Metadatos y herencia de permisos

Al ingerir un documento, el servicio copia su permiso al metadato del índice y a partir de ese momento el índice decide con esa copia. Si en la fuente alguien revoca un acceso, el índice no se entera hasta que se vuelve a sincronizar. Entre el cambio y la sincronización hay una ventana en la que el asistente sigue entregando el documento a quien ya no debería leerlo.

Hay tres formas de acortar esa ventana, y se combinan: sincronizar por evento (cada cambio de permiso en la fuente dispara su actualización), sincronizar completo con frecuencia y, para lo más sensible, comprobar el permiso contra la fuente en el momento de recuperar.

Detectar un permiso envejecido es un cruce de fechas: el cambio en la fuente tiene una fecha, y la última sincronización del documento en el índice tiene otra. Si el cambio es posterior a la sincronización, el índice conserva el permiso viejo.

Abre cambios-en-la-fuente.csv y manifiesto-del-indice.csv. Busca el documento cuyo cambio de permiso en la fuente es posterior a su última sincronización en el índice.

La gravedad de un permiso envejecido se mide por el tiempo que lleva así. El manifiesto declara su corte en la primera línea; el registro de cambios trae la fecha del cambio. La diferencia en días entre las dos es lo que lleva el documento visible para quien ya no debería leerlo, a la fecha del corte.

Calcula los días entre el cambio de permiso del documento desactualizado y el corte del manifiesto.

Un documento sin grupo en el índice es una pregunta que el diseño tiene que responder por escrito: ¿quién lo puede leer? Hay dos respuestas posibles. Una es negarlo por defecto: un documento sin permiso conocido no se recupera para nadie hasta que alguien lo etiquete. La otra es abrirlo por defecto, y entonces cualquier fallo de la ingesta, una carpeta que llegó sin permisos o un campo mal copiado, publica el documento para todos sin que nadie lo decida.

La política del servicio de ingesta lleva el valor que aplica cuando falta el grupo. Compáralo con la fila de un documento que tiene el campo vacío en el manifiesto.

Con lo que leíste, el servicio de Michay tiene tres defectos de diseño: abre por defecto lo que no tiene permiso, sincroniza solo cada 30 días y nunca comprueba contra la fuente al recuperar. Ninguno exige tocar el modelo. Los tres se corrigen en la ingesta y en el servicio de recuperación.

La respuesta de diseño reúne tres decisiones: negar por defecto lo que no tiene grupo, sincronizar por evento cuando cambia un permiso en la fuente, y comprobar el permiso en la fuente en el momento de recuperar al menos para los documentos más sensibles.