Asignación de aplicaciones a grupos y reglas

Una aplicación se puede asignar a cada persona o a un grupo cuya membresía cambia con el puesto. Con grupos, la pregunta «¿quién tiene esta aplicación?» se contesta mirando una lista corta, y quien cambia de área sale de un grupo y entra en otro sin que nadie toque las aplicaciones una por una. Con asignaciones a personas, cada cambio de puesto es una tarea manual que alguien puede olvidar.

Esto no significa que las asignaciones a personas estén prohibidas: pueden ser legítimas para un caso único y temporal. Significa que, cuando existen, se listan, se justifican y se revisan.

Un acceso que llega por una persona y no por un grupo es difícil de ver: no aparece en las listas de los grupos ni cambia cuando la persona se traslada. Para encontrarlos hay que mirar la columna tipo de la lista de asignaciones y fijarse en las filas que dicen persona.

Abre asignaciones.txt. Hay una aplicación que, además de sus grupos, tiene asignaciones directas a cuentas concretas.

Un grupo por regla se llena solo: la consola evalúa una condición sobre los atributos de cada cuenta y mete o saca a la persona. Eso es cómodo, pero la seguridad del grupo es la seguridad del atributo. Si la regla mira un atributo que llega de recursos humanos, solo recursos humanos puede cambiar la membresía. Si mira uno que la propia persona edita desde su perfil, la persona puede meterse sola en el grupo.

La pregunta de revisión es siempre la misma: de qué atributo depende la regla y quién puede editarlo.

El hallazgo no está en un solo archivo. Una lista dice qué regla usa cada grupo; otra dice quién puede editar cada atributo. Hay que ponerlas una al lado de la otra. Si un grupo da acceso a una aplicación sensible, la comprobación pasa a ser prioritaria.

Lee las reglas de grupos-por-regla.txt y busca en atributos.txt quién puede cambiar cada atributo que aparece en ellas. Una de las reglas usa un atributo editable por la propia persona.

El rol dentro de la aplicación también se asigna: usuario, administrador. Un administrador de una aplicación de negocio es una de las cuentas con más poder sobre sus datos, y debería llegar por un grupo con propietario y con revisión, no por una asignación suelta.

En asignaciones.txt, en la aplicación con asignaciones directas, hay una persona con el rol de administrador.