OAuth 2.0 cumplió más de una década acumulando parches, extensiones y lecciones dolorosas. La respuesta del IETF es doble: OAuth 2.1 consolida las buenas prácticas en un único documento, mientras DPoP, PAR y RAR cubren los agujeros del modelo original. En paralelo, GNAP se perfila como la siguiente generación sin buscar compatibilidad.
Los hyperscalers resolvieron el problema de identidad de workload antes de que SPIFFE fuera mainstream, cada uno a su manera pero con la misma receta: federación OIDC entre el cluster y el IAM cloud. Entender esa mecánica común es ver por qué IRSA, Workload Identity y Azure Workload Identity son, conceptualmente, tres dialectos de la misma idea.
Los Secrets de Kubernetes son codificación en base64, no cifrado, y el repositorio Git nunca fue sitio para credenciales. La gestión moderna de secretos pasa por motores dinámicos, sincronización declarativa y, sobre todo, por eliminar la existencia misma del secreto estático siempre que sea posible.
El control de admisión es la última línea de defensa antes de que un objeto se persista en Kubernetes. OPA Gatekeeper y Kyverno compiten por este espacio con filosofías opuestas: Rego frente a YAML nativo. La elección condiciona la ergonomía diaria del equipo de plataforma y la robustez de la postura de seguridad.
Zero Trust no es un producto ni una caja que se instala, es un modelo arquitectónico que asume la inexistencia del perímetro confiable y reemplaza la confianza implícita de la red por verificación continua basada en identidad, contexto y política. Entender sus orígenes, sus tenets y cómo se materializa con las primitivas modernas es lo que separa una implementación real de una etiqueta comercial.
SAML 2.0 consolidó la federación de identidad en el mundo empresarial con un modelo basado en XML, aserciones firmadas y metadatos intercambiados entre organizaciones. Dos décadas después, sigue siendo el protocolo dominante en B2B y SSO corporativo a pesar de la presión de OIDC, precisamente porque resolvió problemas que JSON y REST todavía no resuelven con la misma claridad.
Kerberos es el protocolo de autenticación de red basado en tickets y criptografía simétrica que lleva casi cuarenta años sosteniendo las redes corporativas. Resolvió el problema de autenticar sujetos en entornos hostiles sin enviar contraseñas por la red, y sigue siendo el núcleo silencioso de Active Directory. Entenderlo es imprescindible para cualquier arquitectura que conviva con sistemas empresariales heredados.
Un `find -uid 1001` que devolvía ficheros que no eran de nadie me llevó a un agujero de conejo: por qué el UID de un contenedor es el mismo entero que el de tus usuarios, cómo elegir un rango que no colisione, las dos trampas de `usermod` que te dejan el sistema a medias, y cómo los user namespaces lo arreglan de verdad. Con las pruebas para que las repitas.
En cadenas de servicios donde A llama a B y B llama a C, propagar la identidad del usuario sin romper el principio de mínimo privilegio exige algo más que reenviar tokens. RFC 8693 define Token Exchange como el mecanismo estándar para que un servicio solicite un nuevo token derivado, distinguiendo entre impersonación y delegación, y permitiendo traducir entre OAuth y SAML.
Debajo de mTLS, de SPIFFE, de los webhooks de admisión y de la comunicación con etcd hay una única infraestructura silenciosa: la PKI. Entender su jerarquía, sus modos de revocación y sus puntos de fallo es condición previa para operar cualquier cluster en producción sin sobresaltos.