A decisão
O PDP decide ALLOW ou DENY combinando relações no OpenFGA e condições da chamada em CEL.
A decisão responde a duas perguntas diferentes. A primeira é estrutural: existe uma relação que liga este sujeito, este agente, esta tool e este recurso? A segunda é sobre o momento: os dados desta chamada específica atendem às condições que o cliente impôs? A primeira tem resposta antes da chamada existir, porque as relações foram publicadas pelo administrador. A segunda só tem resposta com os argumentos e os fatos na mão.
O Xokepoint usa uma ferramenta para cada uma. O OpenFGA guarda as relações e as percorre. O PDP avalia as condições em CEL. Nenhuma das duas sozinha permite: a decisão exige as duas.
O modo do agente só muda o efeito de um deny da política dele. Em Report-only, um grant ausente, um recurso ausente ou uma condição falsa ficam registrados como Would deny e a chamada roda. Sem delegação, a chamada para nos dois modos.
As páginas deste grupo seguem essa ordem: os papéis, por que relações, o modelo, a ordem de avaliação, as condições e o que acontece quando algo falha.