ds xacml checks