Identidades y permisos excesivos

Una política de permisos dice qué acciones se permiten sobre qué recursos. Cuando tanto la acción como el recurso son un comodín, la política equivale a «puede hacer cualquier cosa en toda la cuenta». Es el exceso más común y el más fácil de reconocer, porque suele nacer de una frase como «así no falla nada». El principio contrario se llama mínimo privilegio: dar a cada identidad solo lo que su trabajo necesita, y sobre los recursos que necesita.

Reportarlo no necesita demostrar nada. Basta con citar la política, decir qué identidad la usa y qué podría hacer quien controle esa identidad.

La exportación de AWS trae tres roles y un usuario de servicio. Un rol se asume desde una instancia o un pipeline y sus permisos pasan a quien lo use: si el rol lo puede todo, comprometer ese servicio es comprometer la cuenta. Abre las políticas y localiza el rol cuyos permisos son totales.

En Azure, un rol se asigna sobre un ámbito: la suscripción entera, un grupo de recursos o un recurso. Un rol de escritura (Owner, Contributor) a nivel de suscripción alcanza todo lo que hay en ella. Una cuenta de invitado externo con ese rol es una identidad que el cliente no controla del todo: depende de las prácticas de seguridad de otra organización.

Revisa las asignaciones y localiza al invitado externo.

En OCI las políticas son sentencias legibles: quién (un grupo), qué puede hacer y dónde. El cliente anotó una justificación junto a una de las sentencias con permisos totales: un grupo de dos personas con segundo factor, creado por la gerencia. Un permiso total con dueño y controles es una decisión; sin ellos es un exceso. Y la justificación se anota en el informe como contexto, no se acepta sin leerla.

Hay permisos que por separado parecen inocentes y juntos abren un camino. El usuario de servicio de respaldo puede lanzar instancias y puede pasar un rol a lo que lance, ambos sobre cualquier recurso. Eso significa que, si alguien controla ese usuario, puede lanzar una instancia con el rol de administración que ya viste. Es una escalada de privilegios que se demuestra con la lectura de la política: no hace falta lanzar nada para reportarla.