docs/xacml/xacml.rst

   1 .. This work is licensed under a Creative Commons Attribution 4.0 International License.
   2
   3 .. _xacml-label:
   4
   5 Policy XACML PDP Engine
   6 #######################
   7
   8 .. toctree::
   9    :maxdepth: 2
  10
  11 The ONAP XACML Policy PDP Engine uses an `open source implementation <https://github.com/att/XACML>`__ of the `OASIS XACML 3.0 Standard <https://www.oasis-open.org/committees/tc_home.php?wg_abbrev=xacml>`__ to support fine-grained policy decisions in the ONAP. The XACML 3.0 Standard is a language for both policies and requests/responses for access control decisions. The ONAP XACML PDP translates TOSCA Compliant Policies into the XACML policy language, loads the policies into the XACML engine and exposes a Decision API which uses the XACML request/response language to render decisions for ONAP components.
  12
  13 ONAP XACML PDP Supported Policy Types
  14 *************************************
  15
  16 The following Policy Types are supported by the XACML PDP Engine (PDP-X):
  17
  18 .. csv-table:: Supported Base Policy Types
  19     :header: "Application", "Base Policy Type", "Action", "Description"
  20
  21     "Monitoring", "onap.policies.Monitoring", "configure", "Control Loop DCAE Monitoring Policies"
  22     "Guard", "onap.policies.controlloop.guard.Common", "guard", "Control Loop Guard and Coordination Policies"
  23     "Optimization", "onap.policies.Optimization", "optimize", "Optimization policy types used by OOF"
  24     "Naming", "onap.policies.Naming", "naming", "Naming policy types used by SDNC"
  25     "Native", "onap.policies.native.Xacml", "native", "Native XACML Policies"
  26
  27 Each Policy Type is implemented as an application that extends the **XacmlApplicationServiceProvider**, and provides a **ToscaPolicyTranslator** that translates the TOSCA representation of the policy into a XACML OASIS 3.0 standard policy.
  28
  29 By cloning the policy/xacml-pdp repository, a developer can run the JUnit tests for the applications to get a better understanding on how applications are built using translators and the XACML Policies that are generated for each Policy Type. Each application supports one or more Policy Types and an associated "action" used by the Decision API when making these calls.
  30
  31 See the :ref:`policy-development-tools-label` for more information on cloning and developing the policy repositories.
  32
  33 XACML-PDP applications are located in the 'applications' sub-module in the policy/xacml-pdp repo. `Click here to view the applications sub-modules <https://github.com/onap/policy-xacml-pdp/tree/master/applications>`_
  34
  35 XACML PDP TOSCA Translators
  36 ===========================
  37
  38 The following common translators are available in ONAP for use by developers. Each is used or extended by the standard PDP-X applications in ONAP.
  39
  40 StdCombinedPolicyResultsTranslator Translator
  41 ---------------------------------------------
  42 A simple translator that wraps the TOSCA policy into a XACML policy and performs matching of the policy based on either policy-id and/or policy-type. The use of this translator is discouraged as it behaves like a database call and does not take advantage of the fine-grain decision making features described by the XACML OASIS 3.0 standard. It is used to support backward compatibility of legacy "configure" policies.
  43
  44 `Implementation of Combined Results Translator <https://github.com/onap/policy-xacml-pdp/blob/master/applications/common/src/main/java/org/onap/policy/pdp/xacml/application/common/std/StdCombinedPolicyResultsTranslator.java>`_.
  45
  46 The Monitoring and Naming applications use this translator.
  47
  48 StdMatchableTranslator Translator
  49 ---------------------------------
  50 More robust translator that searches metadata of TOSCA properties for a **matchable** field set to **true**. The translator then uses those "matchable" properties to translate a policy into a XACML OASIS 3.0 policy which allows for fine-grained decision making such that ONAP applications can retrieve the appropriate policy(s) to be enforced during runtime.
  51
  52 Each of the properties designated as "matchable" are treated relative to each other as an "AND" during a Decision request call. In addition, each value of a "matchable property that is an array, is treated as an "OR". The more properties specified in a decision request, the more fine-grained a policy will be returned. In addition, the use of "policy-type" can be used in a decision request to further filter the decision results to a specific type of policy.
  53
  54 `Implementation of Matchable Translator <https://github.com/onap/policy-xacml-pdp/blob/master/applications/common/src/main/java/org/onap/policy/pdp/xacml/application/common/std/StdMatchableTranslator.java>`_.
  55
  56 The Optimization application uses this translator.
  57
  58 GuardTranslator and CoordinationGuardTranslator
  59 -----------------------------------------------
  60 These two translators are used by the Guard application and are very specific to those Policy Types. They are good examples on how to build your own translator for a very specific implementation of a policy type. This can be the case if any of the Std* translators are not appropriate to use directly or override for your application.
