml:3.0:rule-combining-algorithm:deny-overrides" Version="01"> 
    <Description>Reject if the Application is not allowed in Production Policy</Description> 
    <Target> 
     <AnyOf> 
      <AllOf> 
       <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal"> 
        <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">prod</AttributeValue> 
        <AttributeDesignator 
         AttributeId="urn:oasis:names:tc:xacml:1.0:environment" 
         DataType="http://www.w3.org/2001/XMLSchema#string" 
         Category="urn:oasis:names:tc:xacml:1.0:subject-category:resource" 
         MustBePresent="true" 
         /> 
       </Match> 
      </AllOf> 
     </AnyOf> 
    </Target> 
    <Rule RuleId="urn:oasis:names:tc:xacml:1.0:app-not-in:prod:rule" Effect="Deny"> 
     <Condition> 
      <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:and"> 
       <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:not" > 
        <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-is-in"> 
         <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-one-and-only"> 
          <AttributeDesignator 
           AttributeId="urn:oasis:names:tc:xacml:1.0:production:apps" 
           DataType="http://www.w3.org/2001/XMLSchema#string" 
           MustBePresent="true" 
           Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject" /> 
         </Apply> 
         <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-bag"> 
          <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">CRM</AttributeValue> 
          <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">SAP</AttributeValue> 
          <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">Customer Portal</AttributeValue> 
         </Apply> 
        </Apply> 
       </Apply> 
      </Apply> 
     </Condition> 
    </Rule> 
    <Rule RuleId="urn:oasis:names:tc:xacml:1.0:app-in:prod:rule" Effect="Permit"> 
     <Condition>  
      <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-is-in"> 
       <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-one-and-only"> 
        <AttributeDesignator 
         AttributeId="urn:oasis:names:tc:xacml:1.0:production:apps" 
         DataType="http://www.w3.org/2001/XMLSchema#string" 
         MustBePresent="true" 
         Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject" /> 
       </Apply> 
       <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-bag"> 
        <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">CRM</AttributeValue> 
        <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">SAP</AttributeValue> 
        <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">Customer Portal</AttributeValue> 
       </Apply> 
      </Apply> 
     </Condition> 
    </Rule> 
</Policy> 
</PolicySet>

Also, wenn ich die zweite Richtlinie überprüfen möchten (ob eine App in Prod erlaubt ist) ich eine Anfrage, wie senden:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?> 
<Request xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17" 
CombinedDecision="false" ReturnPolicyIdList="true"> 
    <Attributes Category="urn:oasis:names:tc:xacml:1.0:subject-category:resource"> 
     <Attribute IncludeInResult="false" 
       AttributeId="urn:oasis:names:tc:xacml:1.0:environment"> 
      <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">prod</AttributeValue> 
     </Attribute> 
    </Attributes> 
    <Attributes Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject"> 
     <Attribute IncludeInResult="false" 
       AttributeId="urn:oasis:names:tc:xacml:1.0:production:apps"> 
      <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">SAP1</AttributeValue> 
     </Attribute> 
    </Attributes> 
</Request>

Welche gibt, was ich erwarte: Aber

<?xml version="1.0" encoding="UTF-8" standalone="yes"?> 
<Response xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17" xmlns:ns2="http://authzforce.github.io/rest-api-model/xmlns/authz/5" xmlns:ns3="http://www.w3.org/2005/Atom" xmlns:ns4="http://authzforce.github.io/pap-dao-flat-file/xmlns/properties/3.6" xmlns:ns5="http://authzforce.github.io/core/xmlns/pdp/5.0"> 
    <Result> 
     <Decision>Deny</Decision> 
     <PolicyIdentifierList> 
      <PolicyIdReference Version="01">urn:oasis:names:tc:xacml:1.0:app-in:prod:policy</PolicyIdReference> 
      <PolicySetIdReference Version="1.3">P1</PolicySetIdReference> 
     </PolicyIdentifierList> 
    </Result> 
</Response>

