Una política define las reglas que especifican los privilegios de acceso a los recursos protegidos de un dominio. Las empresas poseen recursos, aplicaciones y servicios que deben proteger, administrar y supervisar. Las políticas controlan los permisos de acceso y el uso de estos recursos mediante la definición del momento y la forma en que un usuario puede realizar una acción en un determinado recurso. Una política, al aplicarla a un objeto, define los recursos a los que puede acceder un determinado objeto.
Un política única puede definir decisiones binarias o no binarias. Una decisión binaria es sí/no, verdadero/falso o permitir/denegar. Una decisión no binaria representa el valor de un atributo. Por ejemplo, un servicio de correo puede incluir un atributo mailboxQuota con un valor de almacenamiento máximo definido para cada usuario. En general, las políticas se configuran para definir las acciones que puede realizar un objeto en un determinado recurso y las condiciones en que deben realizarse estas acciones.
Existen dos tipos de directivas que pueden configurarse con OpenSSO: las Políticas normales o las Políticas de referencia. Una política normal está formada por reglas, asuntos, condiciones y proveedores de respuesta. Una política de referencia está formada por reglas y referencias a las organizaciones.