Laboratorio del ciclo de vida SCIM (altas, cambios y bajas)
Concilia unas 20 cuentas entre RR. HH. y el IdP y asigna a cada una la acción correcta de alta, cambio o baja, sin romper usuarios válidos.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
La mayoría de las brechas no empiezan con un zero-day: empiezan con un acceso que sobrevivió a la persona. En este laboratorio del ciclo de vida de identidades trabajas una cola de conciliación de unas 20 cuentas entre el sistema de RR. HH. de referencia y el proveedor de identidad (IdP), y das a cada una su acción de alta, cambio o baja (Joiner / Mover / Leaver) al estilo SCIM: aprovisionar con mínimo privilegio a quien entra, reajustar a quien cambia de puesto (conceder el rol nuevo Y quitar el antiguo; el fallo habitual es añadir sin quitar, lo que acumula privilegios) y dar de baja por completo a quien se va (desactivar, revocar sesiones y tokens, recuperar licencias y reasignar la propiedad de los datos). También detectas los huecos que las revisiones existen para encontrar: cuentas huérfanas sin propietario, accesos retenidos de más y conflictos de segregación de funciones, bajas pendientes o vencidas, tokens activos en una cuenta desactivada, contratistas pasada su fecha de fin y cuentas compartidas o de servicio que el ciclo humano no cubre. Se te puntúa por acciones correctas frente a falsos positivos: dar de baja a alguien de permiso o volver a marcar una baja ya limpia tiene una penalización extra, porque romper a un usuario válido es un incidente en sí mismo. Es un laboratorio Pro.
- Lee cada fila de la cola: estado en RR. HH., estado en el directorio, propietario, fechas de inicio y fin, último acceso, permisos, tokens y MFA.
- Asigna la acción: conciliada (sin cambios), alta, cambio, baja o un hallazgo de gobierno.
- Evita los falsos positivos, como dar de baja a alguien con un permiso aprobado.
- Tras la evaluación, lee por qué la acción correcta de cada cuenta es la correcta.
Preguntas frecuentes
¿Qué es el laboratorio del ciclo de vida SCIM?
Un ejercicio en el navegador en el que trabajas una cola de conciliación de instantáneas del ciclo de vida de identidades: cada fila muestra el estado de la cuenta en RR. HH., su estado en el directorio, el propietario, las fechas de inicio y fin, el último acceso, los permisos asignados, el estado de los tokens y el MFA, y tú asignas la acción correcta: conciliada (sin cambios), una acción de alta, cambio o baja, o un hallazgo de gobierno como una cuenta huérfana, un acceso retenido de más, una baja vencida, un contratista pasada su fecha de fin o una cuenta de servicio que hay que gobernar en lugar de tratar con el ciclo humano. Reproduce lo que te ponen delante un conector de aprovisionamiento SCIM y una revisión de accesos IGA.
¿Cómo se evalúa?
Cada cuenta tiene una única acción correcta. Tu puntuación es la proporción de cuentas que aciertas con la acción exacta, incluidas las filas conciliadas. Los falsos positivos (actuar sobre una cuenta sana, como dar de baja a alguien con un permiso aprobado o volver a marcar una baja ya completa) llevan una penalización extra, porque un equipo de identidades que rompe usuarios válidos hace tanto daño como uno que se deja accesos permanentes. Una partida perfecta acierta todas las cuentas.
¿Qué conceptos del ciclo de vida enseña?
El modelo de altas, cambios y bajas (Joiner/Mover/Leaver) y dónde falla. Alta: aprovisionar solo el conjunto básico de mínimo privilegio. Cambio: reajustar añadiendo el rol nuevo Y quitando el antiguo en el mismo cambio (en ambos sentidos: un cambio también puede quitar acceso); el fallo clásico es añadir sin quitar, lo que acumula privilegios y crea conflictos de segregación de funciones. Baja: una baja completa es más que desactivar el inicio de sesión; incluye revocar sesiones, tokens OAuth y claves de API, recuperar licencias y reasignar la propiedad de los datos. Además, los huecos que buscan las revisiones: cuentas huérfanas, retención excesiva, bajas no hechas, contratistas pasada su fecha de fin y cuentas no humanas o compartidas fuera del ciclo.
¿Se conecta a mi directorio o a mi sistema de RR. HH.?
No. No se sube nada y no se llama a ninguna API de SCIM, directorio ni RR. HH. Las cuentas son instantáneas de conciliación realistas, escritas para el laboratorio e incluidas en la página, y todas las decisiones sobre fechas se toman contra una única fecha fija, así que la cola es determinista y nunca se queda desfasada. Se ejecuta por completo en tu navegador.
¿Para quién es?
Para ingenieros de IAM y de gobierno de identidades, equipos de TI y seguridad que gestionan el aprovisionamiento y las revisiones de accesos, auditores que revisan los controles de altas, cambios y bajas y la segregación de funciones, y quien prepare una entrevista de seguridad o de identidades y quiera sentir por qué una cuenta huérfana, un usuario despedido con un token de API activo o un auditor que aún puede aprobar pagos son un hallazgo, y por qué un empleado de permiso que conserva su acceso no lo es.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.