Identidad y acceso de las cargas

Una carga puede identificarse de tres maneras. La llave estática es un secreto que se genera una vez, se copia a la carga y vale hasta que alguien la rota o la revoca: quien la copie la puede usar desde cualquier sitio. El rol asumido y la identidad administrada no guardan secreto: la plataforma entrega a la carga credenciales temporales que caducan solas, y la carga solo puede obtenerlas si corre donde se espera. Cuando la carga está en la planta y la nube está lejos, a veces se federa con un proveedor de identidad para conseguir lo mismo.

El riesgo de una identidad es la suma de dos cosas: lo que puede hacer y lo fácil que es robarla. Una llave estática (fácil de robar y de reutilizar) con permisos de administrador del almacenamiento es la peor combinación posible: quien la obtenga puede leer, cambiar y borrar. La política de la empresa lo dice con otras palabras, pidiendo «el mínimo para la tarea». Consulta identidades y la política.

La rotación limita el tiempo que sirve una llave filtrada. La política de la empresa fija un máximo de días en la tabla politica. Una llave que supera ese máximo no cumple, y cuanto más se pasa, más tiempo ha estado expuesta sin que nadie lo notara. Para medirlo se resta el máximo a los días que lleva sin rotarse.

Una condición de origen permite que una identidad solo funcione desde unas direcciones concretas: aunque la llave se filtre, no sirve desde otro lugar. En el inventario cada identidad declara su origen_esperado. Contrasta con los accesos reales: el que no coincide con su origen esperado es el que hay que investigar primero. Lo único que afirma esta evidencia es de dónde vino el acceso; quién estaba detrás es otra pregunta, que se responde con más fuentes.

Un acceso fuera de origen con una llave de administrador es un incidente en potencia, y la respuesta tiene dos tiempos. Primero se contiene: se revoca o rota la llave y se revisa lo que hizo desde esa dirección. Después se corrige la causa: se sustituye la llave estática por una identidad temporal con el permiso mínimo y se añade la condición de origen, para que el problema no vuelva con la siguiente llave.