Mapear atributos a roles sin confiar de más

El SP necesita una llave para encontrar la cuenta local de la persona en cada inicio. SAML la entrega en NameID, y su formato importa. Un identificador persistente es un valor opaco que el IdP asigna a esa persona para ese SP y no reutiliza; un correo puede cambiar cuando alguien cambia de nombre o de área, y en muchas empresas se reasigna a otra persona cuando la primera se va. La llave estable es la pareja formada por el emisor validado y el identificador persistente: el mismo valor emitido por dos IdP distintos son dos personas distintas.

Los atributos de la aserción son afirmaciones del IdP sobre la persona: su área, sus grupos, su cargo. Convertirlos en permisos es tarea del SP, y la forma segura es una tabla cerrada por inquilino: este grupo de esta empresa da este rol, y todo lo que no esté en la tabla da el rol más bajo. Si el SP copia el valor de un atributo como rol, cualquiera que pueda escribir ese atributo en el directorio de la empresa cliente decide su propio rol en la aplicación.

Lee mapeo-roles.yml y compara cómo resuelve cada inquilino el rol y qué hace cuando no hay coincidencia.

En una aplicación con varias empresas cliente, el inquilino de la cuenta debe salir del IdP cuya firma se validó, no de un atributo que ese IdP escribe. Si el inquilino se decide por el dominio del correo, el IdP de una empresa puede afirmar un correo con el dominio de otra, por error o a propósito, y la persona aparece dentro del inquilino ajeno. Cada IdP solo debería poder afirmar correos de los dominios que su inquilino tiene verificados.

Lee asignar_cuenta.py, mira qué hace con inquilino_del_emisor y cruza eventos-cuentas.txt con la nota de Yaguané.

El arreglo tiene dos partes que no se sustituyen entre sí: atar el inquilino al emisor validado y convertir atributos en roles con una lista cerrada que mantiene Quenaré, no el directorio del cliente.

La nota de Yaguané explica quién puede escribir el atributo que Quenaré convierte en rol. Cruza eso con los roles asignados en eventos-cuentas.txt y con la plantilla que aparece al final del archivo.