Access Management, SSO, MFA y flujos de autenticación modernos.
La base del stack de protocolos de IAM: qué es un servicio de directorio, el modelo de datos LDAP (DIT, DN, entradas, objectClasses, esquema), los dominios y bosques de Active Directory, el paso a directorios cloud como Entra ID y Okta, la sincronización híbrida y por qué el directorio son las joyas de la corona de la empresa.
Cómo SAML 2.0 federa la identidad hacia aplicaciones web: los roles de IdP, SP y usuario y la confianza mediante metadatos XML, los flujos iniciados por el SP y por el IdP, los bindings Redirect, POST y Artifact, la anatomía de una aserción SAML, la firma y el cifrado, y cuándo SAML sigue siendo la opción correcta frente a OAuth y OIDC.
Cómo OAuth 2.0 permite que una app actúe en tu nombre sin tu contraseña: los cuatro roles, los access tokens y refresh tokens, los tipos de grant y cuándo usar cada uno (Authorization Code con PKCE, Client Credentials, Device Code, Refresh Token, y los obsoletos Implicit y de contraseña), los scopes y el consentimiento, y qué cambia OAuth 2.1. Y la idea clave: OAuth autoriza al cliente; no autentica al usuario.
Cómo OIDC convierte OAuth 2.0 en autenticación de verdad: el ID token (un JWT) frente al access token, los claims estándar (sub, iss, aud, exp, email), los endpoints de discovery y UserInfo, la validación con JWKS, los flujos Authorization Code, Hybrid e Implicit, y el logout RP-initiated, front-channel y back-channel.
Cómo SCIM 2.0 estandariza el aprovisionamiento de usuarios entre proveedores de identidad y aplicaciones: el modelo de recursos REST (User, Group, EnterpriseUser), los endpoints /Users, /Groups, /Bulk y /Schemas, las operaciones de alta, lectura, cambio, baja, búsqueda y PATCH, cómo SCIM mueve el ciclo JML y sustituye a los scripts a medida, y sus límites reales con los permisos granulares y los roles dinámicos.
Las piezas de las que dependen los protocolos: la estructura del JWT (cabecera, contenido, firma), los tokens autocontenidos frente a los opacos o de referencia, JWE para contenidos confidenciales, PASETO como alternativa más segura que evita la confusión de algoritmos, y cómo validar un token: firma, expiración, destinatario, emisor y revocación.
Los protocolos de identidad más allá de los cuatro principales: los tickets de Kerberos que siguen autenticando cada inicio de sesión de Active Directory, RADIUS detrás de la wifi corporativa y las VPN, los veteranos SOAP WS-Federation y WS-Trust que siguen vivos en los grandes ERP, y la vanguardia resistente al phishing de FIDO2, WebAuthn y CTAP.
Cómo NIST SP 800-63 convierte la pregunta '¿cuánta fuerza necesita esto?' en tres diales independientes, IAL (verificación de identidad), AAL (fuerza del autenticador) y FAL (aseguramiento de la federación), cada uno con tres niveles, y cómo combinarlos según el riesgo de cada caso (por ejemplo, IAL2 y AAL2 para la banca).
Hacia dónde van los protocolos de identidad: proteger microservicios y cargas de trabajo con OAuth token exchange (RFC 8693), DPoP (RFC 9449) y SPIFFE en la service mesh; evaluar el acceso de forma continua con CAEP y el Shared Signals Framework; y devolver a las personas el control de sus credenciales con credenciales verificables, DID y OpenID for Verifiable Credentials (OID4VCI y OID4VP).
Cómo se descompone toda decisión de acceso en tres etapas seguidas, identificación, autenticación y autorización, y por qué la auditoría es un pilar que las atraviesa a todas y no una cuarta etapa. Por el camino aclaramos la confusión de las '3 o 4 A'.
Las cinco categorías de factores de autenticación y sus formas concretas (contraseñas, TOTP, push, FIDO2, biometría, contexto), la diferencia entre SFA, 2FA y MFA, la autenticación escalonada (step-up) y la autenticación adaptativa basada en riesgo (RBA).
