Переключиться с пользовательского ABAC на XACML

Где вы храните политики, в основном не имеет значения. Это будет зависеть от используемого вами движка, например. AuthZForce (я связался с автором, чтобы он мог вмешаться), SunXACML, WSO2 или Axiomatics.

Отказ от ответственности: я работаю в Axiomatics. Мы действительно используем базу данных для хранения политик XACML, но это не меняет требований авторизации или моделирования.

У меня есть пара комментариев к твоему исходному сообщению.

• subject.id==resource.ownerId - это то, что мы обычно называем условием в XACML. Вы сравниваете 2 атрибута вместе, чтобы реализовать связь.
• Вы упоминаете разрешения, например DELETE_USER. В XACML вы обычно разделяете их на атомарные атрибуты, например. действие с одной стороны и объект или ресурс с другой (USER). В то время как RBAC основан на ролях и разрешениях, ABAC основан на атрибутах. В идеале эти атрибуты обозначают один аспект (пользователь, пытающийся удалить ...)
• ROLE все еще существует в ABAC. Это будет основой вашей политики.
• функции и компании - это атрибуты, которые вы бы использовали.

Имея это в виду, вы можете написать следующие политики (используя нотацию ALFA):

namespace axiomatics{

    namespace user{
        attribute role{
            category = subjectCat
            id = "axiomatics.user.role"
            type = string
        }
        attribute company{
            category = subjectCat
            id = "axiomatics.user.company"
            type = string
        }
        attribute userId{
            category = subjectCat
            id = "axiomatics.user.userId"
            type = string
        }
    }

    namespace action{
        attribute actionId{
            category = actionCat
            id = "axiomatics.action.actionId"
            type = string
        }        
    }

    namespace resource{
        attribute company{
            category = resourceCat
            id = "axiomatics.resource.company"
            type = string
        }
        attribute owner{
            category = resourceCat
            id = "axiomatics.resource.owner"
            type = string
        }
    }

    policyset springapp{
        apply firstApplicable
        policy employees{
            target clause user.role == "employee"
            apply firstApplicable
            /**
             * Employees can create roles in their own company
             */
             rule createRole{
                 target clause action.actionId=="create"
                 condition user.company==resource.company
                 permit
             }
             /**
              * Employees can delete roles they own
              */
            rule allowDelete{
                target clause action.actionId == "delete"
                condition user.userId == resource.owner
                permit
            }
        }
    }
}