Documentation Index
Fetch the complete documentation index at: /llms.txt
Use this file to discover all available pages before exploring further.
Documentación interna. Borradores en revisión — nada acá es un compromiso público, y la sección Legal no ha sido revisada por un abogado.
Qué rol tiene quién. Aplica igual a personas y a máquinas: una API key lleva roles como los lleva un usuario, y por eso se autorizan de forma idéntica.
revoked_at, nunca borrando la fila. Quién tuvo qué acceso y cuándo es
exactamente el dato que pide una auditoría.
El subject_type es lo que hace realidad DEC-D5: una API key y un usuario con el mismo rol se
autorizan idénticamente, y eso es criterio de aceptación de FS-IDN-0002.
| Nombre | Definición | Por qué existe |
|---|---|---|
uq_role_assignment_active | UNIQUE (tenant_id, subject_type, subject_id, role_id) WHERE revoked_at IS NULL | Índice parcial: un sujeto tiene un rol una sola vez a la vez, y puede volver a tenerlo después de revocarlo |
idx_role_assignment_subject | (tenant_id, subject_type, subject_id) WHERE revoked_at IS NULL | Resolver los roles vigentes de un sujeto en cada request |
ck_role_assignment_subject_type | CHECK (subject_type IN ('membership','api_key','oauth_client')) | Un sujeto de tipo desconocido no se puede resolver |
tenant_id. No particionada; se cachea con el sujeto.
| Fecha | Cambio | Por qué | Decidido en | Autor |
|---|---|---|---|---|
| 2026-08-17 | Tabla creada, con subject_type polimórfico | Personas y máquinas deben autorizarse por el mismo camino, o terminan divergiendo | FS-IDN-0002 · DEC-D5 | daniel + claude-opus-5 |
| 2026-08-17 | La revocación pasa a ser revoked_at en vez de borrar la fila | Una auditoría pregunta qué podía hacer alguien en marzo, y una fila borrada no responde | FS-IDN-0002 | daniel + claude-opus-5 |
| 2026-08-18 | Renombrada de identity.role_assignments a identity.role_assignment | Nombre en singular | ADR-024 | daniel + claude-opus-5 |