  61
  62 `Implementation of Guard Translator <https://github.com/onap/policy-xacml-pdp/blob/master/applications/guard/src/main/java/org/onap/policy/xacml/pdp/application/guard/GuardTranslator.java>`_
  63
  64 `Implementation of Coordination Translator <https://github.com/onap/policy-xacml-pdp/blob/master/applications/guard/src/main/java/org/onap/policy/xacml/pdp/application/guard/CoordinationGuardTranslator.java>`_
  65
  66 Native XACML OAISIS 3.0 XML Policy Translator
  67 -----------------------------------------------
  68
  69 This translator pulls a URL encoded XML XACML policy from a TOSCA Policy and loads it into a XACML Engine. This allows native XACML policies to be used to support complex use cases in which a translation from TOSCA to XACML is too difficult.
  70
  71 `Implementation of Native Policy Translator <https://github.com/onap/policy-xacml-pdp/tree/master/applications/native/src/main/java/org/onap/policy/xacml/pdp/application/nativ>`_
  72
  73 Monitoring Policy Types
  74 =======================
  75 These Policy Types are used by Control Loop DCAE microservice components to support monitoring of VNF/PNF entities to support an implementation of a Control Loops. The DCAE Platform makes a call to Decision API to request the contents of these policies. The implementation involves creating an overarching XACML Policy that contains the TOSCA policy as a payload that is returned to the DCAE Platform.
  76
  77 The following policy types derive from onap.policies.Monitoring:
  78
  79 .. csv-table::
  80    :header: "Derived Policy Type", "Action", "Description"
  81
  82    "onap.policies.monitoring.cdap.tca.hi.lo.app", "configure", "TCA DCAE microservice component"
  83    "onap.policies.monitoring.dcaegen2.collectors.datafile.datafile-app-server", "configure", "REST Collector"
  84    "onap.policies.monitoring.docker.sonhandler.app", "configure", "SON Handler microservice component"
  85
  86 This is an example Decision API payload made to retrieve a decision for a Monitoring Policy by id. Not recommended - as users may change id's of a policy. Available for backward compatibility.
  87
  88 .. literalinclude:: decision.monitoring.json
  89   :language: JSON
  90
  91 This is an example Decision API payload made to retrieve a decision for all deployed Monitoring Policies for a specific type of Monitoring policy.
  92
  93 .. literalinclude:: decision.monitoring.type.json
  94   :language: JSON
  95
  96 Guard and Control Loop Coordination Policy Types
  97 ================================================
  98 These Policy Types are used by Control Loop Drools Engine to support guarding control loop operations and coordination of Control Loops during runtime control loop execution.
  99
 100 .. csv-table::
 101    :header: "Policy Type", "Action", "Description"
 102
 103    "onap.policies.controlloop.guard.common.FrequencyLimiter", "guard", "Limits frequency of actions over a specified time period"
 104    "onap.policies.controlloop.guard.common.Blacklist", "guard", "Blacklists a regexp of VNF IDs"
 105    "onap.policies.controlloop.guard.common.MinMax", "guard", "For scaling, enforces a min/max number of VNFS"
 106    "onap.policies.controlloop.guard.coordination.FirstBlocksSecond", "guard", "Gives priority to one control loop vs another"
 107
 108 This is an example Decision API payload made to retrieve a decision for a Guard Policy Type.
 109
 110 .. literalinclude:: decision.guard.json
 111   :language: JSON
 112
 113 The return decision simply has "permit" or "deny" in the response to tell the calling application whether they are allowed to perform the operation.
 114
 115 .. literalinclude:: decision.guard.response.json
 116   :language: JSON
 117
 118 .. _xacml-optimization-label:
 119
 120 Optimization Policy Types
 121 =========================
 122 These Policy Types are designed to be used by the OOF Project support several domains including VNF placement in ONAP.
 123 The OOF Platform makes a call to the Decision API to request these Policies based on the values specified in the
 124 onap.policies.Optimization properties. Each of these properties are treated relative to each other as an "AND". In
 125 addition, each value for each property itself is treated as an "OR".
 126
 127 .. csv-table::
 128    :header: "Policy Type", "Action"
 129
 130    "onap.policies.Optimization", "optimize"
 131    "onap.policies.optimization.Service", "optimize"
 132    "onap.policies.optimization.Resource", "optimize"
 133    "onap.policies.optimization.resource.AffinityPolicy", "optimize"
 134    "onap.policies.optimization.resource.DistancePolicy", "optimize"
 135    "onap.policies.optimization.resource.HpaPolicy", "optimize"
 136    "onap.policies.optimization.resource.OptimizationPolicy", "optimize"
 137    "onap.policies.optimization.resource.PciPolicy", "optimize"
 138    "onap.policies.optimization.service.QueryPolicy", "optimize"
 139    "onap.policies.optimization.service.SubscriberPolicy", "optimize"
 140    "onap.policies.optimization.resource.Vim_fit", "optimize"
 141    "onap.policies.optimization.resource.VnfPolicy", "optimize"
 142
 143 The optimization application extends the StdMatchablePolicyTranslator in that the application applies a "closest match"
 144 algorithm internally after a XACML decision. This filters the results of the decision to return the one or more policies
 145 that match the incoming decision request as close as possible. In addition, there is special consideration for the
 146 Subscriber Policy Type. If a decision request contains subscriber context attributes, then internally the application
 147 will apply an initial decision to retrieve the scope of the subscriber. The resulting scope attributes are then added
 148 into a final internal decision call.
