Sala 4 · Nubes, secretos y servidores

En una identidad híbrida el directorio local manda y la sincronización lo copia a la nube. Cuando una baja se ejecuta en el directorio pero la copia no llega, la cuenta sigue viva donde más alcance tiene, y la hora de la última sincronización dice si la copia se atrasó.

Las diferencias entre los dos estados no son todas hallazgos. Una cuenta que está activa en el directorio local y deshabilitada en la nube es una decisión conservadora; el riesgo está en el sentido contrario.

Un rol de la nube lo asume una identidad que la política de confianza del propio rol autoriza. Esa política nombra quién puede asumirlo; si en vez de nombrar cuentas de la organización admite cualquier identidad, el rol deja de ser un permiso para el personal y pasa a ser una puerta abierta para quien lo encuentre.

Hay que leer, rol por rol, quién puede asumirlo y qué hace. Los propósitos no cambian la regla: la política aplica a todos igual.

La gestión de permisos efectivos compara lo concedido con lo usado. La diferencia es poder que existe y no se emplea: no ayuda a nadie a trabajar, pero cualquiera que tome la identidad lo hereda completo. Quedan fuera de la medida los permisos que sí se usaron.

La comparación sale de dos columnas por identidad, concedidos y usados en 90 días, y se hace restando. La identidad con el mayor excedente es la primera candidata a recortar; el tamaño de lo concedido por sí solo no decide.

Un gestor de secretos distingue los secretos estáticos, que alguien debe rotar a mano, de los dinámicos, que se emiten con una vida corta y expiran solos. Solo los estáticos pueden atrasarse: los dinámicos se renuevan por diseño.

El plazo de rotación lo da la política y la fecha de la última rotación consta en el gestor. El atraso es lo que pasó del plazo, contado hasta la fecha de la revisión.

Una regla de sudo sin contraseña sobre un comando concreto parece acotada, pero algunos programas permiten, desde dentro, abrir una línea de comandos con los mismos privilegios con que corren. La política lo dice: entre los comandos que se ejecutan sin contraseña no puede haber ninguno de esos.

Para decidir hay que leer, regla por regla, qué comando se concede y si pide contraseña. Un comando que reinicia un servicio concreto no abre una shell; un editor sí.