認可判断機能¶

認可判断機構は複数の認可判断モジュールを実行しその結果を集約して最終的な認可判断を行います。

認可判断機能は起動時に設定ファイル authz-decision-config.xml を読み込み、認可判断モジュールをロードします。

<?xml version="1.0" encoding="UTF-8"?>
<a:authz-decision-config
    xmlns:a="http://www.intra-mart.jp/authz/authz-decision-config"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://www.intra-mart.jp/authz/authz-decision-config ../schema/authz-decision-config.xsd">

  <a:decision-config name="default" combinator="permit-overrides">
    <a:module class="jp.co.intra_mart.foundation.authz.services.decision.impl.AdministratorByPassModule" />
    <a:module class="jp.co.intra_mart.foundation.authz.services.decision.impl.PlatformWorkerByPassModule" />
    <a:module class="jp.co.intra_mart.foundation.authz.services.decision.impl.StandardPolicyDecisionModule" />
  </a:decision-config>

</a:authz-decision-config>

• decision-config 要素 １要素が設定の単位です。

  • name 属性 : 設定識別用の名称。将来の拡張の為に用意されています。現状では基本的に default しか受け付けません。他の値を設定しても参照しません。

  • combinator 属性 : 複数のモジュールの処理結果をどのように判断するかを指定します。以下の中から選択します。

    • permit-overrides

      • 上から順に評価して最初に Permit / Block を返したモジュールの結果で処理します。

    • deny-overrides

      • 上から順に評価して最初に Deny / Block を返したモジュールの結果で処理します。

    • first-applicable

      • 上から順に評価して最初に Permit / Deny / Block を返したモジュールの結果で処理します。

• module 要素 認可判断を行うモジュールクラスを定義します。このクラスは DecisionModule インタフェースを実装していなければなりません。

  • class 属性 : 完全修飾クラス名を指定します。

認可判断機能は上記の設定にしたがって、複数の認可判断モジュールを実行し、その結果から最終的な判断を行います。

認可判断モジュールは認可要求の情報を受け取って、ユーザを認可してよいかどうかを判断する機構です。このモジュールは複数定義でき、複数の認可判定処理を実行できます。認可判断モジュールの下した判断が最終的に採用されるかどうかは認可判断機能が決めます。

認可判断モジュールは次の4種類の値を返すことができます。

Permit

要求を許可します。

Deny

要求を禁止します。

Block

要求されたリソースが閉塞状態であることを表します。

NotApplicable

このモジュールでは判断しない・判断できないことを表します。

ポリシー解釈器は特定のリソースに対して実際に適用される認可設定を導出する役割を担う部分です。ポリシー解釈にあたっておもに以下のポイントを決定しています。

• リソースの階層構造に沿った権限の継承動作
• ポリシー設定が行われていない場合のデフォルト値( Permit / Deny )
• 複数のサブジェクトグループに対して異なるエフェクトが設定されている場合の判定方式

ポリシー解釈器は以下のインタフェースを持ちます。

完全修飾クラス名

jp.co.intra_mart.foundation.authz.services.admin.impl.PolicyInterpreterModule

また、キャッシュの実装を想定したポリシー解釈器は以下のインタフェースです。

完全修飾クラス名

jp.co.intra_mart.foundation.authz.services.admin.impl.cache.CachedPolicyInterpreterModule

ポリシー解釈は大きく分けて2つの場面で利用されます。

• 認可クライアントから認可要求を受け、実際に認可判断を行う際に指定されたリソース、ログインユーザのサブジェクトから、リソース構造や設定されたエフェクトを勘案し、実質的な認可判断処理を行います。( interpretEffect() )
• 認可設定のメンテナンス機能において、リソースおよびサブジェクトに対して、リソース構造や設定されたエフェクトを勘案し実質的な設定を解釈します。( interpretPolicies() )

このため、このインタフェースの持つ2つのメソッドは、双方とも同じ方式の解釈を行わなければなりません。

認可判断機構を呼び出すには下記のインタフェースを使用します。

認可判断機能API ファクトリ

PolicyDecisionServiceFactory ( jp.co.intra_mart.foundation.authz.services.decision.PolicyDecisionServiceFactory )

認可判断機能API

PolicyDecisionService ( jp.co.intra_mart.foundation.authz.services.decision.PolicyDecisionService )

使用例

String userCd   = "aoyagi"
String resource = "service://sample/service1"
String action   = "execute";

PolicyDecisionService policyDecisionService = PolicyDecisionServiceFactory.getInstance().getPolicyDecisionService();
Effect e = policyDecisionService.authorize(userCd, resource, action)

if (e.equals(Effect.PERMIT)) {
   // 許可されている場合に実行する処理

} else {
   // 許可されていない場合に実行する処理

}