Reducir sobrepermisos del administrador del IdP

Un catálogo de roles de administración existe para que no todo el mundo pueda hacer todo. Reiniciar un factor es un acto de mesa de ayuda; cambiar una política de inicio de sesión es un acto de seguridad; crear y asignar aplicaciones es un acto de integración. Dar un solo rol que haga todo ahorra tickets y concentra el riesgo: la misma cuenta puede aflojar la política y luego usar el acceso que aflojó.

La pregunta de diseño es: ¿qué hace esta persona de verdad y cuál es el rol más pequeño que lo cubre?

Un permiso que no se usa durante meses es un permiso que sobra. Si una cuenta tiene el rol más alto y la última vez que lo ejerció fue hace medio año, quitárselo no interrumpe nada: lo único que cambia es que, si esa cuenta se compromete, el atacante no hereda el poder. Las cuentas de emergencia tienen una lógica distinta —se guardan precisamente para no usarlas— y se miran aparte.

Abre asignaciones-de-admin.txt y mira la columna último uso del rol de las cuentas de persona con ROL-SUPER.

Pocos superadministradores, bien identificados, con el segundo factor más fuerte que ofrezca el producto y, además, una cuenta de emergencia guardada para cuando falla el acceso normal: esa es la forma habitual de lo sano. Las cuentas que el trabajo diario necesita deberían tener un rol más estrecho y activarse de forma temporal cuando haga falta más, si el producto lo permite.

Un administrador diario que a la vez es superadministrador permanente mezcla dos actividades que conviene tener en cuentas separadas.

Entre todas las cuentas, las de administración son las que más valen para quien quiera tomar una; es donde el segundo factor más fuerte se justifica primero. Una llave de seguridad resiste mejor el robo por engaño que un código o un mensaje de texto. Mide cuántas cuentas de personas con un rol de administración no la tienen.

En asignaciones-de-admin.txt cuenta las cuentas de tipo persona con cualquier rol cuyo factor no sea llave de seguridad. No cuentes las de emergencia ni las de servicio.

El método para reducir permisos es comparar lo que la cuenta hizo con lo que cada rol del catálogo permite, y elegir el más pequeño que lo cubra. acciones-90-dias.txt trae lo que cada cuenta hizo con su rol en 90 días y catalogo-de-roles.txt trae lo que cubre cada rol.

Mira lo que hizo dlopez, que tiene ROL-SUPER, y busca en el catálogo el rol más pequeño que cubra todo eso.