Credenciales efímeras y federación de canalizaciones

En la federación de canalizaciones, la plataforma de integración continua actúa como un proveedor de identidad: en cada ejecución emite un token OIDC firmado con claims que describen el trabajo (de qué repositorio viene, qué rama o entorno, qué evento lo lanzó). La nube tiene registrado a ese emisor y, para cada rol, una relación de confianza con condiciones. Si la firma es válida, el emisor es el esperado y los claims cumplen las condiciones, la nube entrega una credencial temporal para ese rol.

La seguridad de todo el esquema está en esas condiciones. La audiencia (aud) garantiza que el token fue pedido para esta nube y no para otro servicio. El sujeto (sub) dice qué repositorio y qué rama o entorno pidieron la credencial; es lo que impide que cualquier otro repositorio de la organización asuma el rol de producción. OWASP incluye en su lista de identidades no humanas, como riesgo propio, las canalizaciones que despliegan con claves estáticas y las federaciones que no validan bien los claims del token.

Una clave estática en los secretos de una canalización tiene todos los problemas de los secretos de vida larga y uno más: la puede leer cualquier paso de cualquier trabajo que corra en esa canalización, incluidos los que añade una dependencia comprometida. Con la federación, lo que se filtra es un token que vence en minutos y solo sirve para el rol de ese trabajo.

Abre el laboratorio y lee canalizaciones.txt.

El formato del sub lo define el emisor, y formato-del-token.txt lo explica para la plataforma de Olinguito: incluye la organización, el repositorio y la rama o el entorno protegido. Una condición que termina en un asterisco justo después de la organización acepta cualquier repositorio y cualquier rama de esa organización. Y el mismo archivo dice quién puede crear repositorios.

Lee relaciones-de-confianza.txt y fíjate en qué cuenta vive cada rol.

Un error en una relación de confianza no se queda en la teoría: el registro de la nube guarda, por cada sesión, el sub del token con que se asumió el rol. Leerlo dice si alguien ya aprovechó la condición abierta, aunque fuera sin mala intención, como una persona que prueba algo desde un repositorio personal.

Lee registro-de-sesiones.txt.

La credencial que entrega la nube tiene una sesión máxima que fija el rol. El rol con el comodín, además, permite sesiones de 12 horas para trabajos que en el registro duran entre 3 y 6 minutos. Una credencial efímera solo es efímera si su vida se parece a la del trabajo que la usa.