so weit so gut .... wenn ich sende thi s:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?> 
<Request xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17" 
CombinedDecision="false" ReturnPolicyIdList="true"> 
    <Attributes Category="urn:oasis:names:tc:xacml:1.0:subject-category:resource"> 
     <Attribute IncludeInResult="false" 
       AttributeId="urn:oasis:names:tc:xacml:1.0:date-in:july:target-check"> 
      <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">freezeCheck</AttributeValue> 
     </Attribute> 
    </Attributes> 
    <Attributes Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject"> 
     <Attribute IncludeInResult="false" 
       AttributeId="urn:oasis:names:tc:xacml:1.0:date-in:july:current-date"> 
      <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2017-08-01</AttributeValue> 
     </Attribute> 
    </Attributes> 
</Request>

Ich habe nicht eine ähnliche Reaktion auf den ersten bekommen (aber einen Permit), bekomme ich diese:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?> 
<Response xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17" xmlns:ns2="http://authzforce.github.io/rest-api-model/xmlns/authz/5" xmlns:ns3="http://www.w3.org/2005/Atom" xmlns:ns4="http://authzforce.github.io/pap-dao-flat-file/xmlns/properties/3.6" xmlns:ns5="http://authzforce.github.io/core/xmlns/pdp/5.0"> 
    <Result> 
     <Decision>Indeterminate</Decision> 
     <Status> 
      <StatusCode Value="urn:oasis:names:tc:xacml:1.0:status:missing-attribute"/> 
      <StatusMessage>Error evaluating &lt;Target&gt;/&lt;AnyOf&gt;#0</StatusMessage> 
     </Status> 
     <PolicyIdentifierList> 
      <PolicyIdReference Version="01">urn:oasis:names:tc:xacml:1.0:date-in:july:policy</PolicyIdReference> 
      <PolicyIdReference Version="01">urn:oasis:names:tc:xacml:1.0:app-in:prod:policy</PolicyIdReference> 
      <PolicySetIdReference Version="1.3">P1</PolicySetIdReference> 
     </PolicyIdentifierList> 
    </Result> 
</Response>

Nun könnte man denken, dass die Politik falsch definiert wird, so ich habe dann das:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?> 
<Request xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17" 
CombinedDecision="false" ReturnPolicyIdList="true"> 
    <Attributes Category="urn:oasis:names:tc:xacml:1.0:subject-category:resource"> 
     <Attribute IncludeInResult="false" 
       AttributeId="urn:oasis:names:tc:xacml:1.0:date-in:july:target-check"> 
      <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">freezeCheck</AttributeValue> 
     </Attribute> 
    </Attributes> 
    <Attributes Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject"> 
     <Attribute IncludeInResult="false" 
       AttributeId="urn:oasis:names:tc:xacml:1.0:date-in:july:current-date"> 
      <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#date">2017-07-01</AttributeValue> 
     </Attribute> 
    </Attributes> 
</Request>

ich habe, was ich erwartet hatte - ein Verweigern, mit nicht fehlen Fehler Ziel:

<?xml version="1.0" encoding="UTF-8" standalone="yes"?> 
<Response xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17" xmlns:ns2="http://authzforce.github.io/rest-api-model/xmlns/authz/5" xmlns:ns3="http://www.w3.org/2005/Atom" xmlns:ns4="http://authzforce.github.io/pap-dao-flat-file/xmlns/properties/3.6" xmlns:ns5="http://authzforce.github.io/core/xmlns/pdp/5.0"> 
    <Result> 
     <Decision>Deny</Decision> 
     <PolicyIdentifierList> 
      <PolicyIdReference Version="01">urn:oasis:names:tc:xacml:1.0:date-in:july:policy</PolicyIdReference> 
      <PolicySetIdReference Version="1.3">P1</PolicySetIdReference> 
     </PolicyIdentifierList> 
    </Result> 
</Response>

Warum wird die PDP für diese eine Richtlinie verwirrt (das sieht in meinen Augen genauso aus wie die andere, die richtig funktioniert .... Ja, ich bekomme eine Genehmigung, wenn die App in der Liste in der Richtlinie ist)?

