Asignaciones permanentes y su revisión

Una asignación permanente está activa todo el tiempo: la persona tiene el rol aunque esté de vacaciones, dormida o con la sesión abierta en un equipo ajeno. Una asignación elegible solo le da a la persona el derecho de pedir el rol: debe activarlo, con una justificación, y la activación termina sola tras un tiempo máximo. El rol existe el rato que se necesita, y cada activación deja un registro.

Esa diferencia achica la ventana en que una cuenta robada o un descuido pueden usar el privilegio. No quita ningún permiso a quien trabaja con normalidad.

Las reglas de la empresa dicen que un rol privilegiado sin uso en más de 90 días se retira, y que las únicas cuentas con Propietario permanente son las de emergencia. Una cuenta de emergencia sin uso es lo correcto: está para el día malo. Una cuenta de una persona con Propietario permanente que no lo usa desde hace meses es un privilegio olvidado: sirve a quien robe la cuenta y no sirve a nadie más.

Abre reglas.txt y asignaciones-privilegiadas.txt. La última columna ya trae los días sin uso.

Medir el problema antes de proponer el arreglo: cuántas asignaciones privilegiadas incumplen la regla de que Propietario solo es elegible. Se cuentan las permanentes de Propietario y se descartan las cuentas de emergencia y las que ya son elegibles.

Cuenta en asignaciones-privilegiadas.txt las filas de Propietario con modalidad permanente cuya cuenta no empiece por emerg-.

La revisión de accesos es el control que atrapa lo que se acumula. Tiene dos formas de fallar. La primera es que no se haga a tiempo: la regla de la empresa es cada trimestre, y más de 90 días desde la última revisión es una revisión vencida. La segunda es que se haga sin que nadie decida: si el revisor no responde, la consola cierra la revisión «sin cambios», lo que equivale a aprobar todo.

Abre revisiones.txt y mide cada ámbito contra el trimestre, tomando 2026-10-07 como fecha de corte.

Una revisión que termina «sin cambios (el revisor no respondió)» cuenta como hecha en el calendario, pero no revisó nada: nadie confirmó ni retiró un solo acceso. Para la empresa, esa revisión es una asignación más que se renovó por inercia.

Lee la regla de la consola sobre el revisor que no responde y la última fila de revisiones.txt que lo menciona.