Cuentas, suscripciones y estructura de la organización

Los grandes proveedores de nube organizan lo que contratas en una jerarquía: una organización arriba, agrupaciones intermedias (carpetas, unidades o grupos de administración, según el proveedor) y, abajo, las cuentas, suscripciones o proyectos donde viven los recursos. Esa jerarquía no es un adorno: las restricciones se aplican a una agrupación y las heredan todas las cuentas que contiene. Una cuenta colocada en la agrupación equivocada recibe restricciones que no le corresponden, o deja de recibir las que sí.

Para un auditor, la exportación de la estructura es el primer papel que se pide: dice qué hay que auditar y a quién preguntarle.

Una cuenta sin dueño nombrado es una cuenta que nadie vigila: nadie aprueba sus gastos, nadie revisa sus accesos y nadie contesta si algo raro ocurre en ella. La política de Valle Claro lo dice en su primera regla.

Abre politica_de_estructura y cuentas. En la exportación, el guion «—» significa vacío.

La carpeta de producción es donde se aplican las restricciones más duras: pocas regiones, registro obligatorio, sin acceso público sin aprobación. Una cuenta cuyo entorno es de producción pero cuya carpeta es otra funciona sin esas restricciones, aunque en los papeles diga lo contrario. La forma de descubrirlo es comparar dos columnas entre sí.

Abre carpetas_y_restricciones para ver qué hereda cada carpeta y compara entorno con carpeta en cuentas.

Las cuentas que nadie usa son un riesgo silencioso: siguen existiendo, pueden tener credenciales vivas y nadie las mira. La política fija 90 días sin acceso, contados hacia atrás desde el corte, y separa las suspendidas, que ya están en trámite de cierre. Es una cuenta: restas 90 días al 30 de junio de 2027 y miras qué cuentas activas tienen un último acceso anterior a esa fecha.

Encontrar una cuenta sin dueño no autoriza a borrarla: puede guardar datos que alguien necesita y que nadie recuerda. La cuarta regla de la política lo anticipa: ninguna cuenta se cierra sin el acta de su dueño. Y si no hay dueño, lo primero que hay que conseguir es un dueño.