Ordem de avaliação
Os passos que o PDP percorre em cada chamada, do primeiro DENY possível ao ALLOW.
O PDP começa negando. Uma chamada só é permitida se passar por todos os passos, e o primeiro que falha decide o motivo do DENY.
A delegação vem primeiro porque sem ela nada mais importa: o agente não age por ninguém. Ela já foi conferida no token exchange, e é conferida de novo aqui. Um token vale até 5 minutos, e uma delegação revogada nesse intervalo precisa cortar a próxima chamada.
As três relações vão ao OpenFGA numa única chamada BatchCheck, com a hora atual como contexto para avaliar expirações. O passo de recurso só existe quando o mapping da tool aponta um recurso concreto.
Depois das relações, o PDP avalia as condições ligadas à aresta agente · server · tool desta chamada. Condições de outras arestas não entram.
Antes de devolver um ALLOW, o PDP lê de novo a revisão efetiva das permissões. Se ela mudou durante a avaliação, a decisão é descartada. Uma publicação feita no meio da chamada não produz um ALLOW baseado em metade da política antiga.