La mecánica técnica de las implementaciones de MFA más usadas, TOTP, códigos por SMS, push, FIDO2 y WebAuthn, passkeys y enlaces mágicos, con sus flujos, sus debilidades concretas y los patrones de recuperación. Y además el CAPTCHA, y por qué no es autenticación aunque sea un complemento útil.
Una mirada práctica a la autenticación biométrica: las modalidades principales, cómo funciona la comparación, las métricas de error FAR, FRR y EER y el compromiso del umbral, la detección de vida y la antisuplantación (PAD), cómo deben guardarse las plantillas, las restricciones legales y de privacidad (BIPA, artículo 9 del RGPD) y la biometría de comportamiento.
Cómo el inicio de sesión único permite que una sola autenticación abra muchas aplicaciones: la diferencia entre SSO web, empresarial y social, los beneficios concretos para la usabilidad y la seguridad, el radio de impacto de un proveedor de identidad central y por qué el cierre de sesión único (SLO) es tan difícil que a menudo se ignora sin decirlo.
Cómo se construyen y se defienden las sesiones web: los atributos de las cookies (HttpOnly, Secure, SameSite, Domain, Path), los tokens de sesión en el servidor frente a los JWT y sus compromisos, los tiempos de inactividad y absolutos, la reautenticación forzada, cómo revocar de verdad una sesión y los controles contra CSRF, XSS y el secuestro de sesión.
Zero Trust como estrategia de seguridad y no como producto: los principios de NIST SP 800-207 (nunca confíes, verifica siempre; asume que ya te han comprometido; mínimo privilegio), la arquitectura de punto de decisión, punto de aplicación y algoritmo de confianza, la confianza adaptativa continua que reevalúa la sesión durante toda su vida, por qué la identidad es el plano de control y los mitos más comunes.
El control de acceso discrecional explicado: el modelo en el que el dueño de un recurso decide quién más puede usarlo. La matriz de control de acceso de Lampson y sus dos proyecciones (ACL y capacidades), los permisos de ficheros de Linux y las ACL POSIX, las DACL de Windows, la debilidad del caballo de Troya que hace que el DAC tenga fugas y dónde sigue mandando el control discrecional, de los sistemas de ficheros a compartir en Google Drive.
El control de acceso obligatorio explicado: una política para todo el sistema, basada en etiquetas de seguridad, que ningún usuario, ni siquiera el dueño de un recurso, puede saltarse. Habilitaciones y clasificaciones, el modelo Bell-LaPadula (no leer arriba, no escribir abajo) que cierra el hueco del caballo de Troya que deja el DAC, el espejo de integridad de Biba y cómo SELinux, AppArmor y el Mandatory Integrity Control de Windows llevan un MAC de nivel militar a los sistemas operativos de todos los días.
El control de acceso basado en roles explicado: el modelo que gobierna el acceso en la mayoría de las organizaciones agrupando permisos en roles que corresponden a puestos. La indirección usuario-rol-permiso, el estándar NIST/INCITS 359 (básico, jerárquico, con restricciones), las jerarquías de roles y la segregación de funciones, la explosión de roles y la minería de roles, y cómo aparece el RBAC en los grupos de Active Directory, el IAM en la nube y Kubernetes, además del punto exacto en que su ceguera al contexto obliga a pasar a ABAC.
El control de acceso basado en atributos explicado: decidir el acceso a partir de atributos del sujeto, el recurso, la acción y el entorno evaluados en el momento de la petición. El modelo de NIST SP 800-162, cómo resuelve el ABAC los problemas de acceso condicional que el RBAC no puede expresar, el reto central de gobernar los atributos, la combinación de reglas y el problema de la consulta inversa, y por qué casi todos los sistemas modernos acaban siendo un híbrido de roles y atributos en lugar de elegir uno.
El control de acceso basado en políticas explicado: convertir la propia política de autorización en un artefacto explícito y externalizado, escrito en un lenguaje formal y evaluado por un motor dedicado, en lugar de repartido por el código de las aplicaciones. Cómo se relaciona el PBAC con el ABAC, el paso a una autorización externalizada y separada del código, el ciclo de vida de las políticas (escribir, probar, versionar y revisar) y cómo lo hacen realidad OPA y Rego, AWS Cedar y XACML.
