Derechos, roles y su catálogo

Un derecho (en la jerga de gobierno de identidades, un entitlement) es lo mínimo que se concede en un sistema: un grupo del directorio, un permiso de una aplicación. Un rol es un paquete de derechos pensado para un puesto: quien lo recibe recibe todos sus derechos de una vez.

La ventaja del rol es de lenguaje y de control: el jefe de compras no entiende erp-pagos-preparar, pero sí «asistente de compras». La ventaja de mantener el derecho como unidad es que cada uno tiene su propio dueño y su propio riesgo.

Cada derecho del catálogo debería tener un dueño de negocio: la persona que decide quién lo recibe y, después, quién lo conserva. Sin dueño no hay a quién pedirle aprobación ni quién revise el derecho en una campaña de certificación; acaba revisándolo quien tiene a mano el sistema.

Mira en la tabla derechos la columna duenio. Un guion significa que nadie lo tiene asignado.

Para saber qué recibe quien tenga un rol hay que leer la tabla que une roles con derechos, rol_derechos. Un rol con muchos derechos es cómodo, pero cada derecho extra es acceso que quien lo recibe quizá no necesita. Contar los derechos de un rol es el primer paso de cualquier revisión del catálogo.

El nombre de un rol promete algo, y el contenido a veces promete más. Cruza rol_derechos con derechos para ver el riesgo de lo que trae el rol de asistente de compras. Un derecho de riesgo alto dentro de un rol de uso masivo se concede a muchas personas sin que nadie lo decida de forma expresa.

Un derecho que no pertenece a ningún rol solo puede llegar a una cuenta de manera directa. La tabla asignaciones muestra el origen de lo que tienen algunas cuentas: una regla del cargo, una solicitud o una asignación directa. Las asignaciones directas son las más difíciles de explicar en una auditoría, porque no responden a ninguna regla del modelo.