Comptes òrfenes: la fallada del cicle joiner-mover-leaver

El cicle joiner-mover-leaver (JML) és el procés de gestió d'identitats que cobreix tres moments: quan algú entra a l'organització (joiner), quan canvia de lloc (mover) i quan se'n va (leaver). Les comptes òrfenes, actives però sense cap persona al darrere que les necessiti, apareixen quasi sempre per una fallada en el tercer. I l'acumulació de permisos, per una fallada en el segon.

Des del suport tècnic es veu molt clar que l'alta és la part que sempre funciona: la persona nova arriba, necessita entrar i algú es queixa si no pot. La baixa no la reclama ningú.

Joiner: l'alta

El risc en l'alta és donar massa des del primer dia, normalment copiant els permisos d'«algú que fa el mateix». Aquest algú porta cinc anys acumulant accessos. El correcte és assignar per rol: grups que representen un lloc de treball, amb els seus permisos definits, en lloc de permisos individuals copiats.

La contrasenya inicial també importa: generada, d'un sol ús i amb registre d'MFA obligatori en el primer inici de sessió. Una contrasenya inicial estàndard del tipus «Empresa2026!» és una de les primeres coses que prova un atacant amb password spraying.

Mover: el canvi de lloc

És la fase que menys es gestiona i la que produeix l'acumulació de privilegis: algú passa de finances a comercial i s'emporta els accessos nous sense perdre els antics. Després de tres canvis de lloc, aquesta compte té accés a mig negoci, i és justament la que interessa comprometre.

La regla sana: un canvi de lloc és una baixa dels permisos del lloc anterior més una alta al nou, amb un període de transició fixat si cal, no una suma.

Leaver: la baixa

Una compte d'algú que ha marxat és perillosa per dos motius: ningú notarà si algú la fa servir, i la seva contrasenya pot estar en alguna filtració antiga. El que hauria de passar l'últim dia, o abans si la sortida no és amistosa:

1. Deshabilitar la compte i revocar les sessions actives. Deshabilitar sense revocar deixa vius durant un temps els tokens ja emesos.
2. Treure els mètodes d'MFA i els dispositius registrats.
3. Convertir la bústia en compartida o delegar-la si cal, en lloc de mantenir la compte activa «per veure el correu».
4. Revisar el que no passa pel directori: comptes locals en aplicacions SaaS sense SSO, claus d'API que va crear, accessos a proveïdors, secrets que coneixia.
5. Eliminar la compte passat el període de retenció definit.

El punt 4 és el que falla més. L'SSO ajuda molt aquí: si totes les aplicacions autentiquen contra Entra ID o el directori corporatiu, deshabilitar una compte talla l'accés a totes.

Com trobar les comptes òrfenes que ja existeixen

A Active Directory, comptes habilitades sense inici de sessió en 90 dies:

Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly |
  Where-Object { $_.Enabled } |
  Select-Object Name, SamAccountName, LastLogonDate

I el creuament més útil: exportar la llista d'usuaris actius del directori i comparar-la amb la d'empleats actuals de recursos humans. El que sigui a la primera i no a la segona necessita una explicació. Si l'explicació és «és una compte de servei», que tingui un responsable amb nom i cognoms.

Revisions d'accés periòdiques

Les revisions d'accés (access reviews) demanen a cada responsable que confirmi, cada cert temps, que el seu equip continua necessitant els accessos que té. Entra ID Governance les automatitza i pot retirar l'accés si ningú respon. Sense aquesta eina, un full de càlcul trimestral amb els grups sensibles ja és una millora enorme. Per als rols d'administració, el mateix s'aplica amb més freqüència, com explico a mínim privilegi a Entra ID.

Preguntes freqüents

Què és una compte òrfena?

Una compte activa que ja no correspon a cap persona o servei que la necessiti, normalment perquè el seu usuari va deixar l'organització o el servei es va retirar sense donar de baixa la identitat.

Què significa joiner-mover-leaver?

És el cicle de vida d'una identitat en una organització: alta en incorporar-se, ajust de permisos en canviar de lloc i baixa en marxar. És la base de qualsevol procés d'IAM.

Deshabilitar o eliminar la compte quan algú se'n va?

Deshabilitar el primer dia i eliminar després d'un període de retenció definit, per poder recuperar dades o investigar si cal.