Script o migración para revalidar todas las identidades actuales contra reglas activas. Registrar en logs qué cambios se hacen (quién fue agregado a qué grupo y por qué).