Federación de Hospitales Afiliados

Una red regional de hospitales afiliados compartía médicos, residentes y especialistas que rotaban entre instalaciones, pero cada hospital ejecutaba su propio directorio y era legalmente una entidad separada. Un cardiólogo que cubría tres sedes tenía tres cuentas, tres procesos de incorporación y tres lugares donde podían olvidarlo cuando cambiaban sus privilegios. La acreditación y el acceso vivían en silos que no se comunicaban.

La red necesitaba una identidad por clínico que funcionara en cualquier sede afiliada, sin que ningún hospital cediera la propiedad de sus propios usuarios ni de su propio límite de auditoría.

El desafío

Afiliación no es fusión. Cada hospital insistía en seguir siendo autoritativo sobre su propio directorio, sus propios registros y su propia auditoría; los reguladores los trataban como entidades cubiertas distintas. Sin embargo, un clínico rotativo no debería recrearse desde cero en cada sede, y el acceso otorgado en un hospital no debe filtrarse en silencio a otro. La red quería federación con límites estrictos — identidad compartida, tenancy aislada.

Necesitaban un plano de control donde una identidad de clínico pudiera reconocerse entre instalaciones mientras los datos y la política de cada instalación permanecían sellados.

Qué desplegó Veripass

Veripass federó los hospitales afiliados como tenants separados bajo una sola plataforma. Cada hospital seguía siendo un límite de primera clase: sus miembros, políticas, acceso a registros e historial de auditoría permanecían aislados y nunca cruzaban a otra instalación. Un clínico rotativo tenía una sola identidad federada que cada tenant podía reconocer y a la que otorgar acceso local, en lugar de una cuenta nueva por sede.

Cada hospital mantenía su directorio autoritativo, federando vía OIDC, con SCIM sincronizando el ciclo de vida de cuentas desde la fuente de verdad. Cuando se otorgaban privilegios a un clínico en una instalación, ese otorgamiento se acotaba a ese tenant mediante claims, capabilities, roles y perfiles de acceso; revocarlo en otra parte dejaba las demás intactas. Cada acceso se escribía en el registro de auditoría inmutable de ese tenant.

• Federación multi-tenant que aísla cada hospital afiliado
• Una identidad de clínico federada reconocida entre instalaciones
• Federación OIDC al directorio autoritativo de cada hospital
• Aprovisionamiento y baja por SCIM desde los directorios de origen
• RBAC desde claims, capabilities, roles y perfiles de acceso acotados por tenant
• Política sensible al contexto evaluada dentro del límite de cada instalación
• Trazas de auditoría inmutables por tenant que preservan el límite de cada entidad

Cuando un clínico rotativo pasaba de un hospital a otro, se autenticaba contra su directorio de origen y recibía una sesión acotada estrictamente a la instalación en la que entraba — los privilegios de otra sede nunca se filtraban, satisfaciendo el estatus de cada hospital como entidad cubierta separada.

Resultado

Un clínico que cubría tres hospitales colapsó tres cuentas y tres incorporaciones en una sola identidad federada, otorgada localmente dondequiera que tuviera privilegios. La acreditación entre sedes que implicaba recrear una cuenta se volvió un otorgamiento acotado contra una identidad existente, y revocar privilegios en una instalación ya no ponía en riesgo a las demás.

Cada hospital conservó la propiedad total de su directorio, sus registros y su límite de auditoría, mientras la red finalmente tuvo una respuesta coherente sobre qué clínico tenía qué acceso, en qué instalación — federación sin que nadie cediera el control.