Identidade e delegação
Antes da chamada, o Xokepoint sabe quem é o sujeito, quem é o agente e se o sujeito delegou para o agente.
Um agente não tem acesso próprio a nada. Ele age por alguém: uma pessoa do diretório do cliente ou um serviço do cliente. Se o Xokepoint enxergasse só essa pessoa, qualquer software com um token dela teria todo o acesso dela. Por isso a autorização começa com duas identidades e uma relação entre elas.
O sujeito vem do IdP do cliente e é verificado com a confiança registrada naquele IdP. O agente é registrado no Xokepoint e obtém o token em um de dois modos: headless, em que prova quem é com uma chave própria, ou interativo, em que uma pessoa entra a partir de um harness de código e consente. A delegação liga os dois. O token exchange é o momento em que tudo isso é conferido e vira um token curto que o agente usa nas chamadas. Uma instância em execução também pode pedir, nessa troca, limites mais estreitos que a política dela.