c8.2 Identidad única y ciclo de vida de usuarios federado
Asignar un identificador único a cada usuario y gestionar el ciclo de vida de las identidades (alta, cambios, baja) para garantizar trazabilidad de las acciones sobre componentes del sistema.
Requisito 8
Identify Users and Authenticate Access to System Components
Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.
8.2 Gestión de la identificación de usuarios a lo largo de su ciclo de vida
- 8.2.1 Unique ID assigned to each user before access Cubierto
- 8.2.2 Group/shared/generic IDs managed by exception only Tu responsabilidad
- 8.2.3 Service providers use unique auth factors per customer (SP only) Cubierto
- 8.2.4 Add/delete/modify of user IDs and auth factors is authorized and managed Cubierto
- 8.2.5 Access for terminated users is immediately revoked Cubierto
- 8.2.6 Inactive user accounts removed/disabled within 90 days Cubierto
- 8.2.7 Third-party remote-access accounts enabled only when needed and monitored Cubierto
- 8.2.8 Re-authentication required after 15 minutes idle Cubierto
Cómo implementarlo en AWS
Da a cada persona una identidad única y sin cuentas compartidas para que toda la actividad sea atribuible. En una sola cuenta de AWS esto es IAM nativo: un usuario IAM (o principal federado) por persona, prohibir credenciales compartidas y eliminar/deshabilitar las cuentas inactivas en un plazo de 90 días (8.2.6) usando el informe de credenciales de IAM más una comprobación y remediación de AWS Config. A medida que creces, evoluciona a IAM Identity Center federado con tu IdP corporativo (altas/bajas por SCIM); ten en cuenta que habilitar IAM Identity Center adopta AWS Organizations. Atribuye cada acción en CloudTrail a la identidad única.
Implementación práctica
Cómo se implementa este control en cada arquitectura de referencia:
Ruta IAM nativa para una sola cuenta: una identidad única por persona, sin cuentas compartidas y eliminación automatizada de cuentas inactivas en 90 días, lista para evolucionar a federación más adelante.
- Crea un usuario IAM (o principal federado) único por persona y prohíbe las cuentas compartidas, para que cada acción sea atribuible.Acceso a la cuenta
IAM - Detecta cuentas/credenciales inactivas con el informe de credenciales de IAM, y deshabilítalas o elimínalas en un plazo de 90 días (8.2.6) con la regla gestionada de AWS Config iam-user-unused-credentials-check y remediación automática (o un Lambda programado).Ciclo de vida de identidad IAM
AWS Config - Asegura que CloudTrail atribuya cada acción a la identidad única para la rendición de cuentas.Registro de la cuenta
CloudTrail - Evolución: cuando superes los usuarios IAM locales, federa con tu IdP corporativo mediante IAM Identity Center (altas/bajas por SCIM). Ten en cuenta que esto habilita AWS Organizations.Ciclo de vida de identidad (a medida que escalas)
IAM Identity Center
Cómo validar: No hay cuentas compartidas, cada persona tiene una identidad única, las cuentas inactivas se deshabilitan/eliminan en 90 días (informe de credenciales + remediación de Config), y CloudTrail muestra acciones ligadas a identidades únicas.
Evita: Un login «ops» compartido usado por varias personas, o dejar usuarios IAM inactivos activos indefinidamente. Da a cada persona una identidad única y automatiza la eliminación de cuentas inactivas.
Una sola fuente de identidad federada gobierna los IDs únicos en todas las cuentas, y el desaprovisionamiento elimina el acceso en todas a la vez.
- Usa IAM Identity Center + IdP vía SCIM como la única fuente de identidades únicas en todas las cuentas.Cuenta de identidad/seguridad → OU de PCI IAM Identity Center
AWS Organizations - Desaprovisiona en el IdP para que el acceso se elimine de cada cuenta simultáneamente.Ciclo de vida de identidad IAM Identity Center
- Preserva la atribución única en el CloudTrail central (trail de organización hacia la cuenta de log-archive).Cuenta de log-archive CloudTrail
Amazon S3
Cómo validar: Un solo IdP gobierna las identidades en toda la organización, un usuario de prueba que sale pierde el acceso en todas las cuentas a la vez, y el CloudTrail de organización atribuye las acciones de forma única.
Evita: Directorios de usuarios separados por cuenta. El desaprovisionamiento se omite en algún lado; centraliza la identidad con un IdP + SCIM.
Validación PCI
Procedimientos de prueba
- Entrevistar al personal y examinar los registros de auditoría para verificar que cada usuario tiene un ID único y que el acceso puede atribuirse de forma única a individuos (8.2.1.a, 8.2.1.b).
- Examinar las listas de cuentas y las políticas para verificar que las credenciales compartidas solo se usan de forma excepcional y se gestionan en consecuencia (8.2.2.a, 8.2.2.b).
- Examinar las fuentes de información de usuarios dados de baja y las listas de acceso para verificar que los IDs de usuarios cesados se desactivan o eliminan (8.2.5.a).
- Examinar el proceso de cuentas inactivas para verificar que las cuentas inactivas durante más de 90 días se eliminan o deshabilitan (8.2.6).
Evidencia en AWS
- Identidades IAM únicas (o federación con el IdP) y ausencia de cuentas compartidas.
- Informe de credenciales de IAM y resultados de la regla de AWS Config iam-user-unused-credentials-check que muestren cuentas inactivas eliminadas/deshabilitadas en 90 días (8.2.6).
- Proceso de aprovisionamiento/desaprovisionamiento (SCIM, una vez federado) y evidencia de revocación oportuna.
- Eventos de CloudTrail atribuibles a identidades únicas.
Enfoque personalizado
Requiere un análisis de riesgo dirigido (Req 12.3.2).
Objetivo del enfoque personalizado
- 8.2 — Todas las acciones de todos los usuarios son atribuibles a un individuo.
Servicios AWS
AWS IAM AWS Config AWS IAM Identity Center AWS CloudTrail Recursos de aprendizaje
Referencias
- PCI DSS v4.0.1 Requirement 8.2