Dos directorios y sus privilegios

Una cuenta privilegiada de una persona sin segundo factor es la entrada más barata para quien quiera llegar lejos. Al unir dos empresas se suman las dos listas, y las debilidades de una pasan a ser las de la otra. Cuenta las dos listas a la vez, y solo las cuentas de personas: las de servicio no usan segundo factor.

Una cuenta de servicio sin responsable es una cuenta que nadie va a revisar, rotar ni apagar. Si además tiene el rol más alto de su directorio, la hoja de ruta tiene que nombrarla.

Hay formas de unir dos directorios que parecen rápidas y que heredan todo el desorden de los dos. La forma prudente da acceso a lo que se comparte, condiciona el acceso de los privilegiados y deja la fusión para cuando los privilegios estén limpios.

Entre los dos directorios ya hay confianzas. Cada una se mide por tres cosas: hacia dónde fluye, qué alcance tiene y cuándo caduca. Una que fluye en las dos direcciones, alcanza todo el directorio y no caduca convierte los dos directorios en uno solo, sin haberlo decidido.

El mismo empleado puede tener una cuenta en cada directorio. Eso es normal; lo que no lo es que sea administrador en los dos a la vez, porque entonces una sola cuenta comprometida abre las dos empresas.