ما تحلّه الهوية، وما تتركه مفتوحًا
نضجت البنية التحتية لمنح الاعتمادات للوكلاء المستقلين بسرعة، واستقرّت البدائيات الأساسية إلى حد كبير. يتيح اتحاد هوية أحمال العمل لوكيل قيد التشغيل الحصول على اعتماد قصير الأجل دون سرّ طويل الأجل. إصدار الرموز وتدويرها آليان. ينتشر الإبطال في غضون ثوانٍ. يضيّق تقييد الجمهور ومطالبات النطاق ما يمكن تقديم الرمز إليه. هذه ضوابط حقيقية، وأي منصة وكلاء تتجاهلها ترتكب خطأً لا مبرر له.
لكن الرمز محدّد النطاق يجيب عن سؤال واحد: هل يجوز لهذا الأصل استدعاء هذه النقطة الطرفية. وهو لا يجيب عن السؤال المهم تشغيليًا: هل هذه السلسلة من النداءات متسقة مع المهمة التي طلبها المستخدم. قد يكون الرمز صالحًا تمامًا، ومحدّد النطاق بشكل صحيح، وغير منتهٍ وغير مُبطَل، بينما يفعل المسار الذي يشارك فيه شيئًا لم يأذن به المستخدم قط.
فجوة التركيب
تتراكم السلطة عبر المسار. هذه هي الخاصية التي تكسر أقل صلاحية على مستوى النقطة الطرفية. لنفترض أن وكيلًا يحمل رمزًا يسمح بقراءة سجل عميل ورمزًا يسمح بالكتابة إلى نظام تذاكر. كلاهما ضيّق. لا شيء في أي من الرمزين يحدّ عدد السجلات التي تُقرأ، أو ترتيبها، أو ما يُكتب بعد القراءات. الوكيل الذي يقرأ عشرة آلاف سجل نداءً واحدًا في كل مرة لا يتجاوز نطاقه في أي نداء منفرد. الحجم، واتجاه تدفق البيانات، وتركيب المصادر، كلها خارج ما يمكن لقواعد الاعتماد أن تقوله.
يوسّع التفويض الفجوة. المنسّق القادر على سكّ اعتمادات فرعية لوكلاء عاملين يمكنه، فعليًا، توسيع مداه: لا يحتاج إلى رمز أوسع، بل يحتاج إلى إصدار عدة رموز ضيّقة وتنسيقها. ينجح فحص النطاق عند كل نقطة طرفية. والسلطة الفعلية للسرب هي اتحاد كل ما سكّه، ولا شيء في مسار الإصدار يقيّم ذلك الاتحاد مقابل المهمة الأصلية.
هذا ليس عيبًا في أنظمة الهوية. إنه حدّ فئوي. الهوية تتعلق بمن يستدعي. والفجوة تتعلق بما تضيفه النداءات إلى بعضها.
القصد كوحدة السياسة
الضابط الذي يسدّ الفجوة هو جعل القصد، لا الهوية، وحدة السياسة. أعلن قصد المهمة إلى جانب الاعتماد، بصيغة يستطيع محرك سياسة تقييمها: ما طلبه المستخدم، وفئات البيانات المشمولة، والوجهات المشروعة، والشكل المتوقع للمسار. ثم قيّم كل نداء أداة مقترح مقابل ذلك القصد، لا مقابل نطاق المستدعي فحسب.
عمليًا، تتلقى نقطة قرار السياسة الموضوعة أمام استدعاء الأداة النداء المقترح مع المسار حتى الآن، وتعيد السماح أو الرفض أو طلب الموافقة. إعلان القصد كائن منظَّم، لا موجّه نصي، فيكون القرار قابلًا للتكرار والتدقيق. يُرفض النداء المسموح به منفردًا لكنه غير متسق مع القصد المعلن. قراءة سجل عميل واحد للإجابة عن سؤال دعم متسقة. أما قراءة الجدول كله فليست كذلك، رغم أن الرمز نفسه يأذن بكليهما.
