Guias
Revogação e contenção
Invalide um agente comprometido em todos os lugares de uma só vez e contenha o incidente em segundos, com registro.
Revogação em uma ação
Revogar uma identidade invalida suas credenciais e escopos em todos os sistemas conectados de uma só vez. Não há rotação por sistema para perseguir — a contenção é uma única chamada.
Na prática, o caminho de anomalia até revogação total é medido em segundos, não nas horas que leva para rotacionar chaves compartilhadas.
Quando revogar
Revogue diante de qualquer sinal de que um agente está comprometido ou se comportando mal: uma solicitação fora do escopo, uma taxa de ações anômala, ou a decisão de um patrocinador. A revogação é barata e reversível em efeito — reregistre ou reemita quando a situação for compreendida.
Como as credenciais são de curta duração, a revogação muitas vezes só antecipa uma expiração que estava a poucos minutos de distância de qualquer forma.
O que é registrado
Cada revogação registra no log de auditoria o gatilho, o ator, o carimbo de tempo, e os escopos retirados. O registro é pronto para atestação, então uma revisão de incidente começa a partir de fatos, não de reconstrução.
Depois da contenção
Uma vez contido, inspecione as ações recentes do agente no log de auditoria, aperte a política ou o escopo se necessário, e emita credenciais novas para trazê-lo de volta. Nada permanente sobrevive ao incidente.