Suscripciones, grupos y roles asignados

Una asignación de rol responde tres preguntas a la vez. Quién: una persona, un grupo, una aplicación o la identidad de un recurso. Qué: un rol, que es una lista de acciones permitidas. Dónde: el ámbito, que puede ser el grupo de administración, la suscripción, un grupo de recursos o un solo recurso.

El ámbito es lo que el evaluador mira primero, porque los niveles se heredan hacia abajo: lo asignado en la suscripción alcanza todos sus grupos de recursos, y lo asignado en un grupo de recursos alcanza todo lo que haya dentro. Un cliente que separó producción en cinco grupos de recursos puede tener esa separación anulada por una sola asignación puesta un nivel más arriba.

Una cuenta invitada es la de alguien de otra organización a la que se le dio acceso al inquilino del cliente. Suelen entrar para una tarea concreta y suelen quedarse. Lo que decide si es hallazgo no es que sea invitada, sino el rol y el ámbito que arrastra.

Abre el laboratorio y pide la tabla de asignaciones.

El cliente mantiene una columna de justificación: para qué se dio cada permiso y quién lo aprobó. No es un trámite, es la prueba de que alguien decidió. Una asignación sin justificación no es automáticamente un hallazgo —puede ser papeleo atrasado—, pero sí es la lista corta por la que se empieza a preguntar.

Hay un rol de este proveedor que no sirve para crear ni borrar recursos: solo lee todo y administra la autorización. Parece inofensivo en una lista de permisos y es de los más peligrosos que existen, porque quien lo tiene puede asignarse a sí mismo cualquier otro rol, incluido el de control total, y hacerlo sobre el ámbito donde está puesto.

Es el mismo patrón que en el primer proveedor tenía la política que permitía crear políticas: no es el permiso, es el permiso sobre los permisos.

El rol de colaboración de este proveedor trae una excepción bien conocida: puede gestionar todos los recursos, pero no puede crear ni borrar asignaciones de rol. Mucha gente se queda ahí y lo trata como un rol contenido. Lo que se olvida es otra acción que sí trae: listar las claves de una cuenta de almacenamiento. Con esa clave se leen y se escriben los datos de la cuenta por la vía de la clave compartida, sin ningún rol de datos de por medio.