Llaves de larga duración y credenciales temporales

Los identificadores de llave de acceso llevan un prefijo que delata su clase. Según la documentación de IAM, AKIA marca una llave de acceso de larga duración de un usuario, y ASIA marca el identificador de unas credenciales temporales de AWS STS, que solo son válidas junto con su llave secreta y un token de sesión. Esa diferencia importa al revisar un hallazgo: si un registro muestra una llave AKIA, se trata de una credencial que sigue valiendo hasta que se desactive; si muestra una ASIA, caducará sola y, una vez pasado el tiempo, ya no sirve.

La llave larga es la que obliga a rotar, vigilar y desactivar; la temporal obliga solo a conceder el rol correcto.

Una llave activa que nunca se ha usado es una puerta abierta sin dueño que la necesite: si se filtra, nadie lo notará por el uso. Abre informe-de-credenciales.csv y filtra con grep las filas con la llave activa. En las columnas de último uso, N/A significa que nunca se usó. Ignora a quien no tiene llave activa.

La regla de la empresa pide rotar toda llave como máximo cada 90 días. Las fechas del informe tienen formato año-mes-día y el informe lleva su propia fecha de generación en la primera línea. Para saber cuánto lleva una llave sin rotar se cuentan los días entre la fecha de la última rotación y la del informe.

Un rol no tiene llave propia: quien lo asume recibe credenciales temporales que expiran. Una instancia con un rol, una función con su rol de ejecución o una canalización que se autentica por federación no guardan nada que se pueda copiar y reutilizar meses después. Y las llaves largas tienen otro problema: acaban en scripts, repositorios y portátiles, donde no se ven. Cambiar una llave larga por un rol cuesta una vez; vigilar cientos de llaves cuesta siempre.

El principio es dejar las llaves largas solo para lo que no tiene alternativa y, aun así, rotarlas y limitarlas.

Una contraseña de consola sin segundo factor depende solo de que nadie la adivine o la robe. La regla de la empresa exige segundo factor a todo usuario que entra por consola. En el informe, las columnas de contraseña de consola y de segundo factor permiten cruzar las dos cosas: un usuario con contraseña activa y sin factor es un acceso humano con una sola barrera.