为什么 XACML Response Returns NotApplicable on Azure Web App？

Question

首先，我基于[博客]:https://www.javadevjournal.com/spring-boot/spring-boot-application-intellij/. Then, I generated a controller and service with @PostMapping inside of it. I used balana [github]:https://github.com/wso2/balana在IntelliJ上创建了一个Spring启动项目来实现XACML引擎。

When[blog]:https://docs.wso2.com/display/IS570/Writing+XACML+3+Policies+in+WSO2+Identity+Server+-+7 is followed, a policy and xacml request created as hardcoded. When the service is called via Postman as http post (http://localhost:8080/evaluate), xacml 响应在 PERMIT 和 DENY 决策中正常工作。到这里为止一切正常。

当我想将它发布到 azure web 应用程序时，响应包括 NotApplicable 作为决定。我的政策和要求是否有任何异常，或者我是否遗漏了什么？

示例政策

<Policy xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17" PolicyId="2" RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:first-applicable" Version="1.0">
    <Description>sample policy</Description>
    <Target></Target>
    <Rule Effect="Permit" RuleId="primary-group-customer-rule">
        <Target>
            <AnyOf>
                <AllOf>
                    <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-regexp-match">
                        <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">http://localhost:8280/services/echo/</AttributeValue>
                        <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:resource:resource-id" Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource" DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true">                 </AttributeDesignator>
                    </Match>
                    <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
                        <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">read</AttributeValue>
                        <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id" Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action" DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
                    </Match>
                </AllOf>
            </AnyOf>
        </Target>
        <Condition>
            <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-subset">
                <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-bag">
                    <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">admin</AttributeValue>
                </Apply>
                <AttributeDesignator AttributeId="group" Category="urn:oasis:names:tc:xacml:3.0:group" DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
            </Apply>
        </Condition>
    </Rule>
    <Rule Effect="Deny" RuleId="deny-rule"></Rule>
</Policy>

示例 XACML 请求

<Request xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17" CombinedDecision="false" ReturnPolicyIdList="false">
    <Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action">
        <Attribute AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id" IncludeInResult="false">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">read</AttributeValue>
        </Attribute>
    </Attributes>
    <Attributes Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject">
        <Attribute AttributeId="urn:oasis:names:tc:xacml:1.0:subject:subject-id" IncludeInResult="false">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">admin</AttributeValue>
        </Attribute>
    </Attributes>
    <Attributes Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource">
        <Attribute AttributeId="urn:oasis:names:tc:xacml:1.0:resource:resource-id" IncludeInResult="false">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">http://localhost:8280/services/echo/</AttributeValue>
        </Attribute>
    </Attributes>
    <Attributes Category="urn:oasis:names:tc:xacml:3.0:group">
        <Attribute AttributeId="group" IncludeInResult="false">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">admin</AttributeValue>
        </Attribute>
    </Attributes>
</Request>

本地主机响应


<Response xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17">
  <Result>
    <Decision>Permit</Decision>
    <Status><StatusCode Value="urn:oasis:names:tc:xacml:1.0:status:ok"/></Status>
  </Result>
</Response>

Azure Web 应用程序的响应


<Response xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17">
  <Result>
    <Decision>NotApplicable</Decision>
    <Status><StatusCode Value="urn:oasis:names:tc:xacml:1.0:status:ok"/></Status>
  </Result>
</Response>

Answer 1

根据应用程序的部署位置，在决策制定（许可或拒绝）方面应该没有区别。

我可以告诉您如何确定问题是与您的申请、您的保单有关，还是您的请求有误。

首先，为了验证请求是否相同，您是否检查了 Azure 和本地主机上的 PDP 日志以确保请求确实相同？

如果是这样，接下来我建议您设置一个非常非常简单的规则，无论如何都会 return 拒绝。然后确保您在本地运行本地 Spring 启动应用程序（即在您的计算机上 $ mvn spring-boot:run ）和已部署的服务器上获得拒绝。

如果您不能在两者上都获得拒绝，则需要重新访问您的应用程序逻辑等。

获得拒绝后，设置一个采用一个参数的简单策略。 IE。如果 someNumber == 2，return 允许。然后在您的本地主机和 Azure 上尝试此操作。完成这项工作后，您就可以尝试您在问题中提到的政策了。

仅供参考，我的 Github 中有多个 Spring 与 XACML 引擎（Axiomatics，而非 WSO2）通信的启动项目，例如：https://github.com/michaelcgood/Axiomatics-Yet-Another-PEP。

我的网站上还有多篇关于 Spring Boot 的文章：https://michaelcgood.com/category/spring/。如果您对内容或代码有任何疑问，可以与我联系（联系页面上的信息），我会尽快回复。

为什么 XACML Response Returns NotApplicable on Azure Web App？

Why XACML Response Returns NotApplicable on Azure Web App?

azure

xacml

xacml3

spring-boot

azure-web-app-service

示例政策

示例 XACML 请求

本地主机响应

Azure Web 应用程序的响应