Чтобы понять, как развернуть PEP в любом месте, вам нужно понять, что вы будете перехватывать.Например, если вы защищаете API веб-службы, вам необходимо знать, будет ли ваш PEP шлюзом API или перехватчиком в рамках веб-служб или просто кодом внутри самой веб-службы.
Аналогично,для виртуальной машины, какую технологию вы используете?Вы хотите запустить PEP внутри виртуальной машины (например, VMWare, Docker ...) или вы хотите обеспечить доступ к этой виртуальной машине?Если это последнее, то какие интерфейсы доступны?Есть ли зацепки?
Поделитесь своей архитектурой в своем вопросе, и я могу уточнить этот ответ.
PS: Postman и SoapUI - довольно простой способ протестировать PDP.Они являются PEP своего рода, хотя они не приводят в исполнение решения.