Roles integrados y personalizados

Un rol integrado se adopta tal cual: la consola lo mantiene y todas las organizaciones lo entienden igual. Su costo es que está pensado para muchos casos, así que suele ser más ancho que una tarea concreta. Un rol personalizado se escribe a la medida (qué acciones permite y dónde se puede asignar), pero la empresa queda a cargo de mantenerlo: si nadie lo revisa, acumula acciones.

La regla de decisión es práctica: se usa el integrado más estrecho que sirva; si ninguno cubre la tarea sin dar de más, se escribe uno personalizado con solo las acciones necesarias y se le limitan los ámbitos asignables.

Un nombre como «Coordinador» o «Gestor» describe un puesto, no una lista de permisos. La única forma de saber qué permite un rol es leer sus acciones. En la consola, las acciones de la familia autorizacion/ son las que crean y cambian asignaciones de rol, es decir, las que permiten dar acceso a otras personas. Quien las tiene puede ampliarse el acceso a sí mismo o a otra cuenta sin pedirle nada a nadie.

Abre roles-personalizados.txt y revisa las acciones de cada rol.

Una acción de «leer» suena inocua, pero en las nubes hay lecturas cuyo resultado es el acceso mismo: listar las llaves de una cuenta de almacenamiento devuelve las credenciales con que se entra a ella. Al revisar un rol hay que separar las acciones de simple lectura de las que exportan datos o entregan llaves.

En roles-personalizados.txt mira el rol de soporte de nómina. Cuenta sus acciones cuyo nombre no termina en /leer.

El rol Colaborador del catálogo permite todo salvo las acciones de autorizacion/. Ese «salvo» son acciones excluidas: se restan del rol que las incluye, pero no son una denegación. Si la persona recibe otro rol que sí incluye esas acciones, las tiene. La exclusión limita a un rol, no a una persona.

Lee el glosario y roles-integrados.txt antes de contestar.

Un rol personalizado sin ninguna asignación es peso muerto: ocupa el catálogo, confunde a quien lo busca y el día que alguien lo asigne «porque existe», nadie recordará qué permitía. Se detecta cruzando el catálogo con la lista de asignaciones.

Cruza roles-personalizados.txt con asignaciones-de-roles.txt.