Authorization

# ABAC (Attribute-Based Access Control) 구현 예제 - Python
from datetime import datetime
from typing import Dict, Any
from functools import wraps
from flask import request, jsonify, g

class ABACPolicy:
    """ABAC 정책 엔진"""

    def __init__(self):
        self.policies = []

    def add_policy(self, name: str, condition: callable, effect: str = "allow"):
        """정책 추가"""
        self.policies.append({
            "name": name,
            "condition": condition,
            "effect": effect
        })

    def evaluate(self, subject: Dict, resource: Dict, action: str, environment: Dict) -> bool:
        """정책 평가 - 모든 조건을 평가하여 접근 허용 여부 결정"""
        context = {
            "subject": subject,      # 사용자 속성 (역할, 부서, 직급 등)
            "resource": resource,    # 리소스 속성 (소유자, 민감도 등)
            "action": action,        # 수행할 작업
            "environment": environment  # 환경 속성 (시간, IP, 기기 등)
        }

        for policy in self.policies:
            if policy["condition"](context):
                return policy["effect"] == "allow"

        return False  # 기본: 거부 (Deny by default)


# ABAC 정책 정의
abac = ABACPolicy()

# 정책 1: 관리자는 모든 작업 허용
abac.add_policy(
    name="admin_full_access",
    condition=lambda ctx: ctx["subject"].get("role") == "admin",
    effect="allow"
)

# 정책 2: 업무 시간에만 민감한 데이터 접근 허용
abac.add_policy(
    name="sensitive_data_business_hours",
    condition=lambda ctx: (
        ctx["resource"].get("sensitivity") == "high" and
        9 <= ctx["environment"].get("hour", 0) <= 18 and
        ctx["subject"].get("department") == ctx["resource"].get("department")
    ),
    effect="allow"
)

# 정책 3: 리소스 소유자는 자신의 리소스에 모든 권한
abac.add_policy(
    name="owner_full_access",
    condition=lambda ctx: ctx["subject"].get("id") == ctx["resource"].get("owner_id"),
    effect="allow"
)

# 정책 4: 같은 부서원은 읽기 허용
abac.add_policy(
    name="department_read",
    condition=lambda ctx: (
        ctx["action"] == "read" and
        ctx["subject"].get("department") == ctx["resource"].get("department")
    ),
    effect="allow"
)


# Flask 인가 데코레이터
def abac_authorize(action: str, get_resource: callable):
    def decorator(f):
        @wraps(f)
        def wrapper(*args, **kwargs):
            # 컨텍스트 수집
            subject = {
                "id": g.user.id,
                "role": g.user.role,
                "department": g.user.department
            }
            resource = get_resource(*args, **kwargs)
            environment = {
                "hour": datetime.now().hour,
                "ip": request.remote_addr,
                "user_agent": request.user_agent.string
            }

            # ABAC 평가
            if not abac.evaluate(subject, resource, action, environment):
                return jsonify({"error": "Forbidden"}), 403

            return f(*args, **kwargs)
        return wrapper
    return decorator


# 사용 예시
@app.route('/api/documents/', methods=['GET'])
@abac_authorize(action="read", get_resource=lambda doc_id: get_document(doc_id))
def get_document_api(doc_id):
    return jsonify(get_document(doc_id))

# OPA (Open Policy Agent) Rego 정책 예제
# 중앙화된 정책 관리로 마이크로서비스 전체에 일관된 인가 적용

package authz

import future.keywords.if
import future.keywords.in

# 기본: 접근 거부
default allow := false

# 관리자는 모든 접근 허용
allow if {
    input.user.role == "admin"
}

# RBAC: 역할 기반 권한 확인
allow if {
    # 사용자 역할에 해당하는 권한 조회
    permissions := role_permissions[input.user.role]
    # 요청한 액션이 권한 목록에 포함되어 있는지 확인
    input.action in permissions
}

role_permissions := {
    "editor": ["read", "create", "update"],
    "viewer": ["read"],
    "moderator": ["read", "update", "delete"]
}

# ABAC: 속성 기반 세부 제어
# 민감한 데이터는 같은 부서 + 업무 시간에만 접근
allow if {
    input.resource.sensitivity == "high"
    input.user.department == input.resource.department
    is_business_hours
}

is_business_hours if {
    hour := time.clock(time.now_ns())[0]
    hour >= 9
    hour <= 18
}

# ReBAC: 리소스 소유자는 모든 권한
allow if {
    input.user.id == input.resource.owner_id
}

# API 호출 예시 (curl)
# curl -X POST http://localhost:8181/v1/data/authz/allow \
#   -H "Content-Type: application/json" \
#   -d '{
#     "input": {
#       "user": {"id": "user_123", "role": "editor", "department": "engineering"},
#       "resource": {"id": "doc_456", "owner_id": "user_789", "department": "engineering", "sensitivity": "low"},
#       "action": "update"
#     }
#   }'
# 응답: {"result": true}