Directivas de gobierno que protegen los permisos

Una directiva tiene un efecto. Con el efecto «auditar», la consola marca lo que no cumple y lo muestra en un informe, pero deja que ocurra. Con el efecto «denegar», impide crear o cambiar lo que no cumple; y no toca lo que ya existía antes de la directiva, que queda como no conforme hasta que alguien lo corrija.

Por eso una directiva de auditoría es un detector y una de denegación es un freno. Las dos sirven, pero no son lo mismo, y una regla que la empresa cree que se aplica puede estar solo anotando.

La empresa pidió que solo las cuentas de su dominio recibieran roles. Que la directiva exista no dice que proteja: hay que mirar el efecto. Si no impide, las cuentas externas se siguen asignando y el informe de cumplimiento se llena.

Abre directivas.txt y compara lo que cada directiva exige con su efecto. Después revisa cumplimiento.txt.

Las exclusiones son la parte menos visible de una directiva. Cada una abre un hueco por el que el control no pasa, y casi siempre nació por una buena razón (un entorno de pruebas, una obra en urgencia) que luego nadie volvió a mirar. Para leer una directiva hay que leer también qué ámbitos excluye y quién tiene permisos allí.

Compara la columna de exclusiones de directivas.txt con las fechas de creación de propietarios.txt.

El informe de cumplimiento da la medida del problema. Una asignación eximida tiene una fecha de fin: es una excepción con vencimiento, no un incumplimiento abierto. Una no conforme es una asignación que la directiva marcó y nadie corrigió ni eximió.

En cumplimiento.txt cuenta las filas cuyo estado es no conforme. No cuentes las eximidas.

Una denegación de acceso es distinta de un rol: la crea el plan de gobierno y prevalece sobre cualquier asignación, incluso Propietario. Es el mecanismo para que una acción sea imposible aunque alguien tenga todos los permisos, y por eso se usa con moderación: sobre unos pocos ámbitos críticos y con excepciones nombradas.

Lee en directivas.txt la sección de denegaciones.