Políticas sobre planes, manifiestos y SBOM

Un manifiesto de despliegue es un documento con listas anidadas, y la política necesita recorrer la lista de contenedores y mirar cada uno. La condición típica es una ausencia: «no declara límites de recursos». Se escribe con not, y recuerda lo visto en la primera sala: not es verdadero cuando el campo falta, de modo que una política de límites denuncia a quien no los escribió.

Lee la política de límites y el despliegue de pagos.

Un SBOM en formato CycloneDX lista los componentes de un software. Cada componente puede declarar su licencia de dos maneras: con un identificador (license.id), un nombre libre (license.name) o con una expresión (expression) que combina varias. Una política que solo lee license.id no ve las otras dos formas, y un componente cuya licencia aparece como expresión puede ofrecer una opción prohibida sin que la política lo note.

Lee la política de licencias y el inventario, y busca el componente que ella no puede evaluar pese a mencionar una licencia prohibida.

Una política también puede exigir que el documento tenga cierta forma: que cada componente traiga su identificador de paquete (purl), por ejemplo, para poder cruzarlo con una base de avisos. Sin identificador, el componente no se puede relacionar con nada fuera del SBOM. Contarlos es una medida de la calidad del inventario, no solo de su contenido.

Cuenta los componentes del inventario que no traen purl.

El plan de infraestructura en JSON lista cada cambio de recurso en resource_changes. Dentro de change, after guarda los valores que tendrá el recurso, y after_unknown marca los que no se conocen hasta aplicar, porque dependen de algo que todavía no existe. Una política que compara after.acl con un valor concreto no puede juzgar un campo desconocido: la condición es indefinida y el recurso pasa.

Lee la política de acceso y el resumen del plan, y busca el cambio que ella no puede evaluar.

Cuando una política no puede decidir porque falta información, hay tres salidas: dejar pasar, denegar o avisar. Dejar pasar es lo que ocurre por defecto, y es la peor: convierte «no sé» en «está bien». Denegar todo lo desconocido frena al equipo con un falso positivo por cada valor calculado. Lo razonable es hacer explícito el caso, con una regla propia que lo marque y que alguien pueda leer.