El control de acceso basado en relaciones explicado: derivar los permisos de un grafo de relaciones entre entidades en lugar de roles o atributos sueltos. Cómo responde el ReBAC a '¿estás conectado con este recurso de la forma adecuada?', la tupla de relación y las reescrituras de usersets en el corazón de Google Zanzibar, cómo una comprobación de permiso se convierte en un recorrido de grafo, los problemas de coherencia y rendimiento que tuvo que resolver Zanzibar y el ecosistema que generó: OpenFGA, SpiceDB, Permify y Ory Keto.
El control de acceso de nueva generación explicado: el estándar del NIST (INCITS 565, nacido de la Policy Machine) que modela usuarios, atributos, objetos y políticas como un único grafo dirigido y calcula el acceso como un camino de privilegio a través de él. Cómo las asignaciones, asociaciones, prohibiciones y obligaciones del NGAC recogen RBAC, ABAC y ReBAC en un único marco formal, cómo se deduce una decisión del grafo, en qué se diferencia de XACML y por qué importan sus consultas de revisión eficientes y su evaluación determinista aunque la adopción siga siendo incipiente.
La arquitectura de referencia de XACML explicada desde cero: el patrón de cuatro piezas, punto de aplicación, punto de decisión, punto de información y punto de administración de políticas, sobre el que se construye casi cualquier sistema de autorización. Aprende cada papel con una analogía sencilla, sigue una petición por todo el flujo de decisión, entiende los conjuntos de políticas, las reglas, los algoritmos de combinación y los cuatro valores de decisión, y descubre por qué el XML de XACML se apagó mientras su arquitectura ganaba en todas partes.
Cómo escriben, prueban y despliegan los motores de autorización modernos la política que XACML dejó en abstracto. Un recorrido por Open Policy Agent y Rego, AWS Cedar y Casbin: sus lenguajes, sus modelos de decisión, sus patrones de despliegue, sus ecosistemas (Gatekeeper, Conftest, Verified Permissions) y cómo probarlos y elegir entre ellos, con el mismo ejemplo implementado en los tres.
Cómo el artículo de Google sobre Zanzibar convirtió la autorización en un problema de alcanzabilidad en un grafo, por qué eso resuelve el acceso con forma de relaciones (grupos anidados, carpetas compartidas, permisos delegados) que los motores de políticas planos llevan mal, y cómo OpenFGA, SpiceDB y Ory Keto sacaron el modelo fuera de Google, incluido el problema de coherencia del 'nuevo enemigo' y cómo lo resuelven los zookies.
El espectro de granularidad en el que cae toda decisión de autorización, desde los gateways perimetrales hasta las comprobaciones por relación: qué cuesta cada nivel en latencia, esfuerzo de modelado y radio de impacto, cómo las arquitecturas por capas combinan comprobaciones gruesas y finas, por qué comprobar elemento a elemento crea un problema de autorización N+1 y cómo elegir la granularidad adecuada para cada funcionalidad en lugar de por defecto.
Dónde se ejecuta de verdad el PDP: el patrón sidecar (Envoy ext_authz, OPA-Envoy, las políticas de autorización de Istio y Linkerd), las políticas en el borde de la CDN antes de que la petición llegue a tu infraestructura, WASM como la capa de portabilidad que permite ejecutar la misma política en todos esos sitios y qué cambia en la distribución de políticas y en el problema del nuevo enemigo cuando el motor de decisión se reparte entre regiones y nubes en lugar de vivir en un solo lugar.
Un caso de estudio completo: llevar una aplicación de cashback concreta desde una lista de funcionalidades hasta una autorización real y desplegada. Clasificar cada funcionalidad en el espectro de granularidad, diseñar sus roles RBAC y sus atributos ABAC, escribir la política real en Cedar, Casbin y OpenFGA para cada una, decidir dónde se ejecuta cada comprobación y probarlo todo en CI. Todos los marcos de este módulo aplicados a un sistema, de principio a fin.