Recomendaciones de permisos excesivos

Una recomendación de rol compara lo concedido con lo usado en una ventana: si el informe mira 90 días, un permiso que se usa una vez al año aparece como «sin uso». Propone entonces un rol más pequeño, o el retiro del rol. No distingue entre un permiso que sobra y uno que se usa poco, y no conoce el negocio.

Por eso la recomendación es una hipótesis a validar: «¿esto sigue haciendo falta?». Se pregunta al dueño del acceso, se mira si es de baja frecuencia y se prueba el cambio antes de aplicarlo. Las cifras de permisos concedidos y usados dan idea de la magnitud, no de la urgencia.

ls recomendaciones
cat recomendaciones/recomendaciones-de-rol.csv

Las organizaciones llevan una lista de excepciones conocidas: accesos que no se usan en la ventana por una razón de negocio, aprobados por quien responde por ellos. Se lee antes de decidir sobre las recomendaciones pendientes: la que está en la lista no se aplica, aunque diga «sin uso» y aunque sea la que más permisos sobrantes muestra.

Cruza las recomendaciones pendientes con la lista de excepciones.

cat recomendaciones/excepciones-conocidas.txt
grep pendiente recomendaciones/recomendaciones-de-rol.csv

La reducción más productiva es la que sale de los roles básicos, porque ahí la distancia entre lo concedido y lo usado es enorme. Contar las recomendaciones pendientes que parten de Editor da el tamaño del trabajo inmediato, sin mezclarlas con las que ya se aplicaron o se descartaron.

Aplicar una recomendación puede romper algo que nadie sabía que existía. El historial de aplicación anota qué se aplicó, cuándo y si se mantuvo. Una reversión no es un fracaso: es la prueba de que el cambio era reversible y de que faltaba un permiso que el análisis no vio. Se documenta el motivo para que la próxima recomendación de esa cuenta se mire con el dato nuevo.

cat recomendaciones/historial-de-aplicacion.csv

El camino prudente es gradual y reversible. Se documenta el hallazgo y se consulta al dueño; se simula el cambio con las herramientas de la nube que muestran qué accesos se perderían; se aplica en una ventana con aviso, empezando por lo menos crítico; se vigila que nada falle; y se conserva el vínculo anterior para restituirlo si hace falta. Quien revisa entrega la lista priorizada, y el dueño del acceso decide el momento.