La jerarquía que hereda

En AWS Organizations las cuentas se agrupan en unidades organizativas y todas cuelgan de una raíz. En Azure las suscripciones se agrupan en grupos de administración, y todos cuelgan de un grupo raíz del inquilino. En los dos casos la herencia funciona igual: lo que se asigna en un nivel alcanza a todo lo que está debajo, incluidas las cuentas o suscripciones que se creen después.

Eso es lo que hace útil al gobierno multicuenta, y también lo que lo hace peligroso. Una barandilla puesta en la unidad correcta protege a las cuentas de hoy y a las de mañana sin que nadie tenga que acordarse. Una puesta en la unidad equivocada protege a la que no era, y deja a las demás como estaban.

Hay una cuenta que no obedece a las políticas de control de servicio: la de gestión, la que creó la organización. Esas políticas limitan a los usuarios y roles de las cuentas miembro, y no alcanzan a los de la cuenta de gestión, aunque estén adjuntas en la raíz. Por eso la cuenta de gestión se mantiene casi vacía —sin cargas de trabajo— y con muy pocas personas con acceso: lo que haga alguien ahí, ninguna barandilla de este tipo lo detiene.

Abre el inventario de cuentas de Brasero y localiza la que administra la organización.

Cuando una suscripción nueva aparece en Azure, queda en el grupo raíz del inquilino hasta que alguien la mueve. Si nadie la mueve, queda fuera de cualquier grupo de la empresa, y las políticas asignadas a los grupos de la empresa no le llegan. Es la fuga más común del gobierno de Azure: no una política mal escrita, sino una suscripción que nunca entró en el árbol.

Compara el árbol de grupos con la lista de suscripciones de Brasero y busca la que no cuelga de ningún grupo propio.

Antes de crear una cuenta se puede predecir qué controles va a tener: los de la raíz, más los de cada unidad por la que baja hasta llegar a ella. Cada nivel suma. Lo que no se puede es deducir el resultado sin mirar las adjuntas de cada nivel del camino.

Brasero va a crear una cuenta para un equipo de analistas y la quiere meter en la unidad de pruebas. Consulta qué hay adjunto en la raíz y en esa unidad.