Acceso privilegiado

El acceso privilegiado (PAM) de Ironchip permite que administradores y proveedores externos entren a servidores, bases de datos y clústeres de Kubernetes sin VPN, sin cuentas compartidas y sin que nadie conozca la contraseña. Esta sección sirve a quien lo administra (recursos, políticas, aprobaciones, bóveda) y a quien lo usa (solicitar, conectarse y sacar una contraseña).

Presentación del producto: acceso privilegiado (PAM) de Ironchip.

Qué cambia respecto a un acceso tradicional

• Sin contraseñas que compartir. Ironchip pone la credencial al conectar y puede cambiarla al terminar la sesión. La persona nunca la ve ni la teclea.
• Sin VPN ni puertos de entrada. Un conector dentro de tu red abre un túnel cifrado de salida hacia Ironchip: tus servidores no se publican en internet.
• Privilegios solo cuando hacen falta. Cada acceso es una ventana aprobada que se cierra sola.
• Una credencial robada no abre nada. Sin el equipo registrado, la zona segura y los factores del acceso, un usuario y una contraseña interceptados no sirven.
• Cada sesión queda grabada, con quién la pidió, quién la aprobó, desde dónde se conectó y qué ejecutó.
• Una bóveda que rota sola. Las credenciales privilegiadas están cifradas en un almacén por compañía, Ironchip cambia las que gestiona según un calendario y tras cada sesión, y en una emergencia se recuperan con break-glass, con motivo y registro.

Cómo funciona

1. La persona solicita acceso a un recurso en la consola, con un motivo si la política lo exige.
2. Si la política exige aprobación, un aprobador recibe la solicitud con el contexto del acceso y la aprueba o la rechaza, una vez al solicitar o en cada conexión.
3. La persona se conecta con un ticket de un solo uso, desde el navegador o con su cliente habitual (SSH, RDP, kubectl, un cliente de base de datos).
4. El broker de Ironchip PAM retiene la conexión mientras Ironchip comprueba la ventana, la dirección y los factores del acceso, como el dispositivo y la zona segura. Solo entonces pone la credencial y abre la sesión.
5. La sesión se graba de principio a fin. Al expirar la ventana, el acceso se cierra solo.

Para el detalle de cada pieza, consulta Arquitectura.

Recursos compatibles

Recurso	Cómo se conecta la persona
SSH	Navegador o cliente ssh
RDP y VNC	Navegador o cliente de escritorio remoto
Kubernetes	kubectl
PostgreSQL y MySQL	psql, mysql u otro cliente de base de datos
Aplicaciones web	Navegador

Frente a un PAM tradicional

	PAM tradicional	Ironchip PAM
Credenciales privilegiadas	Guardadas en una bóveda y compartidas por check-out	Nadie las ve: el broker las pone al conectar y puede rotarlas tras cada sesión
Emergencias	Cuenta de emergencia en un sobre	Break-glass con motivo, plazo y registro, y rotación al devolverla
Privilegios	Permanentes o por check-out	Just-in-Time: una ventana aprobada que se cierra sola
Acceso remoto	VPN y jump server	Navegador o cliente propio con un ticket de un solo uso
Si roban el inicio de sesión	Acceso a la bóveda y a todo lo que custodia	Sin el dispositivo, la zona segura y los factores del acceso, no abre
Red	Puertos de entrada publicados o VPN	Solo salidas: Ironchip Connect abre el túnel desde dentro
Despliegue	Proyecto de meses	Sobre el proveedor de identidad, el directorio y la consola que ya usas

Por dónde empezar

Puesta en marchaPlan, permisos y el orden en que se configura todo.

RecursosDar de alta servidores, escritorios, bases de datos y clústeres.

Bóveda de credencialesAlmacén cifrado, rotación automática y break-glass.

Solicitar accesoEl flujo desde el punto de vista del administrador o del proveedor.

Preguntas frecuentes

¿Cómo doy acceso a un proveedor externo sin VPN?

El proveedor pide acceso a una máquina concreta, un responsable lo aprueba y entra desde el navegador o con su propio cliente durante una ventana de tiempo. La sesión se graba y el acceso se cierra solo al terminar la ventana.

¿Hay que abrir puertos en el firewall?

No. Ironchip Connect se instala dentro de cada sitio y abre un túnel cifrado de salida hacia Ironchip. Los servidores no se publican en internet.

¿Se puede ver o cortar una sesión en directo?

Sí. Las sesiones de terminal y de escritorio se graban completas, se pueden ver mientras ocurren y terminar al instante desde PAM > Sessions. Consulta Sesiones y grabaciones.

¿Qué controla el agente de Ironchip?

En Linux decide qué comandos sudo se ejecutan; en Windows, qué programas se pueden abrir. Además rota las contraseñas de las cuentas locales que usa el broker e informa de los procesos de cada sesión y de las formas de entrar que no pasan por Ironchip. Es opcional: consulta Agente en las máquinas.

¿Ironchip tiene una bóveda de contraseñas?

Sí. Las credenciales privilegiadas se guardan cifradas en un almacén por compañía y nadie las ve: el broker las usa al conectar. Ironchip rota las que gestiona según un calendario por recurso y tras cada sesión. Si alguien necesita la contraseña de una máquina, la saca con un checkout o, en una emergencia, con un break-glass, y se rota al devolverla. El mismo almacén guarda contraseñas compartidas del equipo y los secretos de tus aplicaciones. Consulta Bóveda de credenciales.

¿Qué pasa si el acceso normal no funciona y hay una emergencia?

Los miembros del grupo de break-glass pueden sacar la contraseña de cualquier máquina que gestiona Ironchip sin la aprobación de nadie, durante un tiempo limitado y escribiendo el motivo. Queda registrado en PAM > Checkouts y la contraseña se cambia al devolverla o al vencer el plazo. Consulta Checkouts y break-glass.