¿Qué es AAA?
AAA es un modelo de control de acceso que reúne tres funciones: Authentication, Authorization y Accounting. Se utiliza en redes y sistemas para verificar identidades, determinar qué puede hacer cada usuario y registrar información relacionada con sus sesiones o actividades.
¿Qué es AAA?
AAA significa Authentication, Authorization and Accounting: autenticación, autorización y accounting. Es un modelo utilizado para gestionar y controlar el acceso de identidades a redes, sistemas y servicios.
La autenticación comprueba quién es el usuario, la autorización determina qué puede hacer y el accounting registra información sobre la actividad. Protocolos como RADIUS y TACACS+ pueden implementar estas funciones.
¿Cómo funciona AAA?
AAA separa las tres funciones principales del control de acceso para que una infraestructura pueda verificar identidades, aplicar permisos y registrar actividad.
Authentication
Authentication o autenticación consiste en comprobar la identidad declarada por un usuario, dispositivo o servicio mediante las credenciales o mecanismos definidos.
Authorization
Authorization o autorización determina qué recursos, servicios u operaciones puede utilizar una identidad después de haber sido autenticada.
Accounting
Accounting registra información relacionada con las sesiones o actividades para facilitar auditoría, seguimiento, análisis y administración.
AAA responde tres preguntas diferentes
Una identidad autenticada no recibe automáticamente acceso ilimitado. AAA separa la comprobación de identidad, los permisos y el registro de actividad.
¿Quién eres?
La autenticación comprueba que la identidad presentada corresponde al usuario, equipo o servicio que intenta acceder.
¿Qué puedes hacer?
La autorización determina qué recursos, servicios o acciones están permitidos para una identidad autenticada.
¿Qué ocurrió?
El accounting registra información sobre las sesiones o actividades para facilitar auditoría y administración.
Las tres funciones de AAA
| Función | Pregunta | Objetivo | Ejemplo |
|---|---|---|---|
| Authentication | ¿Quién eres? | Verificar una identidad. | Usuario y contraseña. |
| Authorization | ¿Qué puedes hacer? | Determinar permisos. | Acceso a una VLAN. |
| Accounting | ¿Qué ocurrió? | Registrar actividad. | Inicio y cierre de sesión. |
| AAA | ¿Cómo controlamos el acceso? | Integrar las tres funciones. | RADIUS o TACACS+. |
¿Qué es Authentication en AAA?
Authentication o autenticación es la función encargada de comprobar la identidad que presenta un usuario, equipo o servicio antes de concederle acceso a un recurso.
Credenciales
La identidad puede demostrarse mediante diferentes mecanismos, como una contraseña, certificados, claves, tokens u otros métodos de autenticación.
Identidad
El resultado de la autenticación permite asociar una solicitud con una identidad concreta dentro del sistema.
No significa permisos
Autenticar correctamente a un usuario no significa que pueda acceder a todos los recursos. Esa decisión pertenece a la función de autorización.
¿Qué es Authorization en AAA?
Authorization o autorización determina qué recursos o acciones están disponibles para una identidad después de comprobar quién es.
Permisos
Los permisos permiten establecer qué operaciones puede realizar una identidad sobre determinados recursos.
Políticas
Las políticas pueden utilizar atributos de usuarios, grupos, dispositivos, servicios o conexiones para tomar decisiones de acceso.
Privilegios
En administración de redes, la autorización puede llegar a establecer distintos niveles de privilegios o permitir determinadas operaciones administrativas.
¿Qué es Accounting en AAA?
Accounting es la función que registra información relacionada con las sesiones, conexiones o actividades realizadas dentro de un sistema.
Inicio
Puede registrarse el comienzo de una sesión o conexión para saber cuándo una identidad comenzó a utilizar el servicio.
Actividad
Dependiendo de la solución, pueden registrarse determinados eventos o información relacionada con la utilización del servicio.
Cierre
El registro de finalización permite conocer cuándo terminó la sesión y puede complementarse con información sobre su duración.
¿Qué relación existe entre AAA y RADIUS?
