Análisis de acceso no usado

Los informes de último acceso indican, por rol o por permiso, cuándo se usó por última vez, dentro de una ventana de observación (por ejemplo, 90 días). Dentro de la ventana, «sin uso» es un dato fiable; fuera de ella, el dato no dice nada. Un trabajo trimestral o anual puede no aparecer en una ventana corta y, sin embargo, ser imprescindible.

Por eso «sin uso en la ventana» es un candidato a retirar, no una orden: hace falta confirmar con quien lo tiene a cargo antes de recortar.

El informe aws/ultimo-acceso-de-roles.txt trae, además del último uso, una nota que escribe el dueño del rol cuando se le pregunta. Un rol sin uso reciente con una nota que explica un uso periódico es justo el caso que un recorte automático rompería.

Busca entre los roles sin uso en la ventana el que tiene una nota sobre un trabajo que corre una vez al año.

La ventana del informe es de 90 días y su fecha es el 21 de octubre de 2026. Un rol está fuera de la ventana si su último uso es anterior al 23 de julio de 2026. Cuántos son, antes de hablar con sus dueños, es el tamaño de la conversación pendiente.

Cuenta en ultimo-acceso-de-roles.txt los roles cuyo último uso es anterior al 23 de julio de 2026.

El recomendador de roles de Google Cloud mira los permisos que cada principal usó en los últimos 90 días y sugiere un rol más estrecho que cubra ese uso, o quitar el rol si no se usó. Es una recomendación, no un cambio: alguien debe revisarla y aplicarla, preferiblemente de forma gradual.

Lee gcp/recomendaciones-de-roles.txt. Una de las cuentas de servicio tiene un rol básico que la recomendación propone cambiar por uno de un servicio concreto.

El recorte seguro es gradual y reversible: se confirma con el dueño, se retira primero lo que menos riesgo tiene de romper algo, se guarda la versión anterior para volver atrás y se vigilan los rechazos de acceso durante un periodo antes de dar el recorte por bueno. Lo que se conserva sin uso demostrado lleva dueño y fecha de revisión.