Leer un informe de permisos no usados

El análisis de acceso no usado genera hallazgos de varios tipos: roles sin uso, llaves de acceso de usuarios sin uso, contraseñas sin uso y, en los principales activos, servicios y acciones concedidos y nunca utilizados. Cada uno depende de una ventana de observación: si el informe mira 90 días, un permiso que se usa una vez al año aparece como «no usado».

Un hallazgo es, por tanto, una pregunta, no una orden: «¿esto sigue haciendo falta?». Antes de retirar algo se pregunta a quien lo administra y se mira si es un uso de baja frecuencia.

ls no-usados
cat no-usados/informe-acceso-no-usado.csv

Las organizaciones llevan una lista de excepciones conocidas: accesos que no se usan en la ventana por una razón de negocio, como un cierre contable anual. Esa lista se lee antes de ordenar el informe: un rol puede ser el primero en días sin uso y, aun así, no ser el que se retira.

Revisa el informe y la lista de excepciones, y busca el rol más antiguo en no uso que no esté exceptuado.

cat no-usados/excepciones-conocidas.txt
grep rol-sin-uso no-usados/informe-acceso-no-usado.csv

Las llaves de acceso son credenciales de larga duración, y una llave que nadie usa es el hallazgo más fácil de justificar: el riesgo es real y el costo de desactivarla es bajo. El informe identifica cada tipo en la primera columna. Cuenta solo las llaves; los roles y las contraseñas son otros hallazgos.

Un rol activo puede tener muchos permisos que no usa. El informe de servicios de un rol compara cada servicio concedido con el último acceso. Un servicio sin acceso o con último acceso fuera de la ventana de 90 días del corte es candidato a retirarse del rol. Para decidir se necesita la fecha de corte, que está en el encabezado.

cat no-usados/servicios-de-rol-analisis-datos.csv

Retirar permisos de golpe puede interrumpir una tarea que nadie sabía que existía. El camino prudente es gradual: primero se documenta el hallazgo y se consulta, después se retira el permiso en un entorno de prueba o se programa para una ventana con aviso, y por último se confirma que nada falló. Si algo falla, la política anterior se restituye, por eso se guarda la versión previa.

Quien revisa entrega la lista priorizada; el dueño del rol decide el momento.