RADIUS es uno de los protocolos utilizados para implementar funciones AAA. Puede centralizar autenticación, autorización y accounting para servicios de acceso a redes.
Wi-Fi
Un punto de acceso puede utilizar RADIUS para consultar la identidad de un usuario y obtener una respuesta sobre el acceso a la red.
VPN
Un servidor VPN puede consultar un servidor RADIUS para comprobar las credenciales y aplicar políticas de acceso remoto.
Accounting
RADIUS también contempla mensajes destinados al registro de información relacionada con las sesiones.
¿Qué relación existe entre AAA y TACACS+?
TACACS+ fue concebido como un protocolo AAA y actualmente se utiliza principalmente para la administración de dispositivos de red.
Autenticación
Puede comprobar la identidad de un administrador que intenta iniciar sesión en un dispositivo de red.
Autorización
Puede utilizar autorización detallada para determinar qué operaciones puede realizar un usuario durante una sesión administrativa.
Accounting
Puede registrar información sobre sesiones y acciones realizadas durante la administración de dispositivos.
¿Cómo utiliza AAA una organización?
Una arquitectura AAA permite centralizar diferentes partes del control de acceso y evitar que cada dispositivo o servicio tenga que administrar todas las funciones de manera independiente.
Identidad centralizada
Los usuarios pueden gestionarse desde una infraestructura común y utilizar sus identidades para acceder a diferentes recursos.
Políticas
Las reglas de acceso pueden determinar qué servicios están disponibles para cada usuario, grupo o dispositivo.
Auditoría
Los registros de accounting pueden aportar información útil para auditoría, análisis de incidentes y seguimiento administrativo.
¿AAA es lo mismo que autenticación?
No. La autenticación es solamente una de las tres funciones de AAA. El modelo completo también contempla autorización y accounting.
Autenticación
Comprueba la identidad que presenta el usuario, equipo o servicio.
Autorización
Determina qué recursos o acciones están permitidos para la identidad autenticada.
Accounting
Registra información relacionada con la actividad o las sesiones.
| Concepto | Pregunta | Función |
|---|---|---|
| Authentication | ¿Quién eres? | Verificar identidad. |
| Authorization | ¿Qué puedes hacer? | Controlar permisos. |
| Accounting | ¿Qué ocurrió? | Registrar actividad. |
¿Qué son las políticas AAA?
Las políticas AAA son reglas que determinan cómo debe procesarse una solicitud de acceso y qué condiciones se aplican a una identidad después de la autenticación.
Usuarios y grupos
Una política puede aplicarse de acuerdo con la identidad del usuario o la pertenencia a determinados grupos.
Servicios
Las condiciones pueden variar según el servicio solicitado, como acceso Wi-Fi, VPN, administración de dispositivos o acceso remoto.
Atributos
Dependiendo de la tecnología, las políticas pueden utilizar distintos atributos de la solicitud para determinar el resultado.
¿Por qué AAA es importante en ciberseguridad?
AAA permite separar diferentes decisiones de seguridad relacionadas con el acceso. Esta separación facilita administrar identidades, permisos y registros de actividad dentro de una infraestructura.
Menor dependencia de cuentas locales
Una organización puede centralizar determinadas funciones de acceso en lugar de administrar usuarios independientemente en cada dispositivo.
Control de privilegios
La autorización permite limitar las operaciones disponibles para cada identidad según las políticas establecidas.
Auditoría
Los registros de accounting pueden ayudar a investigar eventos, revisar sesiones y mantener trazabilidad administrativa.
¿Cómo se relaciona AAA con Active Directory y LDAP?
AAA no es un servicio de directorio. Es un modelo funcional que puede integrarse con fuentes de identidad y diferentes tecnologías de autenticación y autorización.
Active Directory
Active Directory puede proporcionar identidades, grupos y otra información que una solución de control de acceso puede utilizar para tomar decisiones.
LDAP
LDAP es un protocolo para acceder a servicios de directorio y puede formar parte de una arquitectura donde una solución necesita consultar información de usuarios o grupos.
AAA
La arquitectura AAA utiliza esa información junto con sus mecanismos de autenticación, autorización y accounting para controlar el acceso.
