Excepciones con dueño y con fecha

Una excepción es una decisión de aceptar un riesgo por un tiempo, y como toda decisión de ese tipo necesita cuatro cosas: un dueño que la aprueba, un motivo que pueda leerse después, un alcance lo más estrecho posible y una fecha de vencimiento. Sin fecha, la excepción temporal se vuelve la norma; sin dueño, nadie responde si sale mal; con un alcance amplio, deja de ser una excepción y pasa a ser un agujero en la política.

La revisión periódica es lo que mantiene el sistema honesto: cada excepción se revisa contra su fecha y, si ya venció, se cierra o se renueva con una nueva aprobación.

En Azure Policy una exención lleva una fecha de expiración opcional. Al llegar esa fecha, la exención no se borra: se conserva como registro, pero deja de aplicarse, y el recurso vuelve a evaluarse con la política. Lo que ocurre entonces es que el recurso reaparece como no conforme, a veces con un deny ya activo, y alguien se pregunta por qué falló algo que ayer funcionaba. Por eso las fechas se vigilan antes del vencimiento, no después.

Abre el registro de excepciones de Brasero. La revisión se hace en la fecha de la tabla revision. Compara con las fechas de las exenciones de Azure.

En las políticas de control de servicio de AWS una excepción suele escribirse como una condición que deja fuera a un rol concreto, identificado por su nombre completo. Es estrecha: una política, un rol, una cuenta. Cuando en lugar del nombre se escribe un patrón con comodín que cubre todos los roles de la cuenta, la excepción deja de ser una excepción: la política queda anulada para esa cuenta entera.

Lee la tabla de excepciones de AWS de Brasero y fíjate en a quién deja fuera cada una, en el motivo y en quién la aprobó.

Azure Policy distingue dos categorías de exención. Waiver significa que el incumplimiento se acepta temporalmente: la política sigue siendo válida para ese recurso, que simplemente no se evalúa por ahora. Mitigated significa que la intención de la política ya se cumple por otro medio, por lo que no hay riesgo que aceptar. En los informes, las dos aparecen como exentas, y por eso conviene separarlas: la primera es una deuda con plazo y la segunda, una decisión de diseño que debe quedar justificada.

Abre las exenciones de Azure de Brasero y lee la razón de cada una.

Una excepción vigente se vigila contando los días que le quedan. Con una fecha de revisión y una de vencimiento, la cuenta es una resta que hay que hacer con cuidado con los meses, porque no todos tienen los mismos días.

La excepción de AWS que permite a un rol de analítica trabajar en una región no autorizada está vigente el día de la revisión.