Revisar cuenta por cuenta no escala
Con cinco cuentas, revisar a mano que todas cumplen la norma es tedioso pero posible. Con cincuenta, en tres nubes, es imposible. Y cada cuenta nueva que se crea es otra que revisar.
La estructura de cuentas que vimos antes tiene una propiedad que resuelve esto: las políticas se heredan.
De arriba abajo
Una política aplicada a la organización vale para todas las cuentas. Una aplicada a la unidad de cargas de trabajo vale para todas las cuentas de esa unidad. Y así hacia abajo. Por ejemplo:
- En la organización: solo regiones permitidas; registro de actividad activado y protegido.
- En las cargas de trabajo: cifrado obligatorio; etiquetas de dueño y entorno.
- En producción: ningún almacenamiento público; nada de usuarios locales.
- En los espacios aislados: límite de gasto mensual y borrado automático de lo que lleve semanas sin uso.
Una cuenta nueva hereda todas las reglas de su lugar en la jerarquía desde el primer minuto.
Impedir y detectar
Hay dos tipos de política, y hacen falta los dos:
Preventivas. Impiden la acción: no se puede crear un recurso en una región no permitida, la petición se rechaza. Son las más seguras, pero hay que usarlas para reglas muy claras, porque bloquean.
Detectivas. Permiten la acción, pero la detectan y la informan: un recurso sin etiquetas aparece en el informe de cumplimiento con su responsable. Son mejores para reglas con matices o en periodo de transición.
Lo habitual es empezar una regla como detectiva, medir cuánto se incumple, corregir lo existente y, cuando el incumplimiento es casi cero, convertirla en preventiva.
Junto a las reglas del código
Estas políticas actúan en la nube, sobre todo lo que existe. Las reglas como código actúan antes, sobre el plan de cada cambio. Las dos capas se complementan: la primera atrapa lo que se escapa de la segunda, incluido lo que alguien hace a mano en la consola.
Con todo esto en marcha, queda una pregunta que casi nadie se hace: ¿cómo se sabe si el gobierno funciona?
Cómo lo aplicamos: Gobierno Multicloud.