Políticas como código, leer las reglas de un motor

Una política como código es un archivo de texto que un motor evalúa: recibe quién pide, qué pide y sobre qué, y devuelve permitir o denegar. Hay motores reales de este tipo, como Open Policy Agent y Cedar. El lenguaje de este laboratorio es inventado y más sencillo, pero la lectura es la misma.

Lo valioso de tenerla en un archivo es que se guarda en un repositorio, alguien más la revisa antes de publicarla, se prueba con casos y se sabe qué cambió entre una versión y la siguiente. Lo que no cambia es el trabajo de fondo: hay que decidir bien qué se permite.

Abre el laboratorio. En la carpeta zumbambico hay tres archivos: lenguaje.txt explica cómo decide el motor, politica_v2.txt trae las siete reglas y solicitudes.txt las nueve peticiones del día. Con ls y cat los lees.

El motor aplica tres pasos en orden: si alguna regla de denegar se cumple, se deniega; si no, se permite cuando alguna regla de permitir se cumple; y si no se cumple ninguna, se deniega. Evalúa las nueve solicitudes con cuidado: una regla solo se cumple si todas sus comparaciones se cumplen. Cuenta cuántas se permiten.

La regla que se evalúa primero cambia el resultado. Hay una solicitud que cumple una regla de permitir y a la vez una de denegar: si el motor fuera «el primero que coincide gana» podría salir distinto, pero con denegación prevalente el resultado es negar. Es el patrón que se usa para poner un límite que nada puede levantar, como un cliente especial que requiere un nivel alto.

Encuentra la solicitud que tendría permiso por una regla y queda negada por otra.

Una regla de permitir conviene que diga sobre qué recurso aplica. Una que solo mira el rol y el inicio del nombre de la acción alcanza todo lo que empiece así, incluso recursos que quien la escribió nunca tuvo en mente. En la política de Zumbambico solo una regla de permitir no acota el tipo de recurso, y por eso una solicitud sobre un pago quedó permitida por ella.

Una de las solicitudes se niega sin que ninguna regla de denegar se cumpla: simplemente nadie la permitió. Es el comportamiento por defecto de la política, que protege cuando surgen casos que nadie previó, y tiene un costo: cada permiso legítimo hay que escribirlo. Cuando un usuario se queja de que «no puede» algo, lo primero es mirar si existe una regla que lo permita, no solo si hay una que lo niegue.