Identidades administradas y principales de servicio

Una identidad administrada de asignación por el sistema nace con un recurso, solo ese recurso puede usarla y se elimina cuando se elimina el recurso. Una de asignación por el usuario es un recurso propio, con ciclo de vida independiente, que puede asignarse a varios recursos a la vez. En ambos casos el código obtiene un token sin guardar ningún secreto.

La compartición es cómoda y es el riesgo: cuantos más recursos usan la misma identidad, más amplio tiene que ser su permiso y más difícil saber cuál de ellos actuó.

Una aplicación registrada con un secreto de cliente tiene una contraseña que alguien debe guardar, renovar antes de que venza y cambiar si se filtra. Los secretos se copian a repositorios, a variables de entorno y a chats. Cuando el código corre dentro de Azure, la alternativa es una identidad administrada con el rol justo sobre el recurso justo: no hay secreto que se pueda copiar, y el permiso se revoca quitando una asignación de rol.

Abre registros-de-aplicacion.txt. Una credencial vencida tiene dos lecturas: si la aplicación sigue funcionando, hay otro secreto que no se ve en esta lista; si dejó de funcionar, alguien tuvo que improvisar. En ambos casos el registro está descuidado, y descuidar un registro es el primer paso hacia un secreto olvidado con permisos amplios. Compara cada fecha de vencimiento con la fecha de la revisión que encabeza el archivo.

Abre identidades-administradas.txt. Para cada identidad, mira el rol y el ámbito. Un rol de Owner concede, además de todo el acceso a recursos, la capacidad de asignar roles; en una identidad que usa código, eso significa que un fallo en ese código se convierte en la capacidad de repartir permisos.

El radio de daño de una identidad compartida es la suma de los recursos que la usan: si uno se compromete, el atacante hereda lo que la identidad puede hacer en todos. La columna «recursos que la usan» permite contarlos. Recortar el rol y repartir la identidad en una por recurso es la corrección habitual.