Atributos de usuario, herramienta y contexto

Un agente no actúa por su cuenta: actúa en nombre de alguien. La pregunta que tiene que responder la política es si esa persona puede hacer esa acción sobre ese recurso, y además si el agente tiene permitido hacerla por ella. Si la solicitud llega con la identidad del agente como principal, la política decide sobre lo que puede el agente, que suele ser mucho más que lo que puede cualquier socio, y la persona desaparece de la decisión. Es el diputado confundido del módulo 4, ahora dentro de la política.

Por eso el diseño habitual pone a la persona como principal y deja la identidad del agente en el contexto, donde una regla puede restringirla: el permiso efectivo es la intersección de los dos, nunca la suma.

En Cedar, las entidades forman jerarquías: un principal puede ser miembro de grupos (sus parents en el archivo de entidades), y principal in Grupo::"x" se cumple para cualquier miembro directo o heredado. Es cómodo: se da un permiso al grupo y lo heredan todos. También es la forma más silenciosa de ampliar permisos, porque basta con agregar una identidad a un grupo, sin tocar ninguna política.

Busca a qué grupo agregaron la identidad del agente y qué política del piloto le da ese grupo.

Los atributos de una decisión de agente vienen de tres lados: del usuario (identidad, rol, sucursal, segundo factor reciente), de la herramienta y el recurso (efecto, titular, sucursal) y del contexto de la llamada (canal, monto, destino, de dónde vino la instrucción). Lo que importa no es solo qué atributo se compara, sino quién lo pone. Un atributo que llega de una fuente de confianza (el proveedor de identidad, el núcleo) sostiene una decisión; uno que sale de la respuesta del modelo es una afirmación del modelo, y el modelo puede estar equivocado o influido por lo que leyó.

Los argumentos de la llamada son un caso aparte: los propone el modelo, pero la pasarela ejecuta exactamente esos, así que la decisión y la acción hablan de lo mismo. Lo peligroso es el atributo que describe algo que la política debería comprobar por su cuenta.

El registro de la pasarela dice qué principal se envió en cada llamada. Cuenta las que se decidieron con la identidad del agente en lugar de la de una persona.

Fíjate en la llamada de las 16:05: la socia S-29952 no pudo programar su pago a las 14:20 y, horas después, la misma acción sobre su cuenta pasó con otra identidad.