¿Dónde se utiliza AAA?
AAA se utiliza en distintos escenarios donde es necesario controlar el acceso a redes, servicios o dispositivos administrativos.
Wi-Fi empresarial
Puede utilizarse para gestionar la autenticación y las políticas de acceso de usuarios en redes inalámbricas corporativas.
VPN
Los sistemas de acceso remoto pueden utilizar arquitecturas AAA para autenticar usuarios y aplicar políticas antes de permitir una conexión.
Administración de red
Protocolos como TACACS+ permiten implementar AAA para controlar el acceso administrativo a routers, switches, firewalls y otros dispositivos.
¿AAA garantiza por sí solo una red segura?
No. AAA proporciona funciones para gestionar el acceso, pero la seguridad completa depende también de la protección de las identidades, los dispositivos, las redes, las aplicaciones y las políticas utilizadas.
Credenciales
Una identidad comprometida puede representar un riesgo aunque el sistema AAA funcione correctamente.
Privilegios
Las políticas mal configuradas pueden conceder más permisos de los necesarios a una identidad.
Infraestructura
Los servidores AAA y los dispositivos que dependen de ellos también deben protegerse frente a fallos, accesos no autorizados y otras amenazas.
¿Qué se necesita para implementar AAA?
Una arquitectura AAA requiere definir las identidades, los mecanismos de autenticación, las políticas de autorización, los registros de accounting y los sistemas que participarán en el proceso.
Fuente de identidad
Debe existir una fuente desde la cual puedan comprobarse las identidades, como una base de usuarios o un servicio de directorio.
Servidor AAA
Dependiendo de la tecnología, un servidor puede centralizar las funciones y recibir solicitudes procedentes de los sistemas de acceso.
Políticas
Deben establecerse las reglas que determinan cómo se autentican las identidades, qué permisos reciben y qué información se registra.
Clientes
Los dispositivos o servicios que controlan el acceso deben estar configurados para comunicarse con la infraestructura AAA.
AAA: conceptos principales
| Concepto | Significado | Ejemplo | Función |
|---|---|---|---|
| AAA | Authentication, Authorization and Accounting. | Control de acceso a redes. | Integrar autenticación, autorización y registro. |
| Authentication | Comprobación de identidad. | Usuario y contraseña. | Determinar quién es el usuario. |
| Authorization | Control de permisos. | Acceso a una red o recurso. | Determinar qué puede hacer la identidad. |
| Accounting | Registro de actividad. | Inicio y cierre de sesión. | Mantener información sobre el uso. |
| Protocolo AAA | Tecnología que transporta funciones AAA. | RADIUS o TACACS+. | Comunicar solicitudes entre clientes y servidores. |
Guías relacionadas sobre identidad y acceso
Elige el tema que quieras profundizar:
Preguntas frecuentes sobre AAA
AAA significa Authentication, Authorization and Accounting: autenticación, autorización y accounting. Es un modelo utilizado para controlar el acceso a redes, sistemas y servicios.
Authentication significa autenticación y consiste en comprobar la identidad presentada por un usuario, equipo o servicio.
Authorization significa autorización y determina qué recursos, servicios u operaciones puede utilizar una identidad después de autenticarse.
Accounting es la función que registra información relacionada con sesiones, conexiones o actividades para facilitar auditoría y administración.
No. La autenticación es solamente una de las tres funciones de AAA. También existen autorización y accounting.
RADIUS es uno de los protocolos utilizados para implementar funciones AAA y puede centralizar autenticación, autorización y accounting en servicios de acceso a redes.
TACACS+ es un protocolo AAA utilizado principalmente para administrar de forma centralizada el acceso a dispositivos de red y controlar operaciones administrativas.
No. AAA proporciona funciones de control de acceso, pero la seguridad depende también de las identidades, permisos, dispositivos, políticas, redes y demás controles de seguridad.
¿Qué es 802.1X?
Continúa aprendiendo sobre control de acceso a redes y descubre cómo 802.1X permite autenticar dispositivos y usuarios antes de conceder acceso a una red.
Ver guía →