Trocar papel por política quando o cargo deixa de bastar

Trocar RBAC, o controle por papéis, por ABAC, o controle por atributos, na primeira regra de contexto custa um motor de política que ninguém pediu. Esperar demais custa a auditoria que já não responde quem acessa o quê.

Modelo de permissão é a resposta da empresa para quem pode o quê, e dois modelos comuns são os baseados em papéis e em atributos.

Eles podem ser combinados, e a escolha depende dos acessos que o produto precisa controlar antes de qualquer discussão teórica.

No RBAC, papéis agrupam permissões: administrador, financeiro, atendimento. A pessoa recebe um papel e herda tudo o que ele carrega, e a auditoria fica direta, porque dá para listar quem é administrador.

Já no ABAC, uma política avalia atributos no momento do pedido. A unidade em que a pessoa está escalada hoje, o horário e o segundo fator entram na conta, o que dá granularidade alta e auditoria indireta.

O sinal de virada é observável e chega antes da discussão teórica: é o momento em que o nome do papel precisa de um adjetivo de contexto para significar alguma coisa. Papel chamado medico-unidade-A-plantao-noturno já é ABAC escrito em nome de papel, com o custo da granularidade e sem as ferramentas que a sustentam.

Uma healthtech com 40 clínicas clientes e RBAC de quatro papéis sentiu isso quando uma cliente exigiu que o médico só abrisse prontuário da unidade em que está escalado, na janela do próprio plantão.

Multiplicar papéis compostos para cada unidade e turno resolve a demanda e explode em centenas de nomes; a auditoria perde a resposta a quem acessa o quê.

A saída defensável costuma ser híbrida: papel para o que a pessoa é, política para o que depende da situação. A mesma regra fica espelhada no banco, para sobreviver ao endereço que outro time criar.

Peça a lista completa de papéis do produto e leia os nomes em voz alta. Papel com hífen carregando unidade ou turno no nome é o aviso de que a auditoria vai parar de responder quem tem acesso a quê. Acima de quinze papéis num produto de porte médio, olhe os nomes com atenção.

Pergunte também quanto tempo leva responder quem acessa um dado hoje. Se a resposta exige simular a política ou ler código, a auditoria já ficou indireta, e o painel do provedor de login não é inventário completo de permissões.

A política de atributos roda em um motor separado do código do produto, que recebe a pergunta, quem, o que, sobre qual recurso, em que contexto, e devolve permitir ou negar.

O ganho é a regra num lugar só, versionada e testável; o custo é uma avaliação por pedido, com latência, e a mesma decisão costuma ficar espelhada em política de RLS no banco.

Antes de aprovar um papel novo, confira se o nome carrega contexto de unidade ou turno. Se carregar, leve a discussão de política de atributos para a reunião de arquitetura, com a regra espelhada no banco.