Puesta en marcha

Esta página explica qué hace falta para empezar a usar Ironchip PAM, qué permisos de la consola necesita cada administrador y en qué orden se configura todo. Es para quien pone en marcha el acceso privilegiado en una compañía.

El plan

El acceso privilegiado forma parte del plan de la compañía. Si no está incluido, las páginas de PAM muestran Privileged access is not part of your company's plan con el botón Go to billing. Para añadirlo, ve a facturación o escribe a sales@ironchip.com.

PAM > Approvals y Authentication policies > Approval policies funcionan sin el plan, porque las aprobaciones también sirven para las aplicaciones con inicio de sesión único.

Permisos

Cada área de PAM tiene su propio recurso en Security > Permissions, así que puedes repartir la administración entre equipos. Consulta Roles y permisos.

Recurso de permiso	Qué permite
PAM targets, sites and agents	Sitios, recursos, sus cuentas, su rotación, agentes, inventario de cuentas, exposición y políticas de destino
PAM control and password policies	Políticas de control y complejidad de contraseñas de la compañía
PAM directory	Directorio de las cuentas de dominio
PAM secrets	Secretos de la compañía
PAM workloads	Workloads que leen los secretos
PAM cloud accounts and credentials	Cuentas de AWS, Google Cloud y Azure, y roles de credenciales temporales
PAM break-glass and checkouts	Quién puede romper el cristal y el registro de contraseñas entregadas
PAM approvals and sessions	Ver todas las solicitudes y decidirlas (Update), ver las sesiones en curso (Read) y terminarlas (Delete)
PAM recordings and live view	Ver las grabaciones y las sesiones en directo

Las personas que solo piden acceso y se conectan no necesitan ningún permiso: basta con que estén en el grupo de un acceso. Las contraseñas del equipo tampoco necesitan permiso.

Orden de configuración

1. Sitios. Dónde están las máquinas.
2. Recursos. Cada servidor, escritorio, base de datos o clúster, con la cuenta con la que entra el broker.
3. Políticas de destino. Conjuntos de recursos con nombre, como Producción Linux.
4. Políticas de control (opcional). Qué comandos sudo y qué programas de Windows se permiten, se rechazan o esperan aprobación.
5. Políticas de aprobación (opcional). Quién aprueba, cuántas personas y cuánto dura la ventana.
6. Accesos. En Integrations, una integración Privileged access con un acceso por grupo: a qué políticas de destino llega, qué puede hacer y con qué factores y aprobaciones.
7. Agente (opcional). En las máquinas donde quieras controlar sudo o los programas de Windows, rotar cuentas locales o ver los procesos de cada sesión.

Después, las personas del grupo ya pueden solicitar acceso y conectarse.

Menú de PAM

Menú	Para qué
Hosts > Sites	Sitios
Hosts > Targets	Recursos
Hosts > Accounts	Cuentas que los agentes encuentran en las máquinas
Hosts > Target policies	Políticas de destino
Hosts > Control policies	Políticas de control
Hosts > Password complexity	Complejidad de las contraseñas
Hosts > Directory	Directorio
Hosts > Exposure	Exposición: formas de entrar que no pasan por Ironchip
Secrets > Secrets	Secretos para aplicaciones
Secrets > Workloads	Workloads
Secrets > Credentials	Credenciales temporales
Approvals	Solicitudes y comandos que esperan aprobación
Checkouts	Checkouts y break-glass
My access	Solicitar acceso y conectarse
Passwords	Contraseñas del equipo
Sessions y Recordings	Sesiones y grabaciones