Un desarrollador pide admin permanente en el clúster de producción «para depurar más rápido». ¿Qué le ofreces?

Es una decisión de mínimo privilegio disfrazada de petición de ayuda. El candidato debe equilibrar desbloquear al desarrollador frente al riesgo permanente que crea el admin permanente — y encontrar la opción que haga ambas cosas.

Por qué el acceso justo-a-tiempo es la respuesta correcta

El privilegio permanente es el problema; el acceso bajo demanda es la solución. El acceso justo-a-tiempo (JIT) concede los permisos concretos que el desarrollador necesita, solo durante la ventana en que los necesita, con cada acción registrada. Cuando el temporizador expira, el acceso se evapora — no hay una súper-cuenta latente esperando a ser víctima de phishing, filtrada o abusada meses después. Combinado con el acotado (solo los namespaces, verbos o recursos relevantes para la tarea de depuración), satisface el mínimo privilegio sin dejar de desbloquear el trabajo. El desarrollador depura; la organización carga con casi ningún riesgo a largo plazo.

Por qué los distractores son incorrectos

• Conceder cluster-admin permanente. Es la violación de manual del mínimo privilegio. Una credencial permanente en modo dios amplía drásticamente el radio de impacto: compromete esa única cuenta y el atacante posee producción. Además se pudre — concedida «temporalmente», olvidada para siempre.
• Denegar todo acceso; ticket para todo. Teatro de seguridad que castiga el trabajo legítimo. Cuando la vía sancionada es demasiado lenta, la gente construye apaños paralelos — credenciales copiadas, canales alternativos, controles desactivados — menos seguros que un flujo JIT gobernado.
• Compartir las credenciales de la cuenta de servicio admin. La peor opción para la forense. Las credenciales compartidas significan que las acciones no pueden atribuirse a un individuo: pierdes la rendición de cuentas, rompes los rastros de auditoría y no puedes revocar a una persona sin afectar a todas.

Qué está sondeando el entrevistador

Quiere ver que recurres por reflejo al mínimo privilegio y rechazas el admin permanente, pero también que eres pragmático — no solo dices «no», ofreces una vía viable. La señal es JIT más acotado más registro de auditoría, y el reconocimiento explícito de que las credenciales compartidas y las negaciones totales fallan cada una a su manera.