يجب إعادة تأكيد القصد، لا توريثه إلى ما لا نهاية. المسار الذي يتغير شكله، لأن المستخدم أضاف متطلبًا، أو لأن وكيلًا فرعيًا وُلد، أو لأن الخطة نُقّحت، ينبغي أن يحمل تأكيد قصد جديدًا بنطاقه الخاص وانتهائه الخاص. توريث القصد الأصلي إلى الأبد هو كيف تتحول مهمة ضيّقة بهدوء إلى مهمة واسعة. المقايضة حقيقية: إعادة التأكيد تضيف احتكاكًا وزمن استجابة، ومحرك سياسة متشدد أكثر من اللازم سيحجب عملًا مشروعًا. الموقف الصادق هو أن السياسة على مستوى القصد تقايض بعض الإنتاجية بحدّ على الأثر الإجم
أولًا، نقطة قرار سياسة أمام استدعاء الأداة، مع المسار كسياق. هذا هو المكان الوحيد الذي يمكنه رؤية التركيب قبل اكتماله. يحتاج إلى القصد المعلن، وسجل النداءات، وطريقة لتصنيف فئات بيانات النداء المقترح ووجهته. ينبغي تسجيل القرار مع معرّف المسار حتى يمكن إعادة بناء الانحراف لاحقًا.
ثانيًا، ضوابط الخروج على حجم البيانات وفئة الوجهة، بمعزل عن هوية المستدعي. لا تهمّ سقوف الحجم وقوائم الوجهات المسموح بها بالهوية، وهذا بالضبط سبب بقائها عبر التفويض: الوكيل الفرعي الذي سُكّ قبل خمس دقائق يخضع للحدّ نفسه على الخروج الذي يخضع له المنسّق. هذا هو الضابط الذي يلتقط نمط القراءة-التجميع-التصدير حتى عندما كان كل نداء منفرد داخل السياسة.
ثالثًا، مفاتيح الإيقاف التي تُبطل مسارًا، لا مجرد اعتماد. إبطال رمز يوقف أصلًا واحدًا. إبطال مسار يوقف العمل، بما في ذلك الوكلاء الفرعيون الذين ورثوا منه وأي نداءات مصفوفة لم تُنفَّذ بعد. الاثنان ليسا بديلين. يمكن تدوير اعتماد ومواصلة المسار تحت اعتماد جديد؛ أما إبطال المسار فيجب أن يكون الشيء الذي يوقف العمل فعليًا.
ما ينبغي قياسه
الضوابط غير المقيسة تتآكل. أربعة أرقام تستحق التتبع، ولا يحتاج أي منها إلى اختراع خط أساس.
- النسبة المئوية لنداءات الأدوات المُقيَّمة بسياق المسار لا بالهوية وحدها. هذا مقياس تغطية، وينبغي أن يقترب من السطح كله لأي وكيل يمكنه لمس البيانات.
- عدد المسارات الموقوفة بسبب انحراف القصد، إلى جانب معدل الإيجابيات الكاذبة على ذلك الضابط. الضابط الذي يوقف عملًا مشروعًا سيعطّله من يشغّلونه، لذا معدل الإيجابيات الكاذبة ليس اختياريًا.
- الزمن من كشف الانحراف إلى الإبطال. الكشف دون إبطال في الوقت المناسب هو قياس عن بُعد، لا ضابط.
- حصة المسارات التي تعيد تأكيد القصد بعد تغيّر الشكل، وهو ما يخبرك ما إذا كان انضباط إعادة التأكيد صامدًا.
الخاتمة
المصادقة الأقوى عند الباب لا تُقيّد وكيلًا، لأن الباب ليس حيث تُمارَس السلطة. تُمارَس السلطة عبر سلسلة من نداءات الأدوات لا يعبّر أي اعتماد منفرد عن أثرها المجمّع. ينبغي تبنّي منصات الهوية والاحتفاظ بها؛ فهي ضرورية وغير كافية. الضابط الذي يطابق نمط الفشل هو السياسة على مستوى القصد، المُقيَّمة لكل مسار، مع حدود الخروج والإبطال المحدَّد النطاق بالمسار خلفها. تلك مشكلة هندسية أصعب من إصدار رمز محدّد النطاق، وهي التي تشير إليها الحوادث مرارًا.