Einmal war ich dort, um die Formalitäten für eine Lieferung abzuwickeln.
Der Zuständige von damals ist plötzlich ausgefallen.
Ein anderer Mann tritt an die Theke, überprüft die Unterlagen und unterschreibt zur Bestätigung, damit die Ware aus dem Lager freigegeben wird.
Alles läuft ganz normal ab.
Aber dann habe ich erst verstanden: Was die Firma interessiert, ist nicht, wer er ist.
Und zum Zeitpunkt der Unterschrift: Hat er tatsächlich die richtige Rolle vertreten, die diese Entscheidung treffen durfte?
Klingt ähnlich.
Aber in Wahrheit sind es zwei völlig verschiedene Fragen.
Wir denken oft, dass ein System nur wissen muss, wer gerade arbeitet.
Verifiziert.
Die richtige Person.
Das reicht.
Später habe ich verstanden, dass die Identität nur „die Person hinter dem System“ beantworten kann.
Es konnte noch nicht „unter welchem Namen diese Entscheidung getroffen wird“ beantworten.
Das lässt mich beim Lesen über @NewtonProtocol ziemlich viel nachdenken.
Das Interessante für mich liegt nicht darin, dass eine Policy nur eine Identität verifiziert.
Und eine Ausführung trägt nicht nur den Namen der ausübenden Person mit sich.
Es trägt außerdem die Rolle, den Umfang und die Berechtigung, für die diese Ausführung steht.
Das ist der Unterschied, über den man nachdenken sollte.
Dieselbe Person.
Aber wenn man für verschiedene Rollen eintritt, kann die Bedeutung derselben Ausführung sich komplett verändern.
Damals war das, was die Policy zu bewerten hatte, nicht mehr einfach „die richtige Person“.
Sondern ob diese Ausführung wirklich in genau der Rolle durchgeführt wird, die das System akzeptiert.
Selbstreflexion.
Wenn jede Entscheidung nur auf der Identität beruht, wird das System sehr leicht Unterschiede zwischen einer Person und der Rolle übersehen, die sie zum Zeitpunkt der Ausführung vertritt.
Aber wenn man nur auf die Rolle schaut und die Identität ausblendet, wird die persönliche Verantwortung ebenfalls unscharf.
Vielleicht waren diese beiden Dinge nie eine Alternative zueinander.
Was ich von @NewtonProtocol sehen will, ist nicht nur die Fähigkeit, eine Identität zu verifizieren.
Sondern wie die Policy versteht, in welcher Rolle die Ausführung durchgeführt wird—anstatt davon auszugehen, dass es schon reicht zu wissen, wer die ausführende Person ist, um eine Entscheidung treffen zu können.
Für mich muss eine vertrauenswürdige Authorization-Layer nicht nur wissen, wer die Ausführung anfordert.
Es muss auch verstehen, wofür diese Ausführung steht.
