Bloqueos de recursos: CanNotDelete vs. ReadOnly, herencia y quién puede quitarlos

Los bloqueos de recursos protegen los recursos importantes contra cambios accidentales, incluso por parte de personas con permisos completos. El control de acceso basado en roles (RBAC) podría permitir a un Owner eliminar una base de datos de producción, pero un bloqueo detiene la eliminación hasta que alguien quite deliberadamente el bloqueo primero. Los bloqueos son un seguro, no un sistema de control de acceso: no deciden quién puede actuar, sino que agregan un paso adicional deliberado antes de las operaciones peligrosas. Ese paso adicional es justamente lo que impide que un comando mal escrito o un script de limpieza demasiado entusiasta destruya producción. Los bloqueos también se aplican a la automatización, así que las canalizaciones y los scripts que se ejecutan como entidades de servicio se detienen igual que las personas.