# Accesos

> Crea una integración de acceso privilegiado y decide en cada acceso qué grupo llega a qué máquinas, con qué cuenta, qué puede ejecutar y con qué factores y aprobaciones.

URL: https://docs.ironchip.com/pam/administracion/accesos/

Un acceso dice quién llega a qué máquinas y en qué condiciones. Esta página explica cómo crearlos. Es para quien administra el acceso privilegiado.

Los accesos privilegiados se configuran como los de cualquier otra aplicación de Ironchip: en **Integrations**, sobre una integración de tipo **Privileged access**. Cada acceso reúne:

| Qué                     | Dónde se define                                                                                                    |
| ----------------------- | ------------------------------------------------------------------------------------------------------------------ |
| Quién                   | Un grupo del directorio                                                                                            |
| Con qué cuenta llega    | La cuenta propia de cada máquina o una cuenta fija                                                                 |
| A qué máquinas          | [Políticas de destino](https://docs.ironchip.com/pam/administracion/politicas/#pol%C3%ADticas-de-destino)                                        |
| Qué puede ejecutar      | [Políticas de control](https://docs.ironchip.com/pam/administracion/politicas/#pol%C3%ADticas-de-control)                                        |
| Cómo demuestra quién es | Los factores del acceso: dispositivo, zona segura, y la [aprobación](https://docs.ironchip.com/pam/administracion/aprobadores/) si la pides |

## Antes de empezar

- Las [políticas de destino](https://docs.ironchip.com/pam/administracion/politicas/#pol%C3%ADticas-de-destino) con las máquinas.
- Si quieres aprobación, una [política de aprobación](https://docs.ironchip.com/pam/administracion/aprobadores/).
- Los permisos para crear aplicaciones y accesos, y **PAM targets, sites and agents** con Write.

## Crear la integración

1. Ve a **Integrations** y haz clic en **New application**.
2. En **Brokered remote access**, elige **Privileged access**.
3. Escribe el nombre (por ejemplo, `Infraestructura`) y, si quieres, un icono.
4. Haz clic en **Add**.

La integración agrupa accesos: no nombra ninguna máquina. En la lista de **Integrations** aparece con el tipo **PAM**.

## Añadir un acceso

1. En **Integrations**, busca la integración y haz clic en **Add**, en la columna **Add access**.
2. **Select a group**: elige el grupo de personas.
3. **Account on the machines**: elige con qué cuenta llegan.
   - **Each machine's own account · the one its target signs in as**: la cuenta propia de cada máquina. Es la opción por defecto.
   - **A specific account, on every machine**: escribe la cuenta en **Account**, por ejemplo `dba`. Cada máquina necesita esa cuenta añadida en su pestaña **Accounts**; una máquina que no la tenga rechaza la conexión. Consulta [Cuentas](https://docs.ironchip.com/pam/administracion/cuentas/).

   [Imagen: Paso Account on the machines del acceso, con la cuenta propia de cada máquina o una cuenta fija]

4. **What they reach**: marca una o varias políticas de destino.
5. **What they can do**: marca las políticas de control. **All allowed** viene marcada en los accesos nuevos. Si marcas varias, se revisan en el orden en que las marcas.
6. **Select authentication policies**: elige los factores. Cada fila combina factores con **AND** y las filas se combinan con **OR**. Por ejemplo, `Dispositivo de la empresa AND Zona segura de la oficina` o `Dispositivo de la empresa AND Aprobación de producción`. Para pedir aprobación, añade una política de aprobación como un factor más.
7. **Review**: comprueba el resumen y guarda.

Los factores se aplican a todas las máquinas del acceso. Si unas máquinas necesitan factores distintos que otras, crea otro acceso.

Para cambiar un acceso, ábrelo desde la página de la integración con **Configure access**.

## Acceso permanente o bajo solicitud

- **Sin política de aprobación** en ninguna combinación de factores, el acceso es **permanente**: las personas del grupo lo ven en **PAM > My access**, en **Yours whenever you need it**, y se conectan cuando quieren. Aun así, al conectar se les piden los factores.
- **Con una política de aprobación** en cualquier combinación, el acceso es **bajo solicitud**: la persona pide una ventana en **Request access** con un motivo, y alguien la aprueba. Consulta [Solicitar acceso](https://docs.ironchip.com/pam/usuarios/solicitar-acceso/).

En los dos casos, cada conexión se decide al conectar: el broker la retiene hasta que Ironchip comprueba que la persona tiene una ventana abierta o un acceso permanente, que su dirección está permitida y que confirma los factores del acceso. Consulta [Aprobación](https://docs.ironchip.com/pam/conceptos/aprobacion/).

## Más información

- [Aplicaciones](https://docs.ironchip.com/identidad/administracion/aplicaciones/): cómo se gestionan las integraciones y los accesos en general.
- [Zonas seguras](https://docs.ironchip.com/identidad/conceptos/zonas-seguras/) y [Políticas de autenticación](https://docs.ironchip.com/identidad/conceptos/politicas/).