モジュール VI — アイデンティティ、権限、ガバナンス

モジュール VI は、エンジンの既存の認可モデルの上に立つガバナンスプレーンです。エンフォーサーやアイデンティティ・コネクターを再実装することはせず、それらを消費します。 5つのサブシステムを1つの境界づけられたコンテキスト（アイデンティティとそのガバナンス）の背後に束ねます。すなわち、ディレクトリ名簿（roster）の整合器、帰属を確固たるものにするエージェント↔アイデンティティのブリッジ、deny-only な ABAC エンジン、 human-in-the-loop の承認ゲート、ポリシー/アイデンティティのオーサリングバックエンドです。これは製品におけるあらゆる統治されたアクションの根源です。

これが何であるか

このモジュールは Management レイヤーに位置し、コントロールプレーンの決定権限です。すなわち、誰と何が何をしてよいか、そしてどのアクションが先に人間を必要とするかです。その契約は、deny-only・deny-by-default（既定で拒否）の姿勢を強制可能にしたものです。

名簿の整合（Roster reconciliation） は、接続済みディレクトリ（アイデンティティソース）を、エンジンの正規 Identity エンティティ群とモジュール所有のコレクション/メンバーシップグラフへ収束させます。外部 ID のみをキーとした find-or-create により、アクセスマップが監査参照から作成する同じ行をアップグレード します。この単一行への収束こそが、確固たる帰属を可能にします。
エージェント↔アイデンティティのブリッジ は、エージェントを、そのクレデンシャルが提示する正規の非人間アイデンティティの内部 ID に束縛し、モジュール III（アクセスマップ）が誤った permitted-vs-observed のドリフトを打ち消すための、ハードな依存関係を解決します。
ABAC エンジン はネイティブな評価器で、RBAC の後に動き、さらに制限することしかできません。グラントを広げることは決してありません。

契約とエンティティ

モジュール VI は、共有データモデル内の4つのエンティティを所有します。すなわち、 コレクションとコレクションメンバーのエッジ（ソース由来のグループ/ロールグラフで、境界内で推移的に解決される）、承認（approval）（可変の HITL リクエスト）、そして 追記専用の承認決定（approval-decision）証跡です。アイデンティティはモジュールのテーブルへ複製されません。エンジンの正規 Identity エンティティへ整合されます。

ABAC 評価器 は、検証済みの特性とともにエンジンのポリシー評価器シームを実装します。すなわち、すべてのルールは deny ルールであること、RBAC の後に AND の内側で動くためポリシーがアクセスを拡張することは決してできないこと、不正な形式の有効な（enabled） ポリシーは fail closed（拒否側に倒れる） こと、認可のホットパスはテナントごとのキャッシュから供給され書き込みコミット後に無効化され、テナントごとに厳格に隔離されることです。ポリシー仕様は書き込み時に型付けされ再マーシャルされます（オペレーターの JSON がそのまま往復することは決してありません）ので、クレデンシャルが仕様へ入り込むことはできません。OPA/Rego は外部評価器のシームであり、エンジンへ引き込まれる依存関係では決してありません。

承認ゲート は、監査台帳が固定する「アクション→人間」のトレーサビリティです。すなわち、職務分掌（separation-of-duty）と重複決定者ガードは安定したユーザーアイデンティティをキーとし（システムトークンは決定できません）、複数承認のしきい値はストア上で レースセーフ（並行する超過は厳密に1名の勝者へ解決される）であり、有効期限は読み取り時に遅延導出され、その後、明示的でテナントにスコープされたスイープによってマテリアライズされます。オーサリングバックエンド（managed-settings/hooks、Cedar/OPA の policy-as-code、 WIF オブジェクトグラフ）は、publish→immutable-revision→drift の書き込みパスを加えます。 Cedar の場合、公開されたポリシーは稼働中のテナントごとの deny-only オーバーレイ上で有効化され、起動時に再ロードされるため、active の主張は再起動を生き延びます。

何を消費し、何を生成するか

このモジュールは、エンジンの認可・監査の土台と、設定済みディレクトリソースからの型付きアイデンティティ名簿を消費します。アクセスマップが依存する Agent.IdentityID フィールドを埋めます。イベントバス上に FindingReport イベントを生成します。すなわち、複数のエージェントに束縛された共有アイデンティティ、加えて承認のエスカレーションと有効期限切れで、それぞれ1回だけ発行され、永続化されたマーカーでゲートされるため、スイープの繰り返しが二重発行することはできません。あらゆる特権的変更、および整合に関連するアイデンティティとバインディングの読み取りは、コミット済みトランザクションの内側で実際のプリンシパルへ自己監査します。監査アクターは常に型付きのプリンシパル参照であり、メールアドレスでは決してありません。

ABAC エンジンはオーサリングされ監査されるが、強制は構成（composition）に依存する。 ガバナンス状態は本日時点で書き込まれ監査されます。起動時の構成ルートが評価器を配線し、ディレクトリプロバイダーを注入します。それらが配線されていない箇所では、エンジンは効力を持たず、名簿同期にはプロバイダーがありません。これは明言されるものであり、決して無言の no-op ではありません。
確固たる帰属にはエージェントごとのアイデンティティが必要。 バインディングはエージェントを 正規のアイデンティティに結びつけるものであり、共有エンティティの整合を偽装するために新たに発行されたアイデンティティに結びつけることは決してありません。複数のエージェントに束縛されたアイデンティティは、帰属をアイデンティティのレベルへ崩壊させます。これは検出結果として正直に表面化され、決して回復されません。
deny-only の文法は設計上、境界づけられている。 v1 のルールは、実際に評価器へ到達する属性のみにマッチします。リソース属性ルール（例: 機微度）にはコアのシームが必要で、文書化されたフォローアップです。不活性な構文として出荷されることはなく、未知のフィールドは書き込み時に拒否されます。ポリシーは制限します。加算的なグラントは RBAC に留まります。
モジュールはテナントを列挙できない。 承認の有効期限切れ/エスカレーションは、明示的でテナントにスコープされたスイープによってマテリアライズされます。バックグラウンドのクロステナント保証は存在しません。それを主張すれば嘘になるからです。実効的な有効期限は依然として読み取り時に遅延的に尊重されます。