PEP, PDP, PIP e PAP
Os quatro papéis da autorização externalizada e quem cumpre cada um no Xokepoint.
A arquitetura de autorização externalizada separa quatro papéis. A separação vem do modelo ABAC do NIST SP 800-162 e reaparece no Zero Trust do NIST SP 800-207. O que ela garante é que quem aplica a decisão não é quem decide, e quem decide não é quem escreve a política.
| Papel | No Xokepoint |
|---|---|
| PEP | Recebe a tool call, valida, monta a pergunta, aplica a decisão e executa |
| PIP | Busca atributos nas fontes confiáveis do cliente |
| PDP | Consulta as relações, avalia as condições e decide |
| PAP | Guarda as permissões de cada agente, publica as relações e as condições |
O OpenFGA não é o PDP
Muitos diagramas de mercado põem o OpenFGA no lugar do PDP. No Xokepoint ele é uma peça que o PDP consulta. O OpenFGA responde se uma relação existe, inclusive com condições da própria relação, como uma data de expiração. Ele não lê os argumentos da chamada nem os fatos do PIP. Essa parte é do PDP, em CEL.
A divisão tem uma consequência prática. Trocar o motor de relações, ou somar outro, não muda o contrato entre PEP e PDP, que é AuthZEN.
Um processo, papéis separados
PEP, PIP e PDP rodam no mesmo processo do backend e trocam modelos AuthZEN por interfaces Go. Os papéis continuam separados no código: o PEP não decide, o PDP não busca dados externos, e o PIP não avalia política.