La explosión de roles y cómo se contiene

La explosión de roles es el límite conocido del modelo de roles: cuando un permiso depende de algo más que la función (la obra, la firma, la región, el proyecto), la única forma de expresarlo con roles es crear un rol por cada combinación. El catálogo crece como el producto de las dimensiones: cinco funciones por obra en 38 obras ya son 190 roles, y basta añadir la firma contratista para pasar a cientos. La hoja de autorización de OWASP lo señala como el motivo para preferir atributos o relaciones cuando el acceso depende de esos datos.

El daño no es solo el número. Con cientos de roles nadie sabe qué concede cada uno, se copian roles «parecidos» al abrir una obra, quedan roles sin dueño ni miembros, y las revisiones de acceso se vuelven ilegibles. La contención no es borrar roles a ciegas: es sacar del nombre del rol la dimensión que cambia y expresarla con el modelo que le corresponde.

Un rol duplicado es un rol que concede exactamente lo mismo que otro con otro nombre. Parece inofensivo, pero cada duplicado es un sitio más donde revisar a quién se dio el acceso, y es la forma más habitual de que un control que mira nombres deje de ver un conflicto. Para encontrarlo no sirve comparar nombres: hay que comparar lo que concede cada rol.

Abre el laboratorio y lee conjuntos-de-permisos.txt. El código de conjunto resume los permisos; desconfía de los nombres parecidos y fíjate también en cuántos miembros tiene cada rol.

Una propuesta de consolidación se defiende con la cifra final, y esa cifra se calcula con las reglas de la propia propuesta, no con una estimación. Lee propuesta-de-consolidacion.txt y aplica sus cuatro puntos al catálogo de catalogo-resumen.txt: qué familias desaparecen, qué roles nuevos se crean y qué parte de la sede central se retira.

La separación de funciones se define en el modelo de roles de NIST de dos formas: estática, cuando dos roles no pueden asignarse a la misma persona, y dinámica, cuando pueden tenerse pero no activarse en la misma sesión. En ambos casos la restricción es sobre roles, y ahí está su punto débil a escala: si el mismo permiso vive en dos roles con nombres distintos, o llega por un grupo, una restricción escrita sobre un nombre deja de cubrirlo.

Lee separacion-de-funciones.txt para ver qué compara el control y luego asignaciones.txt, cruzando cada rol con lo que concede.

Quitarle un rol a esa persona arregla el caso de hoy. El siguiente duplicado o el siguiente grupo lo reabren si el control sigue comparando lo mismo.