Sesiones, caducidad y revocación

Cuando alguien asume un rol por federación, AWS le entrega credenciales temporales con su propia caducidad, que no depende ya del proveedor de identidad. Deshabilitar la cuenta en el proveedor impide pedir sesiones nuevas, pero las credenciales emitidas siguen siendo válidas hasta su fecha, salvo que se revoquen en AWS.

En Entra ocurre algo parecido con los tokens. Según la documentación oficial, deshabilitar la cuenta y usar «Revoke sessions» impide obtener tokens nuevos, pero el acceso termina cuando caduca el token de acceso (por defecto, una hora) o cuando la aplicación revoca su propia sesión. La evaluación continua de acceso (CAE) acorta ese margen para las aplicaciones que la admiten.

AWS permite revocar las sesiones activas de un rol. No elimina el rol ni cambia sus permisos: adjunta una política de denegación (AWSRevokeOlderSessions) que usa la clave aws:TokenIssueTime para negar todo a las credenciales emitidas antes de una hora determinada. Quien vuelve a asumir el rol después de esa hora, pasado un margen de unos 30 segundos por la propagación, no se ve afectado.

Por eso revocar no es una baja: es un corte con fecha. La persona que ya no debe tener acceso se deshabilita en el proveedor para que no pueda pedir sesiones nuevas, y se revoca para cortar las que ya tenía. Las dos cosas, en ese orden o a la vez.

Abre sesiones-asumidas.csv. Cada fila es una sesión de rol, con su momento de emisión y su duración en segundos. Las duraciones largas existen por comodidad, y cada hora extra amplía el tiempo en que una credencial robada o una persona dada de baja podría seguir actuando. Se justifican en roles de bajo riesgo, no en los de administración.

baja-dmora.txt recoge los tiempos de la baja: cuándo la registró recursos humanos y cuándo se deshabilitó la cuenta en el proveedor de identidad. La sesión de dmora se emitió antes de esa hora y no se revocó. Calcular cuántos minutos pudo seguir usándose desde la deshabilitación hasta su caducidad convierte una sospecha en una cifra para el informe. Todas las horas del escenario están en UTC.

El registro de actividad de la nube cuenta lo que esa sesión ejecutó. Se comparan sus eventos con la hora de la deshabilitación: lo anterior es actividad normal, y lo posterior es lo que habría evitado una revocación a tiempo. Abre registro-actividad.csv.