Roles activos, elegibles y permanentes

Los servicios de este tipo, como Microsoft Entra Privileged Identity Management en el mundo real, separan dos tipos de asignación. Una asignación activa no exige nada: la persona tiene los privilegios del rol desde que se los dan. Una asignación elegible sí exige una acción antes de usar el rol; esa acción se llama activar y puede incluir un segundo factor, una justificación o la aprobación de alguien.

Los privilegios que da el rol son los mismos en los dos casos. Lo que cambia es el tiempo durante el cual una cuenta comprometida los tiene a su disposición: con el rol activo, siempre; con el elegible, solo mientras dure una activación.

Las reglas de la agencia dicen que los roles de administración se asignan como elegibles y que solo las dos cuentas de emergencia, las que llevan el prefijo emerg-, pueden tener un rol activo y permanente. Abre asignaciones, filtra mentalmente por tipo activa y vigencia permanente, y descarta las de emergencia.

Fíjate en el rol administrador de roles privilegiados: quien lo tiene puede asignar roles a otros, así que un rol activo y permanente ahí es peor que uno cualquiera.

El rol de administrador global es el de mayor privilegio de la organización. Cuenta las asignaciones suyas que son activas y permanentes, sin contar las dos cuentas de emergencia, que sí pueden tenerlas. El resultado es cuántas cuentas de personas o de servicio tienen hoy esa llave siempre puesta.

Una asignación puede ser permanente o tener fecha de inicio y de fin. La fecha de fin vale para los dos tipos: una asignación elegible con fecha de fin deja de poder activarse al llegar la fecha, y una activa deja de estar puesta. Es una forma de que el privilegio caduque solo, sin que alguien tenga que acordarse de retirarlo.

De todas las asignaciones activas, solo una tiene fecha de fin. No es la de emergencia ni la de un administrador global: es una cuenta que tiene un rol puesto hasta un día concreto, quizá por un proyecto. Eso es mejor que un permanente, pero sigue siendo un rol activo que las reglas de la agencia no permiten, porque debería ser elegible.