Anatomía de un IdP, directorio, aplicaciones y políticas

Casi todo proveedor de identidad comercial se puede descomponer así. El directorio guarda las cuentas con sus atributos (estado, origen, factores inscritos) y los grupos en que se agrupan. El catálogo de aplicaciones guarda cada aplicación a la que se puede entrar, cómo se entra (un protocolo de federación, o un formulario con contraseña guardada) y a quién está asignada. Las políticas de inicio de sesión guardan las condiciones que se exigen al entrar: segundo factor, tipo de dispositivo, zona de red.

Ninguno de los tres cajones dice la historia completa por separado. El directorio no dice qué puede abrir una cuenta; el catálogo no dice quién la exige con más o menos fuerza. Una revisión de un proveedor de identidad siempre cruza al menos dos: cuentas con aplicaciones, o aplicaciones con políticas.

Cada aplicación apunta a una política de inicio de sesión. Cuando a una aplicación no se le asignó ninguna propia, el producto aplica una política predeterminada, y esa suele ser la más permisiva, porque está pensada para que nada quede sin regla, no para proteger. Una aplicación que cae en la predeterminada es una decisión que nadie tomó.

Abre glosario.txt para ver cómo llama la consola a esa política y aplicaciones.txt para ver qué aplicación depende de ella. Fíjate en la columna política.

El estado de una cuenta es una de las primeras cosas que se leen, y los productos no se ponen de acuerdo en los nombres ni en los efectos. Por eso la primera lectura de una consola nueva es su glosario: qué significa «suspendida» aquí, qué significa «desactivada» y qué se conserva en cada caso. Quien da por sentado que lo sabe, porque en otro producto significaba otra cosa, revisa mal.

Lee glosario.txt y decide qué diferencia hay entre los dos estados en esta consola.

Un directorio sano dice, por cada cuenta, con qué factores puede autenticarse. Una cuenta activa sin ningún factor inscrito solo puede entrar con la contraseña, y eso incluye las cuentas de servicio y las invitadas. No todas son un hallazgo con el mismo peso, pero todas son una lista que alguien debe poder explicar.

En usuarios.txt cuenta las cuentas con estado activa cuyo factor inscrito es ninguno. No cuentes las suspendidas ni las desactivadas.

Una política compartida por muchas aplicaciones es una palanca: cambiarla cambia todas a la vez, para bien o para mal. Saber cuál es la más compartida dice dónde un error de configuración tendría más alcance y dónde un endurecimiento rinde más.

Cruza la columna política de aplicaciones.txt y cuenta cuántas aplicaciones apunta cada identificador.