La política como código

Una comparación de Rego es una igualdad exacta: si el valor que escribió quien hizo la regla no es el que trae el dato, la expresión no se cumple y la regla no produce nada, sin error ni aviso. Que las pruebas pasen no prueba nada si sus entradas se escribieron con el mismo valor equivocado que la regla.

En Rego, una regla del tipo «cifrado igual a falso» solo se cumple si el campo existe y vale falso. Si el dato ni siquiera declara el campo, la expresión queda sin definir y la regla no produce nada: justo el recurso que no dice nada es el que escapa. Cubrir ese caso exige una regla que pregunte por la ausencia.

Una política de Azure puede limitarse a registrar el incumplimiento o impedirlo al crear o modificar el recurso. La definición enumera los valores que admite su parámetro de efecto, y la asignación escoge uno. Registrar sirve para medir; impedir sirve para que el problema no vuelva a aparecer.

Un informe de cumplimiento cuenta todo lo que no cumple, pero una exención apartada y vigente deja de ser un problema del equipo. La vigencia se mide contra la fecha del informe: una exención que ya venció no aparta nada, aunque siga en el registro.

Una remediación automática actúa sin pedir permiso, y por eso solo es segura donde el cambio no puede romper un servicio. Antes de activarla, cada recurso que alcanzaría se contrasta con quién lo usa: lo que sirve a producción pide aprobación humana o una excepción, no una corrección a ciegas.