Regras como dados

O COADF P-8, tal como publicado: as regras contra as quais uma decisão é medida são dados, o motor que as avalia não muda quando uma regra muda, e um registro de decisão fica preso à versão do conjunto de regras que o produziu, o que estende o rastro do P-4 até a procedência das regras. O próprio COADF nomeia o estado da técnica: conjuntos de regras recarregáveis, com registros de decisão ligados à sua versão, já existem, e o Open Policy Agent é o exemplo evidente.

O COADF reserva parte do P-8, e diz isso em sua página de princípios. Nada nesta página descreve essa parte. Os exemplos usam um assunto deliberadamente genérico: quais funcionalidades um ambiente de deploy pode habilitar.

As regras mudam com mais frequência que o código, e por razões diferentes: a orientação de um regulador, um contrato, um mercado novo. Quando uma regra vive no código, cada mudança é uma liberação, vários serviços se afastam uns dos outros, e ninguém consegue dizer qual versão de uma regra produziu uma decisão tomada no trimestre passado.

O último problema é o caro. Uma decisão que não pode ser reconstruída não pode ser explicada, e uma decisão que não pode ser explicada não pode ser defendida.

A forma é pequena: a aplicação pergunta por meio de uma interface que é dela, a interface consulta material de políticas versionado, e a decisão que volta carrega a revisão desse material.

• Uma interface de políticas que pertence à aplicação. A aplicação faz uma pergunta nos seus próprios termos, e o motor fica atrás de um adaptador.
• Material de políticas versionado. Regras e seus dados são artefatos com um identificador por revisão, com deploy independente da aplicação.
• A revisão em cada decisão. O registro de decisão carrega a resposta, a revisão e o suficiente da entrada para reproduzi-la.
• Revisões antigas mantidas recuperáveis. Uma reprodução precisa do material como ele era, não como ele é.
• Avaliação reproduzível. Uma política que busca dados ou lê o relógio enquanto avalia não pode ser reproduzida só a partir da sua entrada e da sua revisão. Esses fatos devem entrar como entrada, e ser registrados.
• O motor também versionado. Uma atualização do motor pode mudar o significado: o OPA 1.0 tornou obrigatórias as palavras-chave if e contains, por exemplo. A versão do motor deve ser registrada onde quer que a reprodução importe.
• Falha controlada. Uma revisão desconhecida, uma revisão ausente, uma resposta malformada ou um motor inalcançável produz um desfecho que o dono da regra escolheu de antemão, nunca um padrão não registrado. Não existe uma resposta certa universal: recusar a ação é o certo para uma regra de acesso a funcionalidades como a do exemplo do perfil Python; para outra decisão, quem é dono dela define o que significa falha, e registra a escolha.

Opções de tecnologia

• Open Policy Agent. Um motor de políticas de uso geral que desacopla as decisões de política da sua imposição, com políticas escritas em Rego. Um bundle pode carregar um manifesto com uma revisão, e os logs de decisão do OPA registram a revisão do bundle usada em cada decisão. Sua API REST devolve um decision_id quando o log de decisões está habilitado.
• Tabelas de regras que pertencem à aplicação. Linhas com uma revisão e um período de vigência, avaliadas por código que não muda quando as linhas mudam.
• Tabelas de decisão e DMN, onde quem é dono das regras são analistas e não desenvolvedores.
• Outras linguagens e motores de políticas. O OPA é um exemplo aqui. O COADF não o exige.

• Regras no código, com a revisão do build registrada em cada decisão. Viável para um sistema pequeno. Cada mudança de regra passa então a ser uma liberação, e o motor muda sempre que uma regra muda, o que o P-8 exclui.
• Serviços de feature flags. Parecidos com políticas, e muitas vezes sem procedência de decisão: qual configuração de flags respondeu a uma dada requisição frequentemente não é registrado.
• Um serviço de decisão de outra equipe, consumido pela mesma interface, com a revisão na resposta.

• O padrão dá procedência, não correção. Uma regra errada bem versionada continua errada.
• Ele não cobre as partes do P-8 que o COADF não publica, nem como uma decisão de política encontra qualquer outro controle.
• O Open Policy Agent é um motor de exemplo. Nada aqui o torna um requisito.