Fundamentos de IAM

La Gestión de identidades y accesos (IAM) es la disciplina que garantiza que las identidades adecuadas tengan el acceso adecuado a los recursos adecuados en el momento adecuado.

Es la columna vertebral de la seguridad de una organización.

Tres conceptos distintos:

• Identificación: declarar quién es (un nombre de usuario).
• Autenticación: demostrarlo (una contraseña o una llave).
• Autorización: decidir qué puede hacer.

Una identidad representa una entidad: un usuario humano, una cuenta de servicio o una máquina.

En los sistemas de acceso, una identidad autenticada que actúa sobre un recurso suele denominarse principal.

Las identidades pasan por un ciclo de vida:

• Alta: se aprovisiona cuando alguien se incorpora.
• Cambio: se actualiza el acceso cuando cambian las funciones.
• Baja: se desaprovisiona cuando la persona se marcha.

No desaprovisionar deja cuentas huérfanas peligrosas.

IAM centraliza la autenticación para que los usuarios demuestren su identidad una sola vez ante un proveedor de identidades (IdP) de confianza.

Esto evita sistemas de contraseñas dispersos e incoherentes entre las aplicaciones.

Una vez autenticado, la autorización determina los permisos.

Entre los modelos habituales se incluyen RBAC (basado en roles) y ABAC (basado en atributos), que veremos en la siguiente lección.

La tercera A de AAA (autenticación, autorización y contabilización) consiste en registrar quién hizo qué.

Los registros de auditoría respaldan las investigaciones y el cumplimiento normativo, y ayudan a detectar usos indebidos.

Las cuentas de administrador y root son objetivos de gran valor. La Gestión de accesos privilegiados (PAM) añade controles adicionales:

• Elevación just in time
• Grabación de sesiones
• Almacenamiento seguro de credenciales

No todas las identidades son humanas. Las cuentas de servicio, los clientes de API y las cargas de trabajo también necesitan una identidad.

A menudo superan en número a las personas y requieren una rotación y una definición de alcance cuidadosas de las credenciales.

Un directorio almacena identidades y grupos de forma centralizada. Algunos ejemplos son los directorios basados en LDAP y los directorios en la nube.

Las aplicaciones consultan el directorio en lugar de mantener su propia lista de usuarios.

La mayoría de las filtraciones implican credenciales robadas o utilizadas indebidamente. Un IAM sólido:

• Reduce la superficie de ataque.
• Aplica una política coherente.
• Hace que el acceso pueda auditarse y revocarse.

¿Cuál es la diferencia entre autenticación y autorización?

Ha aprendido los fundamentos de IAM.

• Distinguir entre identificación, autenticación y autorización.
• Gestionar el ciclo de vida de altas, cambios y bajas.
• Proteger las identidades privilegiadas y de máquina, y conservar los registros de auditoría.

A continuación, compararemos los modelos de control de acceso RBAC y ABAC.