Límites de permisos y cuentas de servicio

Un límite de permisos (permissions boundary) es una política que se asocia a un usuario o a un rol para fijar el máximo de permisos que sus políticas de identidad pueden llegar a darle. No concede nada por sí mismo: los permisos efectivos son la intersección entre lo que dice la política de identidad y lo que admite el límite.

Sirve para delegar con seguridad: un equipo puede crear roles para sus aplicaciones siempre que cada rol lleve el límite, de modo que ningún rol creado pueda superar el techo que fijó plataforma.

El rol que usa el CI de Barbasco tiene una política con ocho acciones y un límite que admite tres familias con comodín. Una acción de la política queda efectiva solo si el límite la cubre; un comodín cubre todas las acciones de su servicio.

Abre politica-rol-ci.json y limite-rol-ci.json y cuenta cuántas de las ocho acciones de la política cubre el límite.

Algunas acciones de la administración de identidades cambian lo que otros pueden hacer: crear políticas, adjuntarlas a un rol, pasar un rol a un servicio. En una política de aplicación son una señal de alerta porque amplían el alcance de la propia identidad o de otra. Un auditor no pregunta si se usan: pregunta por qué están ahí y si el límite las bloquea.

La política del rol del CI mezcla permisos de entrega de imágenes con alguno de esta clase. Localiza el que permite adjuntar políticas a roles; no está dentro del límite, así que hoy no surte efecto, pero sigue siendo un permiso escrito sin necesidad.

Una cuenta de servicio es la identidad de una aplicación o una máquina, no de una persona. Lo habitual es darle un rol del proyecto; lo correcto es darle uno estrecho. Con un rol básico como Editor la cuenta puede hacer casi todo en el proyecto, aunque la aplicación solo necesite escribir en un depósito.

En cuentas-de-servicio.txt aparecen cuatro cuentas con su rol, sus claves y quién puede suplantarlas (el permiso de crear tokens a su nombre).

En la misma tabla, la cuenta de conciliación tiene dos claves de usuario y una persona que puede suplantarla. Una clave descargada es un secreto de larga vida que puede copiarse. La suplantación (impersonation) entrega un token de corta vida a quien tenga el permiso, queda en el registro de auditoría con su identidad y se retira quitando el permiso.