Sala 3 · Federación, terceros y migración de una adquirida

En una federación, la confianza descansa en los metadatos y en el certificado con el que el socio firma sus aserciones. Si el certificado caduca, el socio deja de poder firmar de forma válida o, peor, alguien lo renueva sin control. La política exige suspender al socio hasta que lo renueve.

Los metadatos y el certificado tienen fechas de vencimiento distintas y no hay que confundirlos. Un certificado que vence pronto es un aviso; uno que ya venció a la fecha de la revisión es un hallazgo.

Las cuentas de terceros viven lo que vive su contrato. Cuando el contrato termina, la cuenta se cierra ese mismo día: lo demás es acceso sin respaldo, y es de los hallazgos más repetidos en las revisiones.

Una cuenta ya deshabilitada con el contrato terminado cumple la política. Una cuenta activa cuyo contrato termina mañana todavía está dentro de su vida legítima.

Un proveedor con acceso privilegiado trabaja con tres condiciones: un ticket abierto que justifica el trabajo, una ventana en la que puede hacerlo y una grabación de lo que hizo. Si falla cualquiera, la sesión no se puede defender ante una auditoría.

Algunas ventanas cruzan la medianoche, y una sesión que arranca a la una de la madrugada puede estar perfectamente dentro de la ventana del día anterior. Se compara la hora de inicio de la sesión con la ventana de su propio ticket.

Al unir dos empresas hay que saber quién ya existe en ambos lados. El nombre engaña: los homónimos comparten nombre sin ser la misma persona y una persona puede escribirse de dos maneras. Por eso la política correlaciona por una llave estable, el código de documento.

La respuesta cuenta personas, no cuentas ni coincidencias de nombre. Dos cuentas con el mismo nombre y códigos distintos son dos personas.

Una migración por olas funciona si cada aplicación llega después de aquello de lo que depende. Si migra antes, queda en el directorio nuevo apoyándose en algo que sigue en el viejo, y el primer corte la rompe sin que nadie haya cambiado nada en ella.

Migrar en la misma ola que la dependencia está permitido. Hay que mirar, para cada aplicación, la ola de la aplicación de la que depende.