Permit.io

Permit.io は、アプリケーションとポリシーロジックの間に位置する認可サービスだ。何十ものエンドポイントに「誰が何をできるか」を直接書き込む代わりに、ルールをロール、属性、関係として記述する。すると Permit.io が実行時に答える。このユーザーはこのリソースに対してこの操作を行えるか？ このプラットフォームが返すのは単純な yes か no だけではない。権限によるデータの絞り込み、複数権限の一括チェック、あるリソースに働きかけられる全ユーザーの一覧表示も行う。

中心となるのは、サービス群の隣で動くポリシー決定ポイント（PDP）だ。OPA や Cedar で書かれたポリシーを評価し、許可か拒否を返す。すべての判断は監査用に記録される。マネージドのクラウドPDPを使うことも、自前のネットワークでコンテナを動かすことも、大規模なデータセット向けにセルフホストPDPを動かすこともできる。同じ流れは、ボタンを押す人間にも、ツールを呼び出すAIエージェントにも当てはまる。

最大の制約は適用範囲だ。Permit.io は、統合する本物のバックエンドがあることを前提にしている。すぐ使えるログインシステムやユーザーデータベースを探しているなら、これはそうではない。扱うのは認可であり認証ではない。ユーザーが誰かを Permit.io に伝えるIDプロバイダーは別途必要になる。この線引きが人を戸惑わせる。

はじめ方

1. ワークスペースに登録し、アプリに合う認可モデル（RBAC、ABAC、ReBAC、ポリシー as code）を選ぶ。
2. ダッシュボードでリソースとロールをモデル化するか、リポジトリからポリシーファイルをインポートする。
3. Node.js、Python、Go など対応言語のSDKをインストールし、APIキーを接続する。
4. バックエンドで permit.check() を呼び、操作が走る前に権限を適用する。
5. サービスが動く場所にPDPを配備し、判断ログを見て挙動を確認する。