 149
 150 This is an example Decision API payload made to retrieve a decision for an Optimization Policy Type.
 151
 152 .. literalinclude:: decision.affinity.json
 153   :language: JSON
 154
 155 Native XACML Policy Type
 156 ========================
 157
 158 This Policy type is used by any client or ONAP component who has the need of native XACML evaluation. A native XACML policy or policy set encoded in XML can be created off this policy type and loaded into the XACML PDP engine by invoking the PAP policy deployment API. Native XACML requests encoded in either JSON or XML can be sent to the XACML PDP engine for evaluation by invoking the native decision API. Native XACML responses will be returned upon evaluating the requests against the matching XACML policies. Those native XACML policies, policy sets, requests and responses all follow the `OASIS XACML 3.0 Standard <https://www.oasis-open.org/committees/tc_home.php?wg_abbrev=xacml>`__.
 159
 160 .. csv-table::
 161    :header: "Policy Type", "Action", "Description"
 162
 163    "onap.policies.native.Xacml", "native", "any client or ONAP component"
 164
 165 According to the XACML 3.0 specification, two content-types are supported and used to present the native requests/responses. They are formally defined as "application/xacml+json" and "application/xacml+xml".
 166
 167 This is an example Native Decision API payload made to retrieve a decision for whether Julius Hibbert can read http://medico.com/record/patient/BartSimpson.
 168
 169 .. literalinclude:: decision.native.json
 170   :language: JSON
 171
 172 Supporting Your Own Policy Types and Translators
 173 ************************************************
 174
 175 In order to support your own custom Policy Type that the XACML PDP Engine can support, one needs to build a Java service application that extends the **XacmlApplicationServiceProvider** interface and implement a **ToscaPolicyTranslator** application. Your application should register itself as a Java service application and expose it in the classpath used to be loaded into the ONAP XACML PDP Engine. Ensure you define and create the TOSCA Policy Type according to these :ref:`Policy Design and Development <design-label>`. You should be able to load your custom Policy Type using the :ref:`Policy Lifecycle API <api-label>`. Once successful, you should be able to start creating policies from your custom Policy Type.
 176
 177 XacmlApplicationServiceProvider
 178 ===============================
 179
 180 `Interface for XacmlApplicationServiceProvider <https://github.com/onap/policy-xacml-pdp/blob/master/applications/common/src/main/java/org/onap/policy/pdp/xacml/application/common/XacmlApplicationServiceProvider.java>`_
 181
 182 See each of the ONAP Policy Type application implementations which re-use the **StdXacmlApplicationServiceProvider** class. This implementation can be used as a basis for your own custom applications.
 183
 184 `Standard Application Service Provider implementation <https://github.com/onap/policy-xacml-pdp/blob/master/applications/common/src/main/java/org/onap/policy/pdp/xacml/application/common/std/StdXacmlApplicationServiceProvider.java>`_
 185
 186 ToscaPolicyTranslator
 187 =====================
 188
 189 Your custom **XacmlApplicationServiceProvider** must provide an implementation of a *ToscaPolicyTranslator*.
 190
 191 `Interface for ToscaPolicyTranslator <https://github.com/onap/policy-xacml-pdp/blob/master/applications/common/src/main/java/org/onap/policy/pdp/xacml/application/common/ToscaPolicyTranslator.java>`_
 192
 193 See each of the ONAP Policy type application implementations which each have their own *ToscaPolicyTranslator*. Most use or extend the **StdBaseTranslator**.
 194
 195 `Standard Tosca Policy Translator implementation <https://github.com/onap/policy-xacml-pdp/blob/master/applications/common/src/main/java/org/onap/policy/pdp/xacml/application/common/std/StdBaseTranslator.java>`.
 196
 197 XACML Application Tutorial
 198 ==========================
 199
 200 The following tutorial can be helpful to get started:
 201
 202 .. toctree::
 203    :maxdepth: 1
 204
 205    xacml-tutorial
 206
 207 Once your application is developed and the ONAP XACML PDP Engine can find your application via setting the classpath appropriately, then use the :ref:`PAP REST API <pap-label>` to ensure the ONAP XACML PDP is registering your custom Policy Type with the PAP. Once successful, then you should be able to start deploying the created policies to the XACML PDP Engine.
 208