El estado de Terraform y su protección

El estado contiene atributos reales de los recursos: identificadores, direcciones, nombres y, según el recurso, contraseñas y claves. La documentación oficial es explícita: el estado y los planes pueden contener valores sensibles, y quien pueda leerlos puede ver esos valores. Las recomendaciones oficiales son guardarlo de forma remota, cifrarlo en reposo, limitar con permisos quién accede y activar registros de auditoría de los accesos.

Un estado leído por quien no debía es una fuga aunque nadie haya tocado la infraestructura: entrega el mapa de la cuenta y, a veces, las llaves.

Abre backend.tf. El backend de almacenamiento de objetos tiene una opción para habilitar el cifrado del lado del servicio del archivo de estado y de su archivo de bloqueo, y otra para indicar con qué clave de gestión de claves se cifra. En el código de Alisio la primera está escrita de forma explícita, y su valor no es el recomendado. Esa línea es la que se anota en el informe, con el nombre exacto del argumento.

El registro de accesos al objeto de estado dice quién lo leyó, desde dónde y cuándo. La canalización lee el estado a las dos de la madrugada desde su rango de direcciones, y escribe en él cuando aplica. Una lectura de una persona, desde otro origen y a media tarde, no encaja con el patrón de la canalización. Eso no prueba una intención dañina: indica que hay una puerta abierta de lectura sin que nadie lo haya decidido, y se registra para preguntar el motivo.

El bucket de Alisio cifra por defecto con claves administradas por el servicio: Amazon S3 aplica ese cifrado en los objetos nuevos desde el 5 de enero de 2023. Pero ese cifrado es transparente para quien tiene permiso de lectura: el servicio descifra al entregar el objeto, así que no impide nada a una identidad autorizada. Lo que sí lo impide es la política: en la de Alisio, toda la cuenta puede leer y escribir el estado. El control de verdad es acotar la política al rol de la canalización, activar el control de versiones para poder recuperar un estado dañado y usar el bloqueo para que dos ejecuciones no escriban a la vez.

Para el informe no basta con nombrar a la identidad: se cuantifica. Cada lectura es una copia posible del estado, y el número de lecturas decide qué se revisa después, como qué valores contenía el estado en ese momento y si hay que rotarlos. Cuenta en el registro todas las filas de lectura de esa identidad.