Delegación de administración por facultad

Delegar no es regalar. Tanto Microsoft Entra ID (con las unidades administrativas) como AWS Organizations (con unidades organizativas y políticas de control de servicios) permiten acotar el alcance de un administrador a un pedazo de la organización. Pero acotar el alcance no basta: un administrador de facultad puede crear permisos, y si nadie limita lo que puede crear, puede construirse un camino hacia el resto. Por eso arriba se fijan guardarraíles: reglas de la organización que ninguna delegación puede saltar.

Abre politica-de-delegacion.txt y delegaciones.csv. La regla 1 dice que cada facultad administra solo dentro de su unidad. Busca a alguien con rol de administrador de facultad cuyo alcance no es una unidad sino toda la organización.

La regla 2 prohíbe que una persona de facultad tenga un rol de administración de toda la organización, sea cual sea su alcance. Es un caso distinto del anterior: aquí el nombre del rol ya lo dice.

Toda delegación se revisa cada 180 días como máximo. El inventario está fechado el 2 de octubre de 2026. Cuenta las delegaciones cuya última revisión fue hace más de 180 días. Una delegación sin revisión es un permiso que quizá ya no corresponde a nadie.

Un guardarraíl que existe en una lista pero no está aplicado no protege a nadie. Revisa guardarrailes.csv y ubica el que sigue sin aplicar. Es justo el que haría imposible los problemas de las tareas anteriores.