Warum denkt es, dass das Attribut für das Ziel vollständig fehlt (anstatt nur den falschen Wert zu haben)? Und warum macht es das für das Bedingungsattribut?

Quelle

2017-07-22 Paul Pogonoski

Antwort

1

Wie die StatusCode/StatusMessage/PolicyIdentifierList sagen, erhalten Sie eine unbestimmte Entscheidung wegen eines fehlenden Attributs, das erforderlich ist, um das (erste AnyOf des) Ziels der Richtlinie urn:oasis:names:tc:xacml:1.0:app-in:prod:policy zu bewerten. Seit MustBePresent=true auf dem AttributDesignator in diesem Target/AnyOf, wird es als ein Fehler betrachtet, wenn kein übereinstimmendes Attribut im Anfragekontext vorhanden ist (und ich nehme an, dass kein Attributanbieter aktiviert ist). Tatsächlich gibt es in Ihrer zweiten Anfrage kein Attribut in Category="urn:oasis:names:tc:xacml:1.0:subject-category:resource". Daher geben Sie entweder ein solches Attribut in der Anforderung an oder legen MustBePresent = false fest (oder ändern den AttributDesignator), je nachdem, was Sie möchten.

Btw, bitte versuchen Sie standard identifiers wenn möglich zu verwenden, damit wir nicht verwirrt werden, wenn Sie Ihre Richtlinien betrachten; z.B. Die Standard-Ressourcentyp-ID lautet urn:oasis:names:tc:xacml:3.0:attribute-category:resource (nicht urn:oasis:names:tc:xacml:1.0:subject-category:resource).

Quelle

2017-07-23 00:49:40 cdan

+0

Brilliant ... danke für die Zeiger. Ich habe die Kategorienbezeichner geändert - Fingerprobleme. Ich habe auch AttributeId = "urn: oasis: names: tc: xacml: 1.0: Umgebung zu setzen MustBePresent = false, die es behoben. Ich kann alles verstehen, aber was mich verwirrt war, dass dieser Fehler nicht treten auf, wenn das Datum in der Datums-Tasche war, warum würde das passieren? –

+0

Ja, wenn Sie sich auf Ihr letztes Anforderungsbeispiel beziehen, so weit ich sehe, entspricht das dem Ziel der ersten Politik ('... date-in: juli: policy'). So bewertet der PDP die erste Regel (...date-not-in: juli: rule), deren Bedingung false zurückgibt, da das Datum-in: Juli: das aktuelle Datum aus der Anfrage in der Tasche ist und daher das 'nicht' Apply false zurückgibt. Die Regel gilt also nicht, der PDP geht zur nächsten Regel "... date-in: juli: rule". Diesmal ist das Datum in der Tasche, also ist die Bedingung wahr. Daher gilt die Regel und wird auf "Verweigern" (der Effekt der Regel) angewendet. – cdan

+0

... Da der Regelkombinationsalgorithmus der Regel den Wert "deny-overrides" hat, wird, wenn eine Regel wie in diesem Fall "Deny" lautet, das endgültige Policy-Ergebnis "Deny" lautet. Die erste Richtlinie gibt Deny zurück. Da der PolicySet-Richtlinienkombinationsalgorithmus "deny-overrides" ist und die erste Richtlinie "Deny" zurückgibt, ist das PolicySet-Ergebnis "Deny", und es besteht keine Notwendigkeit, weiter zu gehen. Die zweite Richtlinie wird nicht ausgewertet. [Weitere Informationen zu deny-overrides algo] (http://docs.oasis-open.org/xacml/3.0/xacml-3.0-core-spec-os-en.html.html#_Toc325047270). Sie können die Auswertungsdetails überprüfen, indem Sie die Protokollebene ändern, um auf AuthzForce (logback.xml) zu debuggen. – cdan

Verwandte Themen

 Verwandte Themen