Confianza entre organizaciones y socios

Hay tres formas de dejar entrar a personas de otra organización. Con cuentas invitadas en tu propio IdP, tú creas y retiras cada cuenta, y te enteras tarde de que alguien se fue del socio. Con federación directa, tu aplicación o tu IdP confía en el IdP del socio: él autentica y él sabe, mejor que nadie, quién sigue contratado. Con un concentrador (un intermediario que recibe las aserciones de muchos y las reemite con su propio emisor), cada parte mantiene una sola relación en vez de una con cada miembro.

En la federación directa el socio es quien garantiza que la persona existe y sigue activa; tú decides qué puede hacer dentro. Ese reparto se escribe en el acuerdo de confianza junto con las obligaciones del socio: avisar de los retiros, en qué plazo, y qué pasa cuando termina el contrato. NIST SP 800-63C-4 llama a esos acuerdos bilaterales cuando son entre dos y multilaterales cuando los gobierna una autoridad de federación, y trata al concentrador como federación por intermediario.

La relación de confianza es una configuración técnica; el contrato, un documento legal. Si nadie ata uno al otro, el contrato vence y la relación sigue funcionando, y el socio sigue autenticando a su gente con todo el derecho del mundo, porque desde su lado nada cambió. El diseño correcto le pone a cada relación la misma fecha de fin que al contrato y la apaga sola.

Abre el laboratorio y cruza la última columna de socios.txt con registro-de-ingresos.txt. El corte de la evidencia es el 2027-10-04.

Confiar en un emisor no debería significar creerle cualquier cosa. Un IdP de una clínica tiene autoridad sobre las personas de la clínica, no sobre las de un laboratorio ni sobre las tuyas. Por eso, al configurar la relación, se fija qué dominios o qué identificadores puede afirmar cada emisor, y se rechaza lo que venga fuera de ese ámbito. Con un concentrador esto es aún más importante: un emisor que habla en nombre de muchos y al que no se le restringe nada puede presentar a cualquiera.

Lee la columna de dominios de socios.txt y compárala con cada línea de registro-de-ingresos.txt.

El socio garantiza quién es su gente; el rol dentro de tu aplicación lo decides tú. Una regla que copia tal cual el rol que el socio envía le entrega a otra empresa la administración de tu sistema: basta con que alguien de allí cambie un valor en su directorio para que su usuario entre con más poder en el tuyo.

Lee reglas-de-mapeo.txt y busca en el registro qué produjo cada regla.

Cuando son muchas las organizaciones y las aplicaciones, la forma de la federación pesa tanto como sus reglas. En una malla, cada aplicación confía directamente en cada IdP que la usa: con tres IdP y seis aplicaciones son hasta dieciocho relaciones, cada una con su certificado, su mapeo y su renovación. Con un concentrador, cada IdP confía en él y él en cada aplicación: tres más seis, nueve relaciones, y un único punto donde aplicar reglas comunes. El precio es que el concentrador se vuelve un componente crítico: si cae o se configura mal, falla todo lo que cuelga de él.