什么是策略引擎？

组织通过实施策略引擎，可以获得多项关键优势。

细粒度授权

细粒度授权是一种安全方法，它以高度细致、精确的方式分配和管理权限与访问权。组织在授权访问时，可以将不同的条件和属性纳入考量，从而实现非常具体的权限控制。例如，相比授予对整个数据库的访问权限，它可能只允许用户访问数据库中的某些记录或字段。

通过创建细粒度权限，管理员可以建立一套全面的访问控制框架。这种方式既能增强安全性，也能让管理员更好地掌控策略执行。

灵活性更高

拥有独立策略引擎所带来的灵活性，使企业能够快速响应任何业务运营变化或新出现的安全需求。系统管理员无需修改应用程序代码或设置，即可管理变更。他们可以从集中位置更新或修改策略。

策略引擎无需持续监控，就能强制执行安全策略。只要用户发起请求，它们就会自动应用条件规则。将这一过程自动化，既能提升安全性，也能最大限度降低人为失误的风险。

降低安全风险

在组织的安全框架中使用策略引擎，有助于降低整体安全风险。通过遵循最低权限访问原则，用户只能获得与其角色相符的企业资源访问权限。这将降低未经授权用户访问敏感数据的可能性。

策略引擎还包含用于简化策略执行相关日志记录的组件。每当授权或拒绝访问时，这些组件都会向受保护的日志中写入详细信息。该日志既增强了安全性，同时又为审计留下了可追踪的记录。此外，它还能缩短安全事件响应所需的时间，从而进一步降低安全风险。

可扩展性

借助策略引擎，企业可以将策略与服务器或应用程序逻辑分离。这样，企业就能独立管理策略，并将其应用到其他应用程序中，而无需将两者耦合。这种方法可以更有效地管理访问请求、保护数据和网络资源。策略引擎带来的可复用性，也让企业能够减少策略开发的工作量，同时将策略管理扩展至动态环境。

策略引擎的主要作用是实现动态策略执行。启用了策略的 API 网关让企业无需进行大量代码改动，就能采用、修改和管理策略。创建约束和条件是让策略引擎运转起来的第一步。系统工程师通常使用 XACML（可扩展访问控制标记语言）来创建这些规则。

当用户发起对数据库或敏感信息的访问请求时：

1. 请求传递至策略管理组件。
2. 策略评估器运用基于规则的逻辑和模式匹配技术，判断该请求是否符合所定义的条件。
3. 如果策略评估器授予访问权限，PEP 模块将允许该操作，并授予用户对该信息的网络访问权限。
4. 如果用户未获授权，PEP 则会阻止该操作。

在更复杂的系统中，可以使用上下文处理器来协调 PEP、PDP、PIP 和 PAP 之间的交互。它会处理来自 PEP 的请求，从 PIP 收集必要信息，将决策请求发送给 PDP，然后再把决策结果返回给 PEP。

无论策略引擎最终判定为批准还是拒绝，它都会记录所请求的访问权限及其状态，并同时记录请求时间、结果和其他相关信息。

Amazon Verified Permissions 是一项可扩展的权限管理和细粒度授权服务，适用于您构建的应用程序。借助 Verified Permissions，开发人员可以通过将授权外部化并集中管理策略，更快地构建更安全的应用程序。这有助于您在您构建和部署的应用程序（例如 HR 系统和银行应用程序）内，对资源实施并强制执行细粒度授权。

通过 Verified Permissions，您可以执行以下任务：

• 定义基于策略的访问模型，用于描述由您的应用程序管理的资源，以及用户可对这些资源执行的操作（例如查看、更新和共享）。
• 让应用程序用户能够管理对这些资源的访问权限。应用程序允许专员查看和更新记录，并将其存储在 Verified Permissions 中。
• 强制执行这些权限。

立即创建免费账户，开始在 AWS 上使用策略引擎。