Ámbitos y herencia en el árbol de suscripciones

El árbol tiene cuatro niveles: los grupos de administración agrupan suscripciones, cada suscripción contiene grupos de recursos y estos contienen los recursos. Una asignación de rol se hace en uno de esos niveles y vale para todo lo que cuelga de él: es la herencia. Baja, nunca sube: un rol dado sobre un grupo de recursos no se extiende a la suscripción que lo contiene, ni a sus vecinos.

Por eso, para saber qué puede hacer una persona sobre un recurso, no basta mirar las asignaciones hechas «en el recurso»: hay que subir por el árbol y reunir las de todos sus ancestros. Los permisos son la suma de todas ellas.

Quien revisa un grupo de recursos y solo mira las asignaciones hechas en él se pierde casi todo el acceso: la mayor parte llega por herencia desde arriba. La forma de leerlo es tomar el grupo de recursos, subir por el árbol y anotar, en cada nivel, qué asignaciones hay.

Abre arbol.txt para ubicar rg-nomina y asignaciones.txt para ver qué se asignó en cada nivel. Hay una cuenta de persona con el rol de más poder que llega a rg-nomina sin estar asignada en él ni en su suscripción, sino en un grupo de administración de más arriba.

El alcance de una asignación se mide contando lo que hay debajo. Una asignación de lectura hecha sobre un grupo de administración parece pequeña, pero cubre todas las suscripciones y todos los grupos de recursos de esa rama, también los que se creen mañana.

En arbol.txt localiza GA-Obras. El grupo grp-auditoria tiene Lector asignado sobre ese ámbito.

La regla práctica del mínimo privilegio aplicada al árbol es elegir el ámbito más bajo que cubra el trabajo de la persona. Un ámbito más alto ahorra una solicitud cuando la persona cambia de tarea, pero cada nivel de más reparte el permiso sobre recursos que nunca va a tocar, y el día que su cuenta se use mal el daño alcanza todo eso.

Cruzar el alcance de una asignación con el trabajo real de la persona es la lectura básica de una revisión de accesos. La asignación puede ser «legítima» en el sentido de que alguien la pidió, y aun así ser un acceso de sobra.

Abre personal.txt para ver dónde trabaja cada cuenta con asignación directa y cruza con asignaciones.txt. Hay una persona que trabaja en un solo grupo de recursos y tiene un rol de escritura en el ámbito de más arriba del árbol.