XACML est encore un autre standard pour les services web. Ce vocabulaire XML prétend couvrir la problématique de l’authentification (permettre à un agent de prouver qu’il agit bien au nom d’une personne donnée). En fait, il semble plutôt couvrir la problématique de l’autorisation (donner ou non le droit à un agent d’agir sur une ressource).
Avec XACML, les ressources à protéger sont sous la garde d’un service d’autorisation nommé PEP (Policy Enforcement Point). Le PEP formule en XACML la requête que l’agent adresse à la ressource (« Je, soussigné agent XYZ, désire lire la ressource ABC. ») Le PEP envoie cette requête XACML à un « PDP » (Policy Decision Point). Le PDP compare la requête XACML avec les règles d’autorisation qui ont été définies pour s’appliquer aux requêtes de ce type, sur cette ressource ABC. Le PDP formule sa décision d’autorisation (« Je consens à ce que l’on réponde à cette requête » ou « je refuse ») également en XACML et envoie ainsi sa réponse au PEP qui, lui, agit en conséquence (donne accès à la ressource ou renvoie un message d’erreur).
On peut lire dans une discussion à ce sujet sur Slashdot :

•  » C’est une erreur fondamentale que de vouloir inclure des expressions logiques (telles que requises pour les décisions de contrôle d’accès) dans un langage (XML) qui ne le supporte pas. « 
•  » Les standards de ce type ne représentent pas un progrès, ils représentent une masse croissante de redondance qui devra un jour être refondue pour former un tout cohérent. «