Un principal è l'identità che un sistema usa quando decide chi è autorizzato ad agire. Nella sicurezza, tale identità può essere un utente umano, un account di servizio, un'applicazione o un altro workload. Il principal è il soggetto della decisione di accesso: il criterio verifica il suo ruolo, il token, gli attributi e lo stato attuale prima di consentire un'azione.
I principal sono importanti perché l'autorizzazione deve essere collegata all'attore corretto, non solo a un messaggio, a una sessione o a un canale. Nei flussi di lavoro automatizzati, un bot può ricevere una richiesta in chat, ma dovrebbe eseguirla solo sotto il principal corretto e solo per l'operazione approvata. Confondere un principal con un altro può creare problemi di confused deputy, un uso eccessivamente ampio dei privilegi o un rilascio accidentale di dati. Le difese includono la separazione dell'accesso delegato dell'utente dall'accesso solo app, il collegamento dell'approvazione a un principal, a un'azione e a una risorsa specifici, e la riosservazione di quell'identità al momento dell'esecuzione con una registrazione dettagliata e una forte resistenza al replay.