Versionado y distribución de políticas

Quien consume un paquete de políticas depende de su comportamiento: qué reglas deniegan, qué reglas avisan. Cambiar una advertencia por una denegación rompe a los consumidores aunque el código del paquete no cambie de forma. Por eso conviene versionar las políticas como cualquier interfaz: un cambio que puede frenar a otros equipos pide un número de versión que lo diga y un aviso antes de publicarse.

Conftest puede traer políticas de varios orígenes con conftest pull: un registro compatible con OCI, un repositorio de Git o una dirección HTTPS. En el caso del registro, la etiqueta del paquete decide qué versión recibe cada consumidor.

Una etiqueta de versión concreta (por ejemplo, un número completo) siempre apunta a lo mismo mientras nadie la reescriba. Una etiqueta como latest o una rama como main se mueven: cada publicación nueva cambia lo que reciben quienes las usan. Para una política que puede bloquear despliegues, eso es una forma de cambiar el comportamiento de los demás sin que ellos lo decidan.

Lee cómo cada repositorio obtiene el paquete.

Fijar versiones tiene un costo: los repositorios se quedan atrás. Un repositorio atrasado no recibe las políticas nuevas ni las correcciones; si una regla tenía un error, sigue con él. La distribución sana tiene dos tareas: fijar versiones y medir cuántos consumidores van por detrás para empujarlos a actualizar con un plazo.

Cuenta los repositorios que fijan una versión anterior a la 1.4.0.

Un registro de cambios es útil cuando el número de versión dice la verdad. Una versión menor debería traer funciones nuevas que no rompen a nadie; un cambio que puede frenar despliegues es de otra clase. Si el número no avisa, quien actualiza «solo una menor» recibe un bloqueo que no esperaba.

Lee el registro de cambios y el estado del registro, y localiza la versión que causó el incidente.

Un cambio que endurece una política se publica en dos pasos: primero una versión que trae la regla nueva en auditoría (o con un cambio de versión mayor que avise de la ruptura), un plazo para que los consumidores vean sus hallazgos, y solo después la versión que bloquea. Cada repositorio actualiza cuando está listo, no cuando el autor publica.