Con qué identidad corre la canalización

Hay dos maneras de dar a una canalización acceso a la nube. Una es guardar una llave en las variables del proyecto: existe siempre, la puede leer cualquiera con acceso a esas variables, se filtra en los registros y casi nadie la rota. La otra es la federación: la canalización presenta la identidad que su plataforma le emite para cada ejecución y la nube le entrega una credencial que caduca en minutos, limitada a un rol. En la segunda no hay nada que robar de una variable, pero la seguridad pasa a depender de la condición de confianza del rol: qué proyecto y qué rama pueden asumirlo.

Con la federación, el control se desplaza de «proteger la llave» a «acotar quién puede asumir el rol».

La confianza de un rol dice quién puede asumirlo. Para el rol que aplica cambios, lo prudente es admitir una sola rama, la principal, y solo después de la aprobación. Un comodín en la rama significa «cualquier rama del proyecto»: quien pueda crear una rama puede, en principio, ejecutar con el poder de aplicar. Compara las confianzas de los dos roles y la etapa de cada uno en el archivo de la canalización.

La etapa de plan corre en propuestas de muchas manos y, por eso, su rol debe ser de lectura: leer el estado y describir los recursos. Cualquier permiso de escritura en ese rol es un permiso que cualquiera con una rama puede ejercer sin aprobación alguna. Se revisa como se revisa una política: acción por acción, preguntando «¿para qué la necesita un plan?».

Al planificar, Terraform lee las fuentes de datos para saber cómo está el mundo. Una de ellas, la fuente de datos externa, funciona llamando a un programa y leyendo lo que devuelve. Eso significa que una propuesta puede hacer correr un programa dentro de la etapa de plan, con la identidad del rol de plan. El hallazgo de revisión no depende de lo que el programa haga —aquí es inofensivo y está a la vista—, sino de quién tiene permiso para llegar hasta ahí: una propuesta de un fork de alguien de fuera corre con las credenciales de la organización.

La regla de la revisión es sencilla: las propuestas de quien no es del equipo no corren etapas con credenciales sin que una persona del equipo las apruebe antes.

La canalización conserva una variable heredada con una llave guardada, solo para un trabajo de respaldo. No hay política que lo impida y la llave sigue activa. Una llave sin rotar mide su riesgo en días de exposición. La revisión es del día que se anota en el archivo de revisión.