Inventario inicial de repositorios y accesos

Una empresa comprada trae sistemas que funcionan sin que la compradora sepa cómo. Un repositorio sin dueño puede ser un resto olvidado o la pieza que despliega el producto principal. Cerrar un acceso, archivar un proyecto o borrar una cuenta en la primera semana, sin saber qué sostiene cada cosa, es la forma más rápida de cortar un servicio o de destruir la evidencia que luego se necesitará.

Por eso el primer entregable es un inventario: una lista de qué existe, quién responde por ello, a qué llega y cuándo se tocó por última vez. Se hace solo con lectura. Los cambios llegan después, cuando cada elemento tiene un nombre y un dueño.

La visibilidad de un repositorio decide quién puede leerlo. Uno público lo ve cualquiera en internet, incluido su historial completo. En una empresa heredada, la lista de repositorios públicos es lo primero que se mira, porque es lo único del inventario que ya está al alcance de personas ajenas.

Abre inventario/repos.csv y revisa la columna de visibilidad.

El rol de propietario de una organización puede cambiar permisos, invitar o expulsar personas y borrar repositorios. Si una cuenta con ese rol no usa autenticación multifactor, quien consiga su contraseña consigue todo eso. Contar cuántas hay da la dimensión del primer arreglo urgente.

Una cuenta de servicio con rol de propietario cuenta igual que una persona: lo que se mide es la exposición de la cuenta, no quién la usa. Abre inventario/accesos.csv y suma.

Las bajas son la fuente más común de accesos olvidados. RRHH sabe quién se fue y cuándo; la plataforma de repositorios sabe cuándo entró cada cuenta por última vez. Cruzar ambas listas muestra las cuentas que se usaron después de la baja: pueden ser un olvido de proceso o un acceso que nadie debería tener.

Abre inventario/bajas-rrhh.csv y compárala con inventario/accesos.csv. Una cuenta que no se usó después de su baja es un pendiente de limpieza, pero no una alerta.

En inventario/repos.csv, migraciones-antiguas no tiene equipo dueño, no se modifica desde febrero de 2024 y aun así figura como desplegado a producción. Dos lecturas son posibles: es un resto sin uso o es una pieza que alguien necesita y nadie mantiene. Sin saber cuál, cualquier acción irreversible es una apuesta.

La regla acordada para la primera semana (en notas/cierre-de-la-compra.txt) es no cambiar nada que no tenga dueño nombrado. La forma de cumplirla y seguir avanzando es nombrar uno provisional.