Catálogos y paquetes de acceso

La gestión de derechos organiza el acceso en tres niveles. Un recurso es algo a lo que se da acceso con un rol: la pertenencia a un grupo de seguridad o de Microsoft 365, a un equipo de Teams, una aplicación empresarial o un sitio de SharePoint. Un paquete de acceso es el conjunto de recursos, con sus roles, que una persona necesita para una tarea o un proyecto, y lleva una o más políticas que dicen quién lo puede pedir, quién lo aprueba y cuánto dura. Y un catálogo es el contenedor donde viven los paquetes y los recursos con los que se arman.

El catálogo existe para delegar. Un administrador puede añadir cualquier recurso a un catálogo, pero quien no es administrador solo añade los recursos que él mismo posee. Así el jefe de laboratorio puede armar los paquetes de su área sin pedirle nada a TI, y sin tocar los de otras áreas. El propietario del catálogo puede nombrar copropietarios y gestores de paquetes.

Ciprés tiene cuatro catálogos, uno por área. Cada catálogo tiene un propietario que responde por él y una marca que dice si está habilitado para externos. Los paquetes aparecen con el catálogo al que pertenecen. Para saber qué tan grande es el trabajo de revisar un área, lo primero es contar lo que contiene.

Usa la consulta de la lista de paquetes, o la de conteo, y mira el catálogo de Interventorías, el que Ciprés usa con las empresas que supervisan obras.

Un paquete puede mezclar tipos de recurso. Un grupo da pertenencia, una aplicación da un rol dentro de ella y un sitio de SharePoint da acceso a sus documentos. Cuantos más tipos mezcla un paquete, más difícil es saber qué hace falta de verdad, y por eso conviene localizar los paquetes más amplios antes de revisar las políticas.

En la tabla de contenido del paquete cada recurso lleva su tipo (grupo, aplicación o sitio). Busca el paquete que reúne los tres tipos a la vez.

Cuando un catálogo está habilitado para externos, los paquetes que contiene pueden ofrecerse a personas de otras organizaciones. Hay un detalle fácil de olvidar: si un paquete no está oculto, cualquier persona que su política admita puede encontrarlo navegando en el portal Mi acceso del tenant. Quien quiere que lo pida solo una persona concreta oculta el paquete y le envía el enlace directo.

Un paquete visible dentro de un catálogo habilitado para externos es una superficie abierta que merece revisión. Cruza el estado de cada catálogo con la columna visible de sus paquetes.