Auditoría de identidades de cargas

Una identidad de carga sin dueño no tiene a quién preguntar, y sin fecha de último uso no se sabe si sigue viva. El inventario mínimo de una auditoría incluye, por identidad: qué es, quién responde por ella, cuándo se creó, cuándo se usó por última vez y cuánto privilegio tiene. Con eso se pueden hacer las tres preguntas de siempre: si debe existir, si tiene más de lo que usa y si alguien la vigila.

La política de revisión exige que toda identidad tenga dueño. Una identidad sin dueño, con privilegio alto y todavía en uso es la combinación que más preocupa: nadie la mira y puede hacer mucho. Lee el inventario y encuéntrala.

ls auditoria
cat auditoria/politica-de-revision.txt
cat auditoria/inventario-de-identidades.csv

La política propone retirar identidades con más de 90 días sin uso a la fecha de la revisión. Calcula el límite con la fecha de la política y aplícalo a la columna de último uso. Una identidad que cumple exactamente 90 días no entra, y la decisión final de retirar es del dueño, con una prueba previa de desactivación.

cat auditoria/politica-de-revision.txt
cut -d';' -f1,5 auditoria/inventario-de-identidades.csv

El registro del orquestador muestra qué acción hizo cada identidad, sobre qué recurso y desde qué dirección. Una cuenta de servicio que crea un enlace de permisos de clúster y luego lee un secreto, desde fuera del rango de pods, es una secuencia que se documenta y se escala. No se concluye de quién es la mano: se anota el hecho y se pregunta al dueño, con autorización.

cat auditoria/registro-de-auditoria.log
grep clusterrolebindings auditoria/registro-de-auditoria.log

Un hallazgo útil dice qué se observó, en qué evidencia, contra qué regla y qué se propone, sin adjetivos ni acusaciones. El lector es el dueño de la plataforma, que debe poder repetir la lectura en cinco minutos y decidir.