L'autorizzazione a livello di azione è una decisione relativa a un'operazione specifica: stabilisce se una determinata identità o un agente può eseguirla, su quale risorsa e in base a quale policy. Considera l'azione stessa e il suo ambito, anziché basarsi soltanto su un controllo generale dell'accesso o su un gateway di rete.
È importante perché a un agente può essere consentito usare un servizio, senza che gli sia consentito eseguire ogni operazione al suo interno. In pratica, l'autorizzazione dovrebbe essere applicata nel punto in cui l'azione viene eseguita, per esempio prima che uno strumento di posta elettronica invii un messaggio. Le policy possono limitare i destinatari, restringere le autorizzazioni o richiedere l'approvazione umana per gli invii in massa. Registrare le azioni tentate, approvate, negate e completate favorisce inoltre le verifiche e la risposta agli incidenti.