Revisiones de acceso: configuración y resultados

Una revisión de acceso puede asignar como revisores a los propietarios del grupo, a usuarios o grupos seleccionados, a cada persona sobre su propio acceso o a los gerentes de los usuarios. En los dos casos que dependen de un dato del directorio, el propietario del grupo y el gerente, se puede definir además un revisor de respaldo: la persona o grupo al que se le pide revisar cuando el grupo no tiene propietario o el usuario no tiene gerente. Sin respaldo, esa parte de la revisión se queda sin revisor.

Los propietarios que cuentan son los que el grupo tiene cuando la revisión empieza. Si cambian durante la revisión, el cambio vale desde la siguiente recurrencia.

El ajuste si los revisores no responden actúa sobre las personas que ningún revisor decidió. Tiene cuatro valores: sin cambios deja el acceso como está, quitar acceso lo retira, aprobar acceso lo mantiene como si alguien lo hubiera aprobado y seguir las recomendaciones toma lo que sugiere el sistema. No afecta a quienes sí fueron revisados.

El valor de aprobar convierte el silencio en un sí. Con una revisión que nadie quiere contestar, es el valor que más cómodo resulta y el que menos control da: la revisión «se hizo» y no cambió nada. Recorre las cinco definiciones.

La opción aplicar resultados solos hace que, al terminar la duración de la revisión, el acceso de las personas denegadas se retire sin intervención. Si no está marcada, un administrador debe aplicar los resultados a mano. Junto con el valor de quitar acceso cuando nadie responde, la documentación advierte lo evidente: si los revisores no contestan, todo el acceso al recurso podría retirarse.

Eso no siempre es un defecto. Para una aplicación de pagos podría ser una decisión consciente. Pero hay que verlo antes de que ocurra. Busca la revisión que combina quitar acceso a quien nadie revisó con aplicar los resultados sola, y que no tiene revisor de respaldo.

Una revisión de varias etapas pone en fila a dos o tres grupos de revisores. Cada etapa tiene su propia duración, y la etapa siguiente no empieza hasta que se registre una decisión en la anterior. Se configura quiénes pasan a la etapa siguiente: los aprobados, los denegados, los no revisados, los marcados como «no sé» o todos. La duración de cada recurrencia es la suma de las duraciones de sus etapas.

Eso importa para la recurrencia: una revisión semanal no puede durar más de siete días. Calcula cuánto dura una instancia de la revisión de varias etapas de Ciprés.

Cuando la revisión se limita a invitados, se puede elegir qué se hace con un invitado denegado. La primera opción es quitar su pertenencia al recurso revisado: el invitado sigue pudiendo iniciar sesión en el tenant y no pierde ningún otro acceso. La segunda es bloquear su inicio de sesión durante 30 días y luego eliminarlo del tenant, sin importar a qué más tenga acceso; si fue un error, un administrador puede reactivarlo dentro de esos 30 días.

Si la revisión no se limita a invitados, no se puede elegir y se aplica la primera opción.