Identité & Politique / Policy Decision Point (PDP)
FR EN

Identité & Politique

Policy Decision Point (PDP)

Le cœur du Zero-Trust : il rend la décision d’autorisation (autoriser / refuser / autoriser sous conditions) que les PEP distribués exécutent.

Plan
Identité & Politique
Étapes du flux
4 · 6 · 10
Référentiels
NIST 800-53 · 800-207 · XACML 3.0 · OWASP LLM06 · NIST AI 600-1 · MITRE ATLAS

Technologie

Pourquoi l’utiliser

Centraliser et externaliser la logique d’autorisation hors des applications et des agents, pour décider de façon cohérente « qui peut faire quoi, dans quel contexte ».

Pourquoi c’est important pour la sécurité

C’est le point unique où s’appliquent le moindre privilège et l’évaluation du risque. Sans PDP, chaque application réimplémente — souvent mal — l’autorisation : la cause première de l’excessive agency.

Implémentations Open Policy Agent (OPA / Rego)AWS Cedar / Verified PermissionsOpenFGAMoteurs XACML 3.0

Refus par défaut. Une session valide n’est pas une autorisation permanente : chaque action sensible est ré-évaluée.

Recommandations par palier de maturité

Survolez une recommandation pour l’explication · chaque recommandation porte son numéro de contrôle

Foundation

Socle minimal viable
  • Externaliser la décision d’autorisation hors du code et des agents.
    NIST 800-53 AC-3 · AC-24NIST 800-207 §3.1OWASP LLM06:2025
    Aucune règle d’accès dans un prompt, un outil ou un service : la décision se prend en un seul endroit gouverné.
  • Identité distincte par appelant, rôles évalués à chaque appel (RBAC).
    NIST 800-53 AC-2 · AC-3 · IA-2
    L’autorisation se vérifie à chaque requête, pas une fois pour toutes à l’ouverture de session.
  • Refus par défaut et verdict journalisé de façon immuable.
    NIST 800-53 AC-3 · AU-9 · AU-12
    Toute requête sans correspondance explicite est rejetée, et chaque décision reste traçable.

Enterprise

Standard d’entreprise
  • ABAC contextuel intégrant les attributs du PIP.
    NIST 800-53 AC-16 · AC-3XACML 3.0 §5
    Posture, risque, sensibilité et périmètre d’agent entrent dans la décision.
  • Politique en code, versionnée et revue avant publication.
    NIST 800-53 CM-3 · AC-5NIST AI 600-1 GV-1.3-001
    La décision suit une politique gouvernée, pas du code applicatif opaque.
  • Décision à obligations : « autoriser sous conditions ».
    XACML 3.0 ObligationsOWASP LLM06:2025
    Caviardage, plafonds de débit/coût, approbation humaine : plus riche qu’un simple oui/non.

Advanced

Haute exigence / régulé
  • Autorisation continue avec révocation quasi temps réel (CAE / CAEP).
    NIST 800-53 AC-12NIST 800-207 §2.1
    Un signal de risque invalide une session en cours sans attendre l’expiration du jeton.
  • Accès adaptatif au risque (verdict et obligations selon le score).
    NIST 800-53 SI-4NIST 800-207 §3.3
    La décision se durcit automatiquement quand le risque agrégé monte.
  • Décision explicable, conservée pour l’investigation et la preuve.
    NIST 800-53 AU-3 · AU-12MITRE ATLAS AML.T0051
    On conserve les attributs et la règle déclenchante : « pourquoi cette décision ».

Notes d’architecture

  • Commencez par un RBAC clair avant l’ABAC.détails ▸
    Un modèle simple bien appliqué vaut mieux qu’un modèle riche mal maîtrisé.
    L’ABAC multiplie les chemins de décision ; sans inventaire de rôles propre, il masque des accès trop larges.
  • Mesurez l’écart entre politique déclarée et appliquée.détails ▸
    Un PDP que tous les PEP n’appliquent pas n’est pas un contrôle — c’est une illusion de contrôle.
    Comparez la politique du PAP et ce qu’applique chaque PEP : désactivations locales, versions périmées, PEP non instrumenté.

Références

NIST SP 800-207 §3.1
Policy Engine / Policy Administrator : le PDP logique et l’algorithme de confiance.
XACML 3.0
Architecture PDP/PEP/PIP/PAP et mécanisme d’Obligations / Advice.
OWASP LLM06:2025
Excessive Agency : l’autorisation est la contre-mesure de première ligne.
NIST AI 600-1
GV-1.3 (paliers de risque), GV-3.2 (supervision), MS-2.7 (sécurité & résilience).
NIST SP 800-53 Rev5
AC-3, AC-6, AC-16, AC-24 (Access Control Decisions), AC-25 (Reference Monitor), AU-2/9/12, AC-12, SI-4.
MITRE ATLAS — AML.T0051
Injection de prompt → escalade de privilèges : vecteur d’actions non autorisées que l’autorisation doit contenir.

Abréviations

PDP
Policy Decision Point · point de décision d’autorisation
PEP
Policy Enforcement Point · point d’application des politiques
PIP
Policy Information Point · point d’information de politique
PAP
Policy Administration Point · point d’administration des politiques
IdP
Identity Provider · fournisseur d’identité
TSS
Token Service · service de jetons
NHI
Non-Human Identity · identité non-humaine
RBAC
Role-Based Access Control · contrôle d’accès basé sur les rôles
ABAC
Attribute-Based Access Control · contrôle d’accès basé sur les attributs
MFA
Multi-Factor Authentication · authentification multifacteur
HITL
Human-in-the-loop · validation humaine dans la boucle
JIT
Just-In-Time · juste-à-temps
CAE
Continuous Access Evaluation · évaluation continue de l’accès
CAEP
Continuous Access Evaluation Profile
DPoP
Demonstrating Proof-of-Possession · preuve de possession du jeton
mTLS
mutual TLS · TLS mutuel
PII
Personally Identifiable Information · données à caractère personnel
KMS
Key Management Service · service de gestion des clés
CI/CD
Continuous Integration / Continuous Delivery
SIEM
Security Information and Event Management
SOAR
Security Orchestration, Automation and Response
SCIM
System for Cross-domain Identity Management
XACML
eXtensible Access Control Markup Language
OPA
Open Policy Agent
OWASP
Open Worldwide Application Security Project
NIST
National Institute of Standards and Technology
ATLAS
Adversarial Threat Landscape for Artificial-Intelligence Systems
LLM
Large Language Model · grand modèle de langage
WAF
Web Application Firewall · pare-feu applicatif web
CDN
Content Delivery Network · réseau de diffusion de contenu
DDoS
Distributed Denial of Service · déni de service distribué
DLP
Data Loss Prevention · prévention des fuites de données
JWT
JSON Web Token
API
Application Programming Interface · interface de programmation
CRS
Core Rule Set (OWASP) · jeu de règles de base
RAG
Retrieval-Augmented Generation · génération augmentée par récupération
MCP
Model Context Protocol · protocole de contexte pour les modèles
PBAC
Permission-Based Access Control · contrôle d’accès par permissions
HSM
Hardware Security Module · module matériel de sécurité
UEBA
User and Entity Behavior Analytics · analyse comportementale
SBOM
Software Bill of Materials · nomenclature logicielle
SLSA
Supply-chain Levels for Software Artifacts
WORM
Write Once, Read Many · écriture unique
SPIFFE
Secure Production Identity Framework For Everyone