XACML (XML Access Control Markup Language)

XACML (XML Access Control Markup Language) - открытый стандарт на основе XML для декларативного описания политик управления доступом, а также форматов запросов и ответов при принятии решений об авторизации. Стандарт позволяет задавать правила доступа с учётом характеристик субъекта, ресурса, действия и окружающей среды.

Что означает термин

XACML определяет язык политик, их XML-синтаксис и семантику, а также модель обмена данными для получения решения об авторизации. Политики могут учитывать не только идентификатор пользователя, но и его роли, группы и другие атрибуты.

Как устроено

Запрос на авторизацию содержит сведения о субъекте, ресурсе, выполняемом действии и контексте выполнения. Компонент, обрабатывающий политики и принимающий решение, сопоставляет эти данные с правилами и возвращает результат, например разрешение или запрет доступа.

XACML задаёт язык политик и модель обработки, но не определяет проектирование или реализацию компонента Policy Decision Point. Такой компонент и его интеграция обеспечиваются отдельно. Для выбора данных в XML-документах политики могут использовать XPath-выражения.

Где применяется

XACML применяется в системах управления доступом, где права зависят от атрибутов субъекта, ресурса, действия или среды выполнения. Политика может разрешать чтение ресурса пользователю с определённым набором атрибутов и одновременно запрещать изменение этого ресурса.

Стандарт также используется при управлении доступом к отдельным узлам XML-документов, выбранным с помощью XPath-выражений. Корректность решений зависит от полноты входных данных и согласованного соблюдения синтаксиса и семантики политик.