La chaîne d’autorisation — VIGIL

Toute action conséquente dans VIGIL traverse la même chaîne de contrôles. Ils sont conjonctifs — tous doivent passer — et fail-closed — l’absence d’un contrôle est un refus, jamais une autorisation par défaut.

Les rôles sont cumulatifs, et owner est la racine de confiance

VIGIL utilise quatre rôles cumulatifs. Chacun hérite des permissions inférieures et ajoute les siennes :

Rôle	Ajoute
viewer	lire l’état, lire les preuves, déclencher un arrêt sûr
analyst	préparer propositions et analyses, sans lancer d’évaluation
operator	lancer les évaluations ordinaires, approuver le niveau opérateur, basculer les gardes, config non secrète
owner	la racine de confiance : approbations owner, libération de clés, promotion, secrets, autorité offensive, gestion des utilisateurs

Le rôle owner n’est pas un compte bearer que l’on se transmet ; il correspond au détenteur de la racine de confiance. Une route ou permission inconnue est refusée par défaut.

WARDEN classe chaque action, fail-closed

Avant l’exécution, WARDEN dérive une classe de risque du nom réel de l’outil ou de l’action — de A0 à A3 — et contraint le niveau d’approbation requis. Une action qu’il ne peut pas classer est traitée comme à risque élevé et refusée, non laissée passer.

La chaîne d’admission

Une action n’est admise que si elle passe, dans l’ordre : authentification (un principal local valide), RBAC (la permission exacte), un droit d’usage signé valide, une portée autorisée (cible, durée, méthode, environnement), la classe WARDEN et son approbation requise, et le contrôle de sortie réseau. Une action destructive exige en outre un quorum multipartite. Toute étape peut arrêter l’action ; aucune ne peut être contournée.

L’arrêt d’urgence est toujours disponible

Tout principal authentifié peut aller dans le sens sûr — arrêter l’activité ou déclencher un kill switch. Lever un arrêt et rétablir une capacité est réservé à owner. Un droit d’usage révoqué n’empêche jamais une institution d’arrêter son propre système.