如何在基于Python的Web应用程序中实现基于属性的访问控制？

Question

我有一个用Python（Django REST框架）编写的Web应用程序，现在希望对我的Web应用程序实施基于属性的访问控制（ABAC）进行授权。如何在该应用程序上实施ABAC策略（我可以使用XACML策略吗（如何在Python Web应用程序上实现XACML），或者是否还有其他编写ABAC策略的方法，并且如何在我的Web应用程序上实施它）。我可以使用py-ABAC吗？如何使用它？

import vakt
from vakt.rules import Eq, Any, StartsWith, And, Greater, Less

policy = vakt.Policy(
    123456,
    actions=[Eq('fork'), Eq('clone')],
    resources=[StartsWith('repos/Google', ci=True)],
    subjects=[{'name': Any(), 'stars': And(Greater(50), Less(999))}],
    effect=vakt.ALLOW_ACCESS,
    context={'referer': Eq('https://github.com')},
    description="""
    Allow to fork or clone any Google repository for
    users that have > 50 and < 999 stars and came from Github
    """
)
storage = vakt.MemoryStorage()
storage.add(policy)
guard = vakt.Guard(storage, vakt.RulesChecker())

inq = vakt.Inquiry(action='fork',
                   resource='repos/google/tensorflow',
                   subject={'name': 'larry', 'stars': 80},
                   context={'referer': 'https://github.com'})

assert guard.is_allowed(inq)
Or if you prefer Amazon IAM Policies style:

import vakt
from vakt.rules import CIDR

policy = vakt.Policy(
    123457,
    effect=vakt.ALLOW_ACCESS,
    subjects=[r'<[a-zA-Z]+ M[a-z]+>'],
    resources=['library:books:<.+>', 'office:magazines:<.+>'],
    actions=['<read|get>'],
    context={
        'ip': CIDR('192.168.0.0/24'),
    },
    description="""
    Allow all readers of the book library whose surnames start with M get and read any book or magazine,
    but only when they connect from local library's computer
    """,
)
storage = vakt.MemoryStorage()
storage.add(policy)
guard = vakt.Guard(storage, vakt.RegexChecker())

inq = vakt.Inquiry(action='read',
                   resource='library:books:Hobbit',
                   subject='Jim Morrison',
                   context={'ip': '192.168.0.220'})

assert guard.is_allowed(inq)

Thanks in advance!  

- Ziarmal

---

https://medium.com/@agamgupta1988/xacml-with-wso2-identity-server-bbd9f5c57dad - Agam

Answer 1

我没有使用 Py-ABAC 的经验，但通常 XACML 是使用基于 XML 的语言 XACML 编写的，或者使用 GUI 或编译成 XACML 的语言，如 ALFA。

然后您的 Python Web 应用程序将使用 REST 或 SOAP 调用策略决策点（PDP），最好使用 REST。您可以使用类似 requests 的 HTTP 库。

JSON 示例：

{"Request":{"AccessSubject":
{"Attribute":
[ {"AttributeId":"user.name","Value":"alice"} ]
},
"Resource":
{"Attribute":
[ {"AttributeId":"resource.objectType","Value":"insurance claim"} ]
},
"Action":
{"Attribute":
[ {"AttributeId":"action-id","Value":"view"}]
}
}
}

我要提醒的是（至少在我看来），自己制作授权引擎（PDP）并不是特别明智。已经有产品将授权外部化了...

可以使用开源产品，如WSO2或AuthzForce，也可以购买像Axiomatics这样的产品（完全透明披露：我曾在这里工作）。

您可以查看维基百科上的list，获取完整的XACML实现列表。

- Michael C Good