寓話
天気と身分を見る倉の門
王府の倉庫はもはや官位だけで鍵を発行しなかった。同じ官位でも来意がそれぞれ異なるからだ。庫官は当初、人、物、時刻、事由で対応し、顔なじみで道も熟知し、規模が小さいうちはめったに誤らなかった。庫官は気づいた。職位名称は粗すぎる：同じ人が扉を開けられるかどうかは、彼が誰で、何を見たいのか、いつ来るのか、現在の任務があるかどうかによる。
後に、昼間は糧簿を確認できるが夜は銀櫃を開けるべきではない者、東庫は見られるが西庫には触れられない者がいた。固定職位の鍵では、臨時任務・時間枠・資源範囲を表現できない。条件が変われば、広すぎる権限は共有鍵に沿って拡散する。
最初の修正は急だった：各職位に一串の固定鍵を配るだけにし、用事を一回調整するたびに一串を打ち直した。職位ごとに固定鍵を再配置するのは整っているように見えるが、臨時任務、時間窓、資源範囲を表現できない。しかし新しい毛病がそれに伴って現れ、皆は最も見えやすいところだけを見て、遠くの小さな偏差はますます深く積み重なった。
彼らは主体、リソース、アクション、環境、事由を属性として記述し、ポリシーがリクエストの時点で組み合わせて判断し、ヒットしたルールと拒否理由を記録する。
庫官は腰牌、差遣令、庫房の類別、時刻、同行者を見るように変え、いくつかが合って初めて門を開けた。この手順は面倒で、当初は工期を遅らせもした。しかし何巡かすると手戻りが減り、師匠も気まぐれで規則を変えなくなった。開門の決定はついに主体、資源、動作、環境に応じて変わり、毎回の判断に監査可能な理由が残った。
これ以降「門を開けられるか」は職位の永久の待遇ではなく、現在の条件に対する精密な判断となった。属性ポリシーは過剰な権限付与を減らしつつ、監査の手がかりも保つ。
ある糧食管理の主事が夜に銀を取ろうとした。官位は十分高かったが、事由と庫別が合わず、門の外で止められた。それ以来、権力は人名だけでなく、どのような条件でどの物を動かそうとしているかも見るようになった。