Unificar identidades

Unificar identidades significa que las personas de la adquirida puedan entrar con una identidad de la matriz, o que ambos directorios se federen. Si se migra todo tal cual, la matriz hereda las cuentas de personas que ya se fueron, los administradores sin segundo factor y las cuentas de servicio que nadie sabe para qué sirven.

El orden sensato es el inverso: primero se depura (quién sigue, quién es dueño de qué, quién tiene qué rol) y después se migra solo lo que pasó el filtro. Lo demás se deshabilita con fecha o se justifica por escrito.

Una cuenta con rol de administrador es la que más daño puede hacer si alguien la usa sin ser su dueño. El segundo factor es el control que lo impide aun cuando la contraseña se haya filtrado. En una adquisición, es la primera brecha de identidad que se cierra.

Abre SELECT * FROM directorio_adquirida y mira el rol y el segundo factor.

Es habitual que una misma persona tenga una cuenta de uso diario y otra de administración. No es un defecto por sí mismo, pero al unir directorios hay que saber que son una sola persona para asignarle una sola identidad con acceso privilegiado separado, no dos identidades sin relación. Se detecta por el correo, que es lo que comparten.

Las cuentas de servicio no son personas: las usan programas, y por eso nadie las echa de menos cuando algo se rompe ni las revisa cuando se aleja su dueño. Una cuenta de servicio sin responsable, con permisos amplios de lectura, es un acceso permanente que nadie vigila.

Una cuenta de persona que no entra hace meses es candidata a deshabilitarse: o la persona se fue, o no la necesita. Medir los días de inactividad permite aplicar una regla clara (por ejemplo, deshabilitar tras cierto número de días sin acceso) en vez de decidir cuenta por cuenta. La revisión es del 7 de octubre de 2026.