Despliegue y cambios controlados

Una política se despliega como cualquier software: revisión por otras personas, pruebas en el ci, un paquete versionado y firmado, y publicación gradual. Al paquete de OPA se le puede exigir firma, y cada instancia rechaza el que no la trae o no verifica. Un cambio de política tiene además un riesgo propio: un cambio pequeño en el texto puede cambiar muchas decisiones, y las pruebas solo cubren las entradas que alguien pensó.

Por eso los cambios que amplían permisos se evalúan antes en sombra: una instancia aparte recibe el tráfico real, decide con la revisión candidata y registra sus respuestas sin aplicarlas. La comparación contra producción muestra, con solicitudes reales, qué se abriría y qué se cerraría.

El historial de revisiones dice, para cada cambio, quién lo escribió, quién lo revisó, cómo terminaron sus pruebas y cómo llegó a producción. Contrástalo con las reglas de cambio de Urunday: busca el que está activo en producción saltándose varias a la vez.

Si varias instancias responden detrás de un balanceador y no tienen la misma revisión activa, la misma solicitud puede recibir respuestas distintas según a cuál llegue. Eso rompe la reproducibilidad que buscabas en la sala anterior. A veces, además, la instancia diferente es la que se está portando bien.

La comparación en sombra se lee contando cambios por dirección. Los que pasan de negar a permitir son los que amplían permisos: cada uno es una solicitud real que hoy se rechaza y mañana se ejecutaría. Son los que riesgo tiene que revisar uno por uno antes de publicar.

Plataforma propone copiar la configuración de una instancia sana a la que falla, para que todas activen la revisión vigente. Con las reglas, el historial y el estado delante, decide.