Évaluation des règles de la liste de contrôle d’accès du tenant

Découvrez comment le moteur déterministe de Tenant ACL évalue les correspondances et l’exécution des règles.

Tenant ACL utilise un moteur déterministe pour évaluer les requêtes entrantes. Pour déterminer si une action (autoriser, bloquer ou rediriger) doit être appliquée, le moteur suit les étapes d’évaluation suivantes :

1. Ordre d’évaluation (priorité)

2. Correspondance des conditions (signal)

3. Fin de la correspondance avec exception du mode de surveillance

​

Ordre d’évaluation

Le Tenant ACL évalue les règles par ordre croissant de numéro de priorité. L’évaluation commence par le numéro le plus bas, soit la priorité 0, puis se poursuit de façon séquentielle.

Si deux règles peuvent toutes deux correspondre à une requête, celle dont le numéro de priorité est le plus bas se déclenchera d’abord.

​

Correspondance des conditions

Pour qu’une règle donnée déclenche son action, elle doit respecter la logique de correspondance. Cette logique détermine comment le moteur traite plusieurs valeurs et plusieurs types de signaux :

Type de logique	Comportement	Description	Exemple
Correspondance des signaux	OR	Pour un signal donné, une requête doit correspondre à au moins une entrée de la liste pour satisfaire cette exigence de signal.	Si ipv4_cidrs contient plusieurs CIDR IP, au moins un d’eux doit correspondre.
Signaux multiples	AND	Si une règle contient plusieurs types de signaux différents, la requête doit correspondre à tous les types de signaux fournis. Exception : si une règle contient à la fois ipv4_cidrs et ipv6_cidrs, un seul des deux doit correspondre.	Si une règle contient à la fois ipv4_cidrs et asn, les deux doivent correspondre.

Les types de signaux qui ne sont pas fournis dans une règle sont ignorés et n’ont aucune incidence sur la logique d’évaluation de la règle.

​

Fin de la correspondance

Tenant ACL retient la première correspondance. Une fois que les conditions d’une règle sont toutes remplies, le comportement dépend de si la règle est en mode de surveillance ou non.

Comportement	Mode de surveillance désactivé	Mode de surveillance activé
Journalisation	Un événement de journalisation acls_summary est déclenché.	Un événement de journalisation acls_summary est déclenché.
Exécution	L’action définie par la règle est exécutée immédiatement.	L’action définie par la règle n’est pas exécutée.
Évaluation	L’évaluation s’arrête. Aucune règle de la Tenant ACL suivante ou de priorité inférieure n’est évaluée.	L’évaluation se poursuit avec la règle suivante dans la liste de priorité.