Permisos de más en cuentas de servicio

El mínimo privilegio dice que una identidad debe tener solo los permisos que su trabajo necesita. Con las cuentas de servicio es más fácil de cumplir que con personas, porque su trabajo es fijo y repetitivo: lo que hace hoy es casi lo que hará siempre. El método es comparar lo concedido con lo usado en un periodo razonable, aquí 90 días, y proponer retirar lo que no se usa, probando antes que nada se rompa.

En la tabla permisos, la columna ultimo_uso dice «sin uso en 90 días» cuando el registro no muestra ninguna actividad con ese permiso. Es una pista, no una prueba: un permiso para una tarea anual puede no verse en 90 días, y por eso la propuesta de retiro se confirma con el dueño. Aun así, un permiso sin uso en una cuenta casi siempre es superficie de más.

La pertenencia a grupos pesa más que cada permiso suelto: un grupo de administración del dominio abre prácticamente todo. Una cuenta de servicio rara vez necesita estar en uno. Mira la tabla grupos y busca el que el nombre delata.

Las claves de API suelen nacer con el rol más completo del proveedor, porque es el que sirve en la primera prueba. Entre los permisos de la clave de mapas hay uno que permite eliminar datos y que no se ha usado en 90 días. Es el primero que conviene retirar, porque su costo en caso de fuga es el más alto.

Una cuenta de servicio debería iniciar sesión solo como servicio, desde el equipo donde corre el proceso. Un inicio interactivo, el de alguien sentado ante un equipo, quiere decir que una persona la está usando como cuenta propia. Eso borra el rastro de quién hizo qué. Consulta la tabla inicios y busca el que no es de servicio.