Privilegios y cuentas no humanas

Un privilegio elegible se activa cuando hace falta y se apaga solo; uno permanente está siempre puesto, y por eso su dueño es el objetivo más rentable para quien robe su sesión. La política solo admite permanentes en las cuentas de emergencia. Cruza la tabla asignaciones con la de cuentas de emergencia (cuentas_emergencia).

Las cuentas de servicio de la tabla cuentas_servicio deben tener un dueño con nombre y un secreto rotado cada 90 días. Toma la cuenta de servicio que no tiene dueño, cuenta los días calendario entre su última rotación y el cierre del 2026-09-30, y resta el plazo de 90: lo que se reporta es cuánto se pasó del plazo.

Las claves de API (tabla claves_api) se revisan por tres cosas: que tengan dueño, que su alcance no sea mayor del que necesitan y que se usen. Una clave de administración total que no se usa desde el año pasado es un permiso máximo sin ninguna razón de existir. Busca la que cumple las dos condiciones, administración total y ningún uso en lo que va de 2026.

Una cuenta de emergencia existe para el día en que nadie más pueda entrar, y por eso es permanente por diseño. Lo que se le exige es lo que la hace segura: alerta cuando se use, la clave en la bóveda, una prueba reciente y ningún uso fuera de una emergencia. Lee la fila de la tabla cuentas_emergencia y decide.

La cuenta de servicio sin dueño escribe en la base de nómina y trabajó ayer. No se puede apagar por impulso: la nómina depende de ella. Tampoco se puede certificar: nadie responde por ella ni por su secreto vencido. Vuelve a su fila en cuentas_servicio para ver qué permisos tiene y decide cómo sale en el informe.