# Acceso privilegiado

> Sesiones privilegiadas Just-in-Time con aprobación y grabación, y una bóveda cifrada que rota las credenciales y permite el break-glass en emergencias.

URL: https://docs.ironchip.com/pam/

El acceso privilegiado (PAM) de Ironchip permite que administradores y proveedores externos entren a servidores, bases de datos y clústeres de Kubernetes sin VPN, sin cuentas compartidas y sin que nadie conozca la contraseña. Esta sección sirve a quien lo **administra** (recursos, políticas, aprobaciones, bóveda) y a quien lo **usa** (solicitar, conectarse y sacar una contraseña).

Presentación del producto: [acceso privilegiado (PAM) de Ironchip](https://www.ironchip.com/pam).

## Qué cambia respecto a un acceso tradicional

- **Sin contraseñas que compartir.** Ironchip pone la credencial al conectar y puede cambiarla al terminar la sesión. La persona nunca la ve ni la teclea.
- **Sin VPN ni puertos de entrada.** Un conector dentro de tu red abre un túnel cifrado de salida hacia Ironchip: tus servidores no se publican en internet.
- **Privilegios solo cuando hacen falta.** Cada acceso es una ventana aprobada que se cierra sola.
- **Una credencial robada no abre nada.** Sin el equipo registrado, la zona segura y los factores del acceso, un usuario y una contraseña interceptados no sirven.
- **Cada sesión queda grabada**, con quién la pidió, quién la aprobó, desde dónde se conectó y qué ejecutó.
- **Una bóveda que rota sola.** Las credenciales privilegiadas están cifradas en un almacén por compañía, Ironchip cambia las que gestiona según un calendario y tras cada sesión, y en una emergencia se recuperan con break-glass, con motivo y registro.

## Cómo funciona

1. La persona **solicita** acceso a un recurso en la consola, con un motivo si la política lo exige.
2. Si la política exige aprobación, un aprobador recibe la solicitud con el contexto del acceso y la **aprueba** o la rechaza, una vez al solicitar o en cada conexión.
3. La persona se **conecta** con un ticket de un solo uso, desde el navegador o con su cliente habitual (SSH, RDP, `kubectl`, un cliente de base de datos).
4. El broker de Ironchip PAM retiene la conexión mientras Ironchip comprueba la ventana, la dirección y los factores del acceso, como el dispositivo y la zona segura. Solo entonces pone la credencial y abre la sesión.
5. La sesión se **graba** de principio a fin. Al expirar la ventana, el acceso se cierra solo.

Para el detalle de cada pieza, consulta [Arquitectura](https://docs.ironchip.com/pam/conceptos/arquitectura/).

## Recursos compatibles

| Recurso                                             | Cómo se conecta la persona                      |
| --------------------------------------------------- | ----------------------------------------------- |
| [SSH](https://docs.ironchip.com/pam/recursos/ssh/)                           | Navegador o cliente `ssh`                       |
| [RDP y VNC](https://docs.ironchip.com/pam/recursos/rdp/)                     | Navegador o cliente de escritorio remoto        |
| [Kubernetes](https://docs.ironchip.com/pam/recursos/kubernetes/)             | `kubectl`                                       |
| [PostgreSQL y MySQL](https://docs.ironchip.com/pam/recursos/bases-de-datos/) | `psql`, `mysql` u otro cliente de base de datos |
| [Aplicaciones web](https://docs.ironchip.com/pam/recursos/web/)              | Navegador                                       |

## Frente a un PAM tradicional

|                              | PAM tradicional                                     | Ironchip PAM                                                                   |
| ---------------------------- | --------------------------------------------------- | ------------------------------------------------------------------------------ |
| Credenciales privilegiadas   | Guardadas en una bóveda y compartidas por check-out | Nadie las ve: el broker las pone al conectar y puede rotarlas tras cada sesión |
| Emergencias                  | Cuenta de emergencia en un sobre                    | Break-glass con motivo, plazo y registro, y rotación al devolverla             |
| Privilegios                  | Permanentes o por check-out                         | Just-in-Time: una ventana aprobada que se cierra sola                          |
| Acceso remoto                | VPN y jump server                                   | Navegador o cliente propio con un ticket de un solo uso                        |
| Si roban el inicio de sesión | Acceso a la bóveda y a todo lo que custodia         | Sin el dispositivo, la zona segura y los factores del acceso, no abre          |
| Red                          | Puertos de entrada publicados o VPN                 | Solo salidas: Ironchip Connect abre el túnel desde dentro                      |
| Despliegue                   | Proyecto de meses                                   | Sobre el proveedor de identidad, el directorio y la consola que ya usas        |

## Por dónde empezar

## Preguntas frecuentes

### ¿Cómo doy acceso a un proveedor externo sin VPN?

El proveedor pide acceso a una máquina concreta, un responsable lo aprueba y entra desde el navegador o con su propio cliente durante una ventana de tiempo. La sesión se graba y el acceso se cierra solo al terminar la ventana.

### ¿Hay que abrir puertos en el firewall?

No. Ironchip Connect se instala dentro de cada sitio y abre un túnel cifrado de salida hacia Ironchip. Los servidores no se publican en internet.

### ¿Se puede ver o cortar una sesión en directo?

Sí. Las sesiones de terminal y de escritorio se graban completas, se pueden ver mientras ocurren y terminar al instante desde **PAM > Sessions**. Consulta [Sesiones y grabaciones](https://docs.ironchip.com/pam/administracion/sesiones/).

### ¿Qué controla el agente de Ironchip?

En Linux decide qué comandos `sudo` se ejecutan; en Windows, qué programas se pueden abrir. Además rota las contraseñas de las cuentas locales que usa el broker e informa de los procesos de cada sesión y de las formas de entrar que no pasan por Ironchip. Es opcional: consulta [Agente en las máquinas](https://docs.ironchip.com/pam/administracion/agente/).

### ¿Ironchip tiene una bóveda de contraseñas?

Sí. Las credenciales privilegiadas se guardan cifradas en un almacén por compañía y nadie las ve: el broker las usa al conectar. Ironchip rota las que gestiona según un calendario por recurso y tras cada sesión. Si alguien necesita la contraseña de una máquina, la saca con un checkout o, en una emergencia, con un break-glass, y se rota al devolverla. El mismo almacén guarda contraseñas compartidas del equipo y los secretos de tus aplicaciones. Consulta [Bóveda de credenciales](https://docs.ironchip.com/pam/conceptos/boveda/).

### ¿Qué pasa si el acceso normal no funciona y hay una emergencia?

Los miembros del grupo de break-glass pueden sacar la contraseña de cualquier máquina que gestiona Ironchip sin la aprobación de nadie, durante un tiempo limitado y escribiendo el motivo. Queda registrado en **PAM > Checkouts** y la contraseña se cambia al devolverla o al vencer el plazo. Consulta [Checkouts y break-glass](https://docs.ironchip.com/pam/boveda/checkouts/).