Federación de cargas desde canalizaciones

Sin federación, la canalización guarda una llave estática de la nube como secreto. Esa llave sirve desde cualquier sitio, no caduca sola y hay que rotarla a mano. Con federación, la canalización pide a su plataforma de integración un token de identidad y lo presenta a la nube. La nube verifica la firma con las claves públicas del emisor, comprueba las condiciones de confianza del rol y entrega credenciales que caducan en poco tiempo. No queda ningún secreto de larga duración en la canalización.

Microsoft lo documenta como federación de identidad de cargas: se configura una confianza entre una identidad administrada o un registro de aplicación de Entra y el emisor externo, y se eliminan el secreto o el certificado que antes había que guardar.

El token de una canalización no dice «soy la canalización de la empresa», dice algo más fino: un sujeto (sub) que identifica el proyecto y, según la plataforma, la rama o el entorno desde donde corre el trabajo. La política de confianza de AWS lo compara con la clave <emisor>:sub, y la credencial federada de Azure lo compara con su campo subject; en Azure, además, emisor, sujeto y audiencia se comparan respetando mayúsculas y minúsculas.

Cada plataforma documenta el formato de su sujeto y puede cambiarlo, así que se lee siempre en su documentación oficial y nunca se supone.

Abre confianza-aws-despliegue.json y registro-asuncion.log. La condición sobre el sujeto usa StringLike con un comodín: es cómodo, porque cualquier rama del proyecto despliega, pero también significa que cualquier rama lo hace. El registro muestra qué sujetos pidieron el rol y cuáles lo consiguieron.

La migración de la canalización de facturación se hizo el 20 de agosto de 2026, según nota-migracion.txt. Migrar no es apagar: la llave anterior sigue activa hasta que alguien la desactive. El inventario de llaves estáticas dice cuál fue la última vez que se usó cada una; una llave de despliegue que nadie usa desde la migración ya no tiene razón de existir.

La edad sin uso es el argumento para desactivarla: una llave viva que nadie necesita solo puede aprovecharla quien no debería. El inventario se exportó en una fecha concreta, escrita en su primera línea, y cada llave trae su último uso.