Identidades administradas y sus permisos

Hay dos clases de identidad administrada. La asignada por el sistema se activa dentro de un recurso, nace y muere con él y no se puede poner en otro: si el recurso desaparece, la identidad desaparece. La asignada por el usuario es un recurso aparte, con su propio ciclo de vida, y se puede poner en varios recursos a la vez.

La segunda existe por una razón práctica buena: cuando las máquinas se recrean a menudo, los permisos se quedan puestos en la identidad y no hay que volver a darlos. El precio es que deja de haber una credencial por carga de trabajo. Si tres servicios muy distintos llevan la misma identidad, los tres llegan exactamente a lo mismo, y el que menos se cuida marca el riesgo de los tres.

El inventario dice el tipo de cada identidad y las asociaciones dicen en qué recurso está puesta cada una. Cruzar las dos tablas es el trabajo: una sola identidad repetida en varias filas de asociaciones es el patrón que se busca.

Abre el laboratorio y empieza por inventario.txt.

Para redactar el hallazgo no basta con decir que la identidad está compartida: hay que contar cuántos recursos la llevan y nombrarlos. Esa cifra es la que convierte una observación en un impacto, porque dice cuántos puntos de entrada distintos terminan en el mismo permiso.

El permiso amplio se pidió para un proceso concreto, y la entrevista lo cuenta sin que nadie se lo pregunte dos veces. El problema es que la identidad no se puso solo en ese proceso: se puso en la plantilla, y con ella en recursos que no tocan el almacenamiento para nada. Ese recurso es el ejemplo que mejor explica el hallazgo en el informe, porque nadie puede defender que lo necesita.

El hallazgo no se cierra pidiendo que se deje de usar identidades administradas: son justamente lo que evita el secreto en el código. Se cierra en dos movimientos. Uno, estrechar el ámbito del rol para que llegue solo a lo que el proceso necesita. Dos, separar las identidades por carga de trabajo, de modo que el proceso que concilia pagos y el que manda correos no compartan la misma credencial.

La identidad que quedó sin usar tras la mudanza merece una línea aparte, y bastante más corta: no tiene ningún permiso asignado, así que hoy no abre nada. Se recomienda retirarla por higiene, sin inflarla a hallazgo.