Cuentas de servicio y sus llaves

En Google Cloud una cuenta de servicio puede tener llaves gestionadas por Google, que rotan solas y nunca se descargan, y llaves gestionadas por el usuario, que alguien crea y descarga como archivo. Estas últimas se pueden copiar, enviar, subir a un repositorio y usar desde cualquier dirección mientras estén habilitadas: la nube no sabe si quien presenta la llave es el programa o quien la copió.

Por eso las llaves de usuario son la primera lista que se revisa. Cada llave tiene un identificador que aparece en el registro de auditoría cada vez que se usa, y esa es la forma de enlazar un archivo con sus usos.

Una llave creada poco antes del incidente, y que el equipo no pidió, es el dato más urgente de la lista. La tabla de claves trae el identificador y la fecha de creación de cada una.

Una llave que nunca se rota acumula riesgo con cada mes: más copias posibles y más gente que la ha visto. Para ponerlo en cifras se cuentan los días desde que se creó hasta la fecha del análisis. Ojo con el día de partida: del 2 al 3 hay un día de diferencia.

La otra llave de la misma cuenta se creó junto con la cuenta. Calcula sus días de vida al 17 de agosto de 2027.

Cada entrada de auditoría lleva la llave usada y la dirección de origen. Comparar las direcciones de uso de una llave con el lugar donde debería vivir el programa que la usa es una de las pruebas más claras de que algo no encaja: la carga nocturna debería salir siempre de la oficina.

Eliminar una llave la hace inservible de inmediato, pero también borra de la consola el objeto que se estaba investigando. Deshabilitarla la deja inservible igual, es reversible si resulta ser la llave de un servicio legítimo y deja la llave, su fecha y su identificador a la vista. Se anota el identificador, se deshabilita y se elimina cuando la investigación lo permite. Si la llave era la única de la cuenta, hay que avisar al equipo dueño del programa antes de que su carga nocturna falle.