Recursos

Un recurso (en la consola, target) es una máquina o un servicio al que el broker de Ironchip PAM abre sesiones: un servidor, un escritorio, una base de datos, un clúster de Kubernetes o una aplicación web interna. Esta página explica cómo darlos de alta y qué muestra la página de cada uno. Es para quien administra el acceso privilegiado.

Tipos de recurso

Protocolo	Para qué	Puerto por defecto	Métodos con los que entra el broker
SSH	Servidores Linux y Unix	22	Clave del broker, rol de IAM, contraseña guardada, gestionada por Ironchip
RDP	Escritorios y servidores Windows	3389	Contraseña guardada, gestionada por Ironchip
VNC	Cualquier escritorio que comparte pantalla	5900	Ninguno, contraseña guardada
PostgreSQL	Bases de datos PostgreSQL	5432	Rol de IAM, contraseña guardada, gestionada por Ironchip
MySQL	Bases de datos MySQL y MariaDB	3306	Rol de IAM, contraseña guardada, gestionada por Ironchip
Kubernetes	Clústeres, con kubectl	La URL de la API	Rol de IAM, token guardado, certificado de cliente guardado
HTTP	Aplicaciones web internas	La URL	El broker no guarda ninguna credencial

Cada tipo tiene su página: SSH, RDP y VNC, Bases de datos, Kubernetes y Aplicaciones web.

Antes de empezar

• Un sitio donde dejar el recurso.
• Un camino de red desde el broker hasta el recurso. Con Ironchip Connect, el conector del sitio. Consulta Arquitectura.
• El permiso PAM targets, sites and agents.

Dar de alta un recurso

1. Ve a PAM > Hosts > Targets, haz clic en Add target y elige el protocolo.

   

2. En Name, escribe el nombre con el que lo verán las personas, por ejemplo prod-linux-01. Solo letras, dígitos, puntos, guiones y guiones bajos, porque se teclea en las órdenes de ssh y psql. No se puede cambiar después: es el nombre con el que se archivan sus grabaciones.

3. En Site, elige el sitio.

4. En Where the broker connects, escribe Address y Port (en Kubernetes y HTTP, la URL). Es la dirección tal como la resuelve el broker, no tu portátil.

5. En The account on the far machine, escribe Username. En SSH y RDP puedes indicar un dominio para una cuenta de dominio.

6. En How the broker proves itself, elige el Method:

   Método	Qué significa
   The broker’s own key pair	Solo SSH. La máquina confía en la clave pública del broker y no se guarda ningún secreto tuyo.
   A stored password	La contraseña de una persona, cifrada en el almacén de secretos. Ironchip nunca la cambia.
   Managed by Ironchip: nobody types or sees it	Ironchip la genera, nadie la ha visto nunca y la cambia cada día y tras cada sesión. Consulta Rotación de contraseñas.
   A stored token / A stored client certificate	Kubernetes. Se guardan cifrados en el almacén de secretos.
   An IAM role	El broker se identifica con un rol de IAM y no se guarda ningún secreto.
   Nothing (the server asks for nothing)	VNC sin contraseña.

7. Sigue los pasos de Prepare the machine, si aparecen. Por ejemplo, con la clave del broker la consola muestra la línea para authorized_keys; con una contraseña de base de datos, las órdenes CREATE ROLE o CREATE USER.

   

8. Haz clic en Add target.

El recurso queda registrado en el broker, pero nadie llega todavía a él: añádelo a una política de destino y nombra esa política en un acceso.

RDP: quién inicia sesión en Windows

En RDP, Sign-in decide si todos entran ya con la sesión iniciada como la cuenta del recurso (The broker, as the account below) o si cada persona inicia sesión en la pantalla de Windows con su propia cuenta (Each person, on the Windows sign-in screen). En el segundo caso, la cuenta del recurso solo pasa la autenticación a nivel de red: usa una cuenta que pueda conectarse por Escritorio remoto y nada más.

La lista de recursos

Columna	Qué muestra
Target	El nombre (enlace a su página) y la dirección.
Connects as	La cuenta con la que entra el broker, y las demás cuentas de la máquina.
Authentication	Managed, Stored password, Broker key, IAM role, Stored token, Stored certificate o None.
Agent	online, offline, enforcer only o not installed, el sistema operativo y, si hay, los avisos de exposición.
Target policies	Las políticas de destino que lo incluyen. in no policy significa que ningún acceso llega a él.

En Options, en la fila de cada recurso:

• Edit target: cambia lo que no sea el nombre ni el protocolo. Al editar, los secretos guardados no se muestran: deja el campo vacío para conservarlos o escribe uno nuevo para sustituirlos.
• Install agent: instala el agente en la máquina.
• Remove agent y Remove enforcer: olvidan el agente o el enforcer de la máquina y su clave deja de valer. Para volver a darlos de alta hace falta un secreto nuevo de Install agent.
• Remove target: borra el recurso de la compañía y del broker, con sus cuentas adicionales. Antes hay que sacarlo de las políticas de destino que lo incluyen.

La página de un recurso

Haz clic en el nombre del recurso para abrir su página. Arriba muestra la dirección, la cuenta, el estado del agente y del enforcer y el número de avisos de exposición. Debajo, estas pestañas:

Pestaña	Qué contiene
Exposure	Formas de entrar en la máquina que no pasan por Ironchip. Consulta Exposición.
Accounts	Las cuentas con las que entra el broker y las que el agente encuentra en la máquina. Consulta Cuentas.
Agent	El estado de osquery y del enforcer: sistema, versión, si ve los procesos, última vez que informó y últimos avisos.
Machine	Lo que el agente sabe de la máquina: tiempo encendida, paquetes instalados, actualizaciones de Windows y si los discos están cifrados.
Credential	La rotación de su contraseña y su complejidad. Consulta Rotación de contraseñas.

Siguientes pasos

• Políticas de acceso: agrupa los recursos y limita lo que se puede hacer en ellos.
• Accesos: decide quién llega a ellos.