<div dir="ltr"><div>Hi Monika</div><div><br>For some reason, your message was not delivered to the email list, so I am including it below and offer an initial response here. </div><div><br></div><div><ul><li>The AuthZEN spec is agnostic to whether it's a machine or human interaction</li><li>There is an open issue, #55, that addresses signing options for the request/response. We did not have time to discuss it on the call this week but will be doing that in the near future - please join the working group calls or add a comment to the issue</li><li>A discovery option is included in the latest working draft and some of the PDP implementations already support it, as shown in the latest interop demo. See section 11 - <a href="https://openid.github.io/authzen/">https://openid.github.io/authzen/</a></li></ul><div>Regards,<br>Gerry</div></div><div><br></div>Date: Wed, 25 Jun 2025 18:17:30 +0000<br>Subject: Introduction and few questions / ideas<br><div dir="ltr"><div style="margin:0px;font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0)">Hi,</div><div style="margin:0px;font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0)"><br></div><div style="margin:0px;font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0)">I am Monika Avalur working as a product manager in IAM space in CyberArk. I have been assigned to this working group and have been going through the specs for AuthZen.</div><div style="margin:0px;font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0)"><br></div><ul style="margin-top:0px;margin-bottom:0px;display:flex"><li style="margin-left:0px;font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0);margin-right:0px"><div role="presentation" style="margin-top:0px;margin-bottom:0px">I wanted to understand if this protocol would mostly be a M2M based protocol? What if we have a use case for a human identity where we want to launch a browser to get a user consent or perform some user-based actions on the PEP endpoint? </div></li></ul><div style="margin:0px;font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0)"><br></div><ul style="margin-top:0px;margin-bottom:0px;display:flex"><li style="margin-left:0px;font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0);margin-right:0px"><div role="presentation" style="margin-top:0px;margin-bottom:0px">Also from security perspective do we plan on defining E2E or cert-based signing options as well?</div></li></ul><div style="margin:0px;font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0)"><br></div><ul style="margin-top:0px;margin-bottom:0px;display:flex"><li style="margin-left:0px;font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0);margin-right:0px"><div role="presentation" style="margin-top:0px;margin-bottom:0px">Would be providing discovery options similar to OIDC/SAML. i.e., how would the PDP know which PEP endpoint to call? </div></li></ul><div style="margin:0px;font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0)"><br></div><div style="margin:0px;font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0)"><br></div><div style="margin:0px;font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0)">Thanks & Regards,</div><div style="margin:0px;font-family:Aptos,Aptos_EmbeddedFont,Aptos_MSFontService,Calibri,Helvetica,sans-serif;font-size:12pt;color:rgb(0,0,0)">Monika</div></div></div>