如何在 wso2 身份服务器中对自己创建的数据库执行 xacml 策略？答案

【问题标题】：how to enforce xacml policies on self created database in wso2 identity server?如何在 wso2 身份服务器中对自己创建的数据库执行 xacml 策略？
【发布时间】：2017-04-13 18:27:43
【问题描述】：

我刚开始使用 wso2 身份服务器。我想知道我们如何通过 WSO2 身份服务器管理自行创建的数据库，我们可以在该数据库上应用使用 WSO2 tryit 工具创建的 xacml 策略吗？如何做呢？任何帮助，将不胜感激。谢谢你。问候

【问题讨论】：

要找到开源解决方案，您能否提供有关您的数据库服务器的更多信息？这将确定您需要的 PEP 实施类型。如果您希望 PEP 作为反向代理（在网络上），那么它取决于数据库服务器使用的客户端/服务器协议。这在数据库产品中不是标准的。如果您希望在数据库服务器中嵌入 PEP，那么它显然取决于 API 或数据库产品必须提供的用于过滤请求/响应的任何集成点。
... 所以您可能会开始寻找与您的数据库服务器兼容的开源数据库防火墙/网关/代理/过滤器。例如，GreenSQL 支持 MySQL 和 PostgreSQL。然后您可以对其进行增强以实现实际的 XACML PDP 客户端部分，该部分将与 Wikipedia page 中列出的那些开源 PDP 通信，例如AuthzForce（Java 或 REST API）、Apache OpenAZ（Java 或 REST）或 WSO2 Balana (Java)。

标签： database authorization wso2is xacml abac

【解决方案1】：

据我所知，WSO2 IS 不能用于保护数据库。请查看Data Access Filter。

数据访问过滤器的作用是：

它允许您创建 XACML 策略，例如经理可以查看其分支机构中的交易。
它拦截到数据库的 SQL 流量，例如SELECT * FROM transactions 并确定最终用户的身份和分支，例如Alice 在Charlotte。
它根据策略修改 SQL 语句，例如SELECT * FROM transactions WHERE branch='Charlotte'
它将修改后的语句转发到后端数据库，以便只检索授权数据。

这让您可以进行动态数据过滤和动态数据屏蔽。

【讨论】：

感谢大卫的回复。我检查了它，但它是商业产品。我需要一个开源工具来在数据库上实现 xacml 策略。它只是一个研究项目。如果您知道如何做到这一点，请指导我。提前谢谢你