Seguridad en Redes y Datos
Identity and
Access Management
La disciplina que define quién puede hacer qué, dónde y cómo.
¿Qué es IAM?
Tres pilares fundamentales que sostienen la gestión de identidad y acceso en cualquier organización.
Identity
Relación entre una identidad real y su representación digital. Normalmente representada por un usuario y su contraseña.
Otras representaciones: token, certificado digital, atributos biométricos.
Access
Permisos de acceso a recursos e información. Normalmente lo vemos como listas de permisos o ACLs.
Otras formas: RBAC, ABAC, políticas basadas en atributos.
Management
Gestión integral de identidades y accesos mediante procesos, productos y políticas que nos permiten administrarlos de forma segura.
Incluye auditoría, cumplimiento normativo y gobierno de identidad.
Componentes de IAM
Los bloques fundamentales que construyen un ecosistema de gestión de identidad robusto.
Políticas
Reglas que gobiernan el acceso y comportamiento dentro del sistema IAM.
Usuarios
Identidades individuales que representan personas o entidades del sistema.
Grupos
Colecciones de usuarios que comparten permisos y características comunes.
Roles
Conjuntos de permisos asignados por función dentro de la organización (RBAC).
Permisos
Derechos específicos sobre recursos: lectura, escritura, ejecución, administración.
Recursos
Objetos protegidos: archivos, aplicaciones, APIs, bases de datos y servicios.
OUs / Group Policy
Unidades organizativas y políticas de grupo para administración jerárquica.
Auditoría
Registro y monitoreo continuo de accesos para cumplimiento y trazabilidad.
Tipos de Identidad
Múltiples formas de establecer y verificar la identidad de una entidad en el sistema.
Usuario / Contraseña
El mecanismo más común. Combina un identificador único con un secreto compartido.
Token
Dispositivo físico o software que genera códigos temporales de un solo uso (OTP/HOTP/TOTP).
Certificado Digital
Documento electrónico emitido por una CA que vincula una clave pública con una identidad.
Dirección IP
Identificación basada en la ubicación de red. Útil como factor contextual adicional.
Atributos
Cualquier conjunto de características (departamento, ubicación, horario) que identifique unívocamente una entidad.
Ciclo de Vida de la Identidad
Onboarding
Creación de la identidad digital al ingresar a la organización.
Asignación
Provisionamiento de accesos y permisos según el rol y responsabilidades.
Operación
Uso activo con monitoreo continuo de accesos y detección de anomalías.
Modificación
Actualización de permisos ante cambios de rol, promociones o transferencias.
Offboarding
Revocación y eliminación segura de la identidad al finalizar la relación laboral.
Implementaciones
Tecnologías y protocolos que materializan los conceptos de IAM en entornos reales.
User / Pass
BásicoAutenticación tradicional basada en credenciales. Simple pero vulnerable si no se complementa con MFA.
LDAP
ProtocoloProtocolo ligero de acceso a directorios. Base de servicios como OpenLDAP y Active Directory.
Active Directory
MicrosoftServicio de directorio de Microsoft. Dominios, OUs, Group Policy y SSO integrado en ecosistema Windows.
Kerberos
AutenticaciónProtocolo de autenticación con tickets. Utiliza criptografía de clave simétrica y un KDC central.
PKI
InfraestructuraInfraestructura de llave pública. Certificados digitales, autoridades certificadoras y cadenas de confianza.
RADIUS
AAAAutenticación, autorización y contabilidad para accesos remotos a la red corporativa.
RBAC
ModeloControl de acceso basado en roles. Los permisos se asignan a roles y los roles a usuarios.
Productos
Soluciones del mercado que implementan IAM en distintos niveles y enfoques.
Thycotic
PAMGestión de cuentas privilegiadas. Bóveda de contraseñas, rotación automática y sesiones grabadas.
Centrify
Zero TrustPlataforma de privilegios Zero Trust. Acceso bajo privilegio mínimo con MFA adaptativo.
Active Directory
LíderEl estándar de facto en entornos empresariales. Integración nativa con todo el ecosistema Microsoft.
OpenLDAP
Open SourceImplementación open source de LDAP. Flexible, extensible y ampliamente adoptada en entornos Linux.
OpenIAM
Open SourceSuite completa de IAM open source. Provisionamiento, SSO, RBAC y gobierno de identidad integrados.
Desafíos
Los retos más comunes al implementar y mantener una solución de IAM empresarial.
Integración
Termina definiendo la solución. Conectar sistemas legacy, múltiples directorios y aplicaciones heterogéneas es el verdadero desafío.
Costo de Implantación
Puede ser difícil relevar y normalizar todos los permisos existentes. El esfuerzo inicial suele ser subestimado.
Gestión de Usuarios Privilegiados
No siempre se puede prescindir de Administrator o root. El PAM (Privileged Access Management) es crítico.
Implementaciones Complejas
Escenarios avanzados donde IAM escala más allá de las fronteras organizacionales.
Autenticación Federada
Permite que usuarios de una organización accedan a recursos de otra sin compartir credenciales. Basada en protocolos como SAML y WS-Federation.
- SSO entre organizaciones
- Confianza entre dominios
- Estándares como SAML 2.0
OAuth 2.0
Framework de autorización que permite a aplicaciones obtener acceso limitado a recursos sin exponer credenciales. El estándar detrás de "Iniciar sesión con Google/Facebook".
- Access tokens y refresh tokens
- Flujos: authorization code, PKCE
- Scopes para permisos granulares
Documentación
Estándares, protocolos y specs que definen el ecosistema IAM actual.
LDAP v3
Protocolo Ligero de Acceso a Directorios. Define el modelo de datos y operaciones para servicios de directorio.
IETF Datatracker OASIS StandardSAML 2.0
Security Assertion Markup Language. Intercambio de datos de autenticación y autorización entre dominios.
OASIS Docs RFC 6749OAuth 2.0
Framework de autorización para conceder acceso limitado a recursos HTTP sin compartir credenciales.
IETF Datatracker OpenID FoundationOpenID Connect
Capa de identidad sobre OAuth 2.0. Permite verificar la identidad del usuario final mediante un Authorization Server.
openid.net RFC 7644SCIM
System for Cross-domain Identity Management. Esquema y API REST para automatizar el provisioning de identidades.
IETF Datatracker RFC 4120Kerberos v5
Protocolo de autenticación de red basado en tickets con criptografía de clave simétrica y un KDC central.
IETF DatatrackerIAM es el corazón de la seguridad empresarial
Desde el simple usuario y contraseña hasta la autenticación federada con OAuth 2.0, la gestión de identidad y acceso evoluciona con las amenazas y las necesidades del negocio.