PIM y el privilegio justo a tiempo

En PIM una asignación elegible no da el poder: da el derecho a activarlo. Para usarlo hay que activar el rol, y la activación puede exigir segundo factor, una justificación y la aprobación de otra persona. Una asignación activa, en cambio, no pide nada: el poder está puesto todo el tiempo. Cada una puede ser permanente o tener fecha de fin. Mientras el rol está activo, el acceso es idéntico al de una asignación permanente; la diferencia es cuánto tiempo está abierto.

El objetivo del privilegio justo a tiempo es reducir la ventana en la que una credencial robada vale algo. Una cuenta elegible comprometida no puede usar el rol sin pasar por el segundo factor y la justificación de la activación, y aun activado, el rol vence solo a las pocas horas. Eso no impide el robo, pero encoge lo que se puede hacer con él.

Abre asignaciones.txt. La meta del modelo es que las personas tengan roles elegibles y que las asignaciones activas permanentes queden solo para lo imprescindible: las cuentas de emergencia y las identidades de servicio que no pueden activar un rol a mano. Una persona con el rol más alto de una suscripción activo y sin fecha de fin es el privilegio permanente que PIM existe para evitar.

Cada rol tiene sus ajustes: duración máxima de la activación (de 1 a 24 horas), si exige MFA, justificación y aprobación. Estos ajustes son la política de entrada. Un rol elegible cuya activación no pide ni segundo factor ni justificación es privilegio permanente con un paso extra que no protege nada.

El registro de activaciones permite medir la ventana real de privilegio: de qué hora a qué hora estuvo activo cada rol. Sumar los intervalos de un mismo rol es la manera de saber si un administrador usa el justo a tiempo como se pensó, o activa y deja correr. Ojo con las filas de otros roles del mismo usuario: no se suman.