¿Cómo diseñas la autorización de un sistema donde los permisos varían por equipo, recurso y plan?

Separa autenticación de autorización y luego elige un modelo: el control de acceso basado en roles es simple y funciona cuando los permisos se agrupan en un puñado de roles, mientras que las reglas basadas en atributos encajan con condiciones sobre el recurso, como propietario, equipo o plan. Aplícalo en un único sitio, idealmente una capa de políticas que llamen los manejadores, mantén las comprobaciones cerca de los datos para que una consulta no pueda filtrar filas, y registra cada decisión para auditoría.

La autenticación responde a quién eres y ocurre una vez en el borde; la autorización responde a qué puedes hacer y ocurre en cada petición contra un recurso concreto. Como modelo empiezo con roles, porque son fáciles de razonar y de explicar a soporte, y luego añado condiciones por atributos donde los roles no llegan, cosas como este usuario está en el plan que incluye exportaciones, o este registro pertenece a su equipo. Más que el modelo importa que haya exactamente un sitio que decide. Quiero una función de política por tipo de recurso que llamen los manejadores, denegando por defecto, para que añadir un endpoint nuevo que olvide la comprobación sea una omisión visible y no un agujero silencioso. En cualquier cosa multiinquilino además empujo el filtro de inquilino a la capa de datos, para que una consulta no pueda físicamente devolver filas de otro inquilino, porque confiar en que todo desarrollador recuerde una cláusula where falla tarde o temprano. Y cada decisión se registra con sujeto, recurso y resultado, ya que la primera pregunta en cualquier incidente es quién podía ver qué.