XACML多PIP场景下PDP策略评估逻辑及组件位置咨询

核心结论先明确 #

评估逻辑的核心在PDP（策略决策点），PIP（策略信息点）仅负责从外部数据源（如db1、db2）获取缺失的属性数据，策略本身定义了评估所需的属性条件，PDP会根据策略需求自动触发多PIP的调用。

针对你的实例，完整评估流程如下 #

以Josh请求编辑销售记录为例：

1. PEP发起请求：PEP收集请求核心信息（主体：Josh，操作：编辑，资源：销售记录），发送给PDP。此时PEP可能只携带了Josh的用户名这类基础属性。
2. PDP解析策略触发属性获取：PDP加载到策略1（仅Business Analyst可编辑销售记录）后，发现需要验证主体的「业务角色」属性，但当前请求中没有这个数据。PDP会根据预先配置的属性映射，找到负责提供业务角色的PIP2（关联db2），向PIP2发起查询请求："获取用户Josh的业务角色"。
3. PIP返回属性数据：PIP2连接db2执行查询，拿到Josh的业务角色是Business Analyst，将这个属性值返回给PDP。
4. PDP执行策略评估：PDP将获取到的属性与策略1的规则匹配，确认Josh符合Business Analyst的条件，最终返回「允许」的决策结果给PEP。

如果Josh发起导出销售记录的请求，流程类似：PDP会触发PIP1（关联db1）查询Josh的敏捷角色，确认是Scrum Master后返回允许决策。

策略的设置与部署要点 #

1. 策略定义需明确属性需求
   在XACML策略的规则中，通过<SubjectAttributeDesignator>指定需要的属性ID和类型，比如针对业务角色：

   <SubjectAttributeDesignator AttributeId="urn:company:attr:business-role" DataType="http://www.w3.org/2001/XMLSchema#string"/>
   

   针对敏捷角色则指定对应的属性ID（如urn:company:attr:agile-role），PDP会根据这些属性ID匹配到对应的PIP源。

2. PDP需预先配置PIP连接
   你需要在PDP上配置每个PIP的数据源信息：比如PIP1对应db1的连接串、查询语句（SELECT role FROM agile_roles WHERE username=?）；PIP2对应db2的连接串、查询语句（SELECT role FROM business_roles WHERE username=?）。PDP会根据策略中的属性ID，自动调用对应的PIP获取数据。

3. 策略部署位置
   所有XACML策略都直接部署在PDP上，PDP负责加载、解析策略，并根据策略逻辑触发PIP调用和最终评估。

内容的提问来源于stack exchange，提问作者Frederik