Políticas de solicitud y aprobación

Una política define tres cosas: quién puede solicitar el paquete, cómo se aprueba y cuánto dura la asignación. Quién puede solicitar tiene tres familias. Las identidades que ya están en el directorio, que pueden ser grupos o personas concretas, todos los miembros o todos los usuarios incluidos los invitados. Las personas que no están en el directorio, que pueden ser de organizaciones conectadas específicas o de cualquiera. Y ninguna, cuando solo un administrador asigna.

La documentación es clara en algo que ahorra errores: una sola política no puede cubrir a la vez a identidades del directorio y a identidades de fuera. Si el mismo paquete debe poder pedirlo el personal y un subcontratista, con reglas distintas, se hacen políticas separadas. Cada política puede tener su propio aprobador y su propio vencimiento.

La aprobación es opcional. Una política puede exigir una, dos o tres etapas, o ninguna. Sin aprobación, la solicitud se concede sola. Eso es razonable para un paquete de bajo riesgo y para personas ya filtradas por el grupo que puede pedirlo, pero es peligroso cuando se combina con un solicitante amplio y con un acceso que no vence: la persona entra sola y se queda para siempre.

Abre los cuatro archivos de la carpeta de políticas con ls y cat. Busca la política que no pide aprobación y cuyo acceso no vence.

Cada etapa de aprobación tiene un plazo de decisión en días. Si nadie decide dentro del plazo, la solicitud se deniega sola y la persona debe volver a pedirla. En una política de dos etapas el aprobador de la etapa siguiente solo recibe la solicitud cuando la anterior se aprobó, de modo que el peor caso para el solicitante es la suma de los plazos de las etapas.

Calcula cuántos días como máximo puede esperar una persona que pide el paquete con la política de dos etapas de Ciprés, suponiendo que cada aprobador usa todo su plazo.

Una política puede nombrar como aprobador al gerente del solicitante. La gestión de derechos lo busca en el atributo de gerente del perfil de la persona. Si ese atributo está vacío, la solicitud no tiene a quién ir, y para eso existen los aprobadores de respaldo: reciben la solicitud cuando no se encuentra al gerente. Una política que depende del gerente y no tiene respaldo se queda con solicitudes huérfanas.

En la primera política de Ciprés el aprobador es el gerente. Mira quién figura como respaldo.

El vencimiento fija cuándo termina la asignación: en una fecha, a los N días o nunca. Además, la política puede permitir que la persona solicite una extensión; si lo permite, la persona recibe un correo 14 días antes y otro un día antes del vencimiento. La política puede exigir aprobación para extender, con las mismas reglas de la solicitud inicial, o dejar que la extensión sea automática.

Una extensión sin aprobación convierte un acceso temporal en uno que se renueva solo mientras la persona siga dentro del alcance de la política. Compara la línea de extensión de las cuatro políticas.