Identidades y políticas de permisos, en lectura

Una política de permisos dice tres cosas: el efecto (permitir o denegar), las acciones (qué se puede hacer) y los recursos (sobre qué). El asterisco significa «todo». Leer una política es leer esas tres columnas juntas: «todas las acciones sobre unos recursos» y «una acción sobre todos los recursos» son cosas muy distintas, y solo «todo sobre todo» es un permiso total.

El principio que se audita es el de mínimo privilegio: cada identidad tiene lo que su trabajo necesita y nada más.

La política de Valle Claro prohíbe el permiso total, salvo para dos cuentas de emergencia. En la exportación, una sola política concede todas las acciones sobre todos los recursos. Hay otras con un asterisco, pero un asterisco en una columna no basta: hay que mirar las dos.

Abre politicas.

Una política peligrosa solo es un hallazgo cuando está asignada. Cruza asignaciones con usuarios. Entre quienes tienen el permiso total, dos son las cuentas de emergencia, que la política exceptúa. El hallazgo es la persona que lo tiene y además incumple otra regla de la política: no usa segundo factor (MFA).

Las claves de acceso programático (las que usan los programas, no las personas) deben rotarse. La política dice cada 180 días: al corte del 30 de junio de 2027, una clave creada antes del 1 de enero de 2027 ya pasó ese límite. Cuenta las claves de la tabla usuarios que están en ese caso; el guion significa que la identidad no tiene clave.

Dos identidades tienen el permiso total y la política las exceptúa. No es un descuido: las cuentas de emergencia existen para el día en que falla todo lo demás, y por eso tienen privilegios altos. Lo que la política exige a cambio es una alerta de uso que avise cuando alguien las emplee.