亚马逊云科技开源PBAC领域特定语言Cedar_云端开发_Matt Campbell

2天时间，聊今年最热的 Agent、上下文工程、AI 产品创新等话题。2025 年最后一场~ 了解详情 



 写点什么

亚马逊云科技开源了他们用来定义策略访问权限的领域特定语言Cedar。Cedar 已集成在Amazon Verified Permissions和AWS Verified Access中，还可以通过 SDK 和语言规范将 Cedar 直接集成到应用程序中。

Cedar可以在应用程序代码之外定义访问策略，这种分离使得它们能够独立地进行编写、分析和审计。Cedar 支持基于角色的访问控制（RBAC）和基于属性的访问控制（ABAC）。

SDK 可用于编写和验证策略和授权访问请求。Cedar 是用 Rust 编写的，但同时提供了 Rust crate 和 Java 包，可以在Java中使用 Cedar。

可以通过调用 Cedar 授权引擎来验证请求是否被授权。请求信息会被转换为 Cedar 请求并传给 Cedar 授权引擎。下面是在 Rust 中使用 Cedar 的示例：

pub fn is_authorized(    &self,    principal: impl AsRef<EntityUid>,    action: impl AsRef<EntityUid>,    resource: impl AsRef<EntityUid>,) -> Result<()> {    let es = self.entities.as_entities();    let q = Request::new(        Some(principal.as_ref().clone().into()),        Some(action.as_ref().clone().into()),        Some(resource.as_ref().clone().into()),        Context::empty(),    );    info!(        "is_authorized request: principal: {}, action: {}, resource: {}",        principal.as_ref(),        action.as_ref(),        resource.as_ref()    );    let response = self.authorizer.is_authorized(&q, &self.policies, &es);    info!("Auth response: {:?}", response);    match response.decision() {        Decision::Allow => Ok(()),        Decision::Deny => Err(Error::AuthDenied(response.diagnostics().clone())),    }}

复制代码

可以使用 self.authorizer.is_authorized(&q, &self.policies, &es)self.authorizer 来调用 Cedar 授权引擎。参数包括访问请求、Cedar 策略和实体集合。访问请求包含了所需的主体、操作和资源信息。根据具体的分析结果，授权引擎将返回 Decision::Allow 或 Decision::Deny。

策略也可以通过 SDK 来创建。在下面的 Java 示例中，我们创建了一个策略，允许主体 Alice 对 Vacation 资源的子资源执行 View_Photo 操作：

private Set<Policy> buildPolicySlice() {   Set<Policy> ps = new HashSet<>();   String fullPolicy = "permit(principal == User::\"Alice\", action == Action::\"View_Photo\", resource in Album::\"Vacation\");";   ps.add(new Policy(fullPolicy, "p1"));   return ps;}

复制代码

在 Java 中，可以调用 isAuthorized 方法来查询授权情况：

public boolean sampleMethod() throws AuthException {    AuthorizationEngine ae = new WrapperAuthorizationEngine();    AuthorizationQuery q = new AuthorizationQuery("User::\"Alice\"", "Action::\"View_Photo\"", "Photo::\"pic01\"");    return ae.isAuthorized(q, buildSlice()).isAllowed();}

复制代码

在亚马逊云科技宣布开源 Cedar 之后，Permit.io发布了Cedar-Agent，一个 HTTP 服务器，作为基于 Cedar 的策略的策略存储和数据存储。策略存储支持创建、检索、更新和删除策略，数据存储支持在内存中存储应用程序数据。Cedar-Agent 可以针对存储的数据执行授权检查，这些检查可以基于传入的请求进行。

HackerNews 上的一位用户dadadad100评论说，他们看到 Cedar 可能填补了应用程序授权领域的空白：

Cedar 介于 OPA（基于数据的搜索方法）和Zanzibar之间。目前还不清楚哪一方会胜出，但不管怎样，现在这个问题开始引起人们的关注了。

其他用户，如Oxbadcafebee，对亚马逊云科技没有为 Open Policy Agent 提供支持表示失望。

Cedar 采用了 Apache License 2.0，托管在 GitHub 上。更多细节可以在最近的亚马逊云科技的博客中找到，或者加入Cedar Policy Slack频道。

原文链接：

https://www.infoq.com/news/2023/06/aws-cedar-open-source/

相关阅读：

亚马逊云科技 Lambda引入响应有效负载流

从微服务转为单体架构、成本降低 90%，亚马逊内部案例引发轰动！CTO：莫慌，要持开放心态

发布

暂无评论

创作场景

亚马逊云科技开源 PBAC 领域特定语言 Cedar

评论

沃丰科技一体化平台 AI驱动数字与产业深度融合

2021终拿下阿里（P7岗）主动分享：5000字面经总结

数智商业创新的强大力量，用友BIP如何构筑产业互联网？

一张图彻底搞懂Spring循环依赖

渗透测试之破解详细演示

程序员：平安Java岗面试耗尽了我毕生所学，想了想，还是去字节吧

Springboot Keycloak集成

10年Java开发经验，超过500人面试阿里的同学，总结出这108道面试题

阿里教学篇：一切从代码出发，Spring Boot从入门到源码到项目

爱奇艺iOS稳定性测试实践

谈一谈麦语言程序化模型编写

北鲲云超算平台借助GPU实现仿真加速

百分点科技大数据技术团队：基于多Spark任务的ClickHouse数据同步方案实践

CODING —— 云原生时代的研发工具领跑者

(项目实战）如何结合k8s和pipeline的流水线，并通过k8s接口完成镜像升级

1000页神仙文档,连阿里P8面试官都说太详细了,面面俱到！搞懂这些直接P6+

WebRTC（66 - 96）Release Notes

JSON必知必会【PDF+视频教程】

1000道阿里巴巴初级~高级Java工程师面试题（含答案，2021最新华为Java校招面试题

1047 行 MySQL 详细学习笔记（值得学习与收藏），java基础面试题及答案整理

10个知识点让你读懂Spring MVC容器，mysql主从复制原理

AISWare AntDB 亚信科技数据库产品特性解读——平滑弹性扩展 (二)

科大讯飞1024，我在现场

律所CRM软件，适用于律师事务所的系统

fastposter 2.1.1 发布电商级海报生成器

10W字解析 SpringBoot技术内幕文档，实战+原理齐飞，java技术上难以解决的问题

月度发布 | 极狐GitLab14.4版本：禅道集成、预设动态安全扫描DAST和集成错误跟踪功能等新功能上线！

说出来你可能不信，华为技术官珍藏版：SpringBoot全优笔记，限时开源了

国密解决方案专场推介会四城联动圆满落幕

保姆级教程，从概念到实践帮你快速上手 Apache APISIX Ingress

微软黑客马拉松@您，低代码风云再赛！

创作场景

亚马逊云科技开源 PBAC 领域特定语言 Cedar

评论

更多内容推荐

推荐阅读

电子书

大厂实战PPT下载