Se debe restringir y gestionar la asignación y el uso de los derechos de acceso privilegiado.
Mantenemos una lista completa de usuarios con sus claves SSH públicas, gestionada mediante LinuxAid y Puppet para un control de acceso eficiente. Así, solo los SRE y administradores autorizados tienen acceso privilegiado, todo ello configurado mediante GitOps para garantizar la transparencia y la automatización.
El acceso a nuestros clústeres de Kubernetes se rige por un mecanismo RBAC que nos permite asignar permisos concretos a los usuarios según su rol en los distintos entornos (pruebas/QA, producción, desarrollo). Utilizamos Keycloak y Netbird para acceder a estos clústeres de k8s y a los servidores Linux.
Todos los demás servicios requieren autenticación a través de Keycloak, con la combinación habitual de usuario y contraseña junto con 2FA mediante YubiKeys. Esto añade una capa extra de protección para los datos sensibles.
Las credenciales sensibles de nuestro Gitea autoalojado se guardan de forma segura con Password store. Solo los usuarios cuyas claves GPG están autorizadas pueden descifrarlas, lo que reduce al mínimo el riesgo de filtración y mejora la seguridad general.