# Checkouts y break-glass > Entrega la contraseña de una máquina gestionada con motivo y registro, permite el break-glass en emergencias y rótala en cuanto se devuelve. URL: https://docs.ironchip.com/pam/boveda/checkouts/ Esta página explica cómo puede una persona sacar la contraseña de una máquina que gestiona Ironchip, en el día a día (checkout) y en una emergencia (break-glass), y qué queda registrado. Es para quien administra el acceso privilegiado y para quien necesita la contraseña. Lo normal es no necesitarla: el broker pone la credencial al conectar y la persona nunca la ve. El checkout es para cuando hay que usar la máquina sin pasar por el broker, por ejemplo desde su consola física o con la red caída. ## Cómo funciona | | Checkout | Break-glass | | ------------ | ----------------------------------------------------------------- | ------------------------------------------------------------------ | | Quién puede | Quien tiene una ventana de acceso aprobada que llega a la máquina | Los miembros del grupo de break-glass | | Qué máquinas | Las de esa ventana | Cualquier máquina de la compañía cuya contraseña gestiona Ironchip | | Aprobación | La de la ventana | Ninguna | | Confirmación | Los factores del acceso, antes de mostrar la contraseña | No se pide | | Motivo | Obligatorio | Obligatorio | | Hasta cuándo | Hasta que se devuelve o se cierra la ventana | Hasta que se devuelve o vence el plazo de break-glass | | Al terminar | La contraseña se rota | La contraseña se rota | Solo se entrega una contraseña que gestiona Ironchip (**Managed by Ironchip**, que rota): de servidores SSH, escritorios RDP y bases de datos PostgreSQL y MySQL. Una contraseña guardada por una persona no se entrega nunca. Consulta [Rotación de contraseñas](https://docs.ironchip.com/pam/boveda/rotacion/). Mientras la contraseña está fuera, nada la cambia: ni la rotación programada ni la de después de cada sesión. En una cuenta de dominio, eso vale para todos los recursos que entran con ella. ## Configurar quién puede romper el cristal Por defecto nadie puede usar el break-glass. 1. Ve a **PAM > Checkouts**. [Imagen: Página Checkouts con el apartado Who may break the glass y el registro de contraseñas entregadas] 2. En **Who may break the glass**, elige el grupo en **Group**. Solo aparecen los grupos de tipo colectivo. 3. En **For**, elige cuánto dura cada break-glass: de **15 minutes** a **8 hours**. Por defecto, **1 hour**. 4. Haz clic en **Save**. Para retirar el permiso, haz clic en **Let nobody**. Las contraseñas que ya están fuera siguen fuera hasta que se devuelven o vence su plazo. :::tip Usa un grupo pequeño y dedicado, por ejemplo las guardias de sistemas, y no el de todos los administradores. El break-glass no pide aprobación ni factores: su control es quién está en el grupo, el motivo que se escribe y el registro. ::: ## Sacar la contraseña de una máquina Para quien la necesita, desde **PAM > My access**: 1. En la fila de una ventana abierta, haz clic en **Password** junto a la máquina. 2. En **Why**, escribe el motivo (hasta 500 caracteres). Es lo primero que leerá quien revise el registro. 3. Haz clic en **Check out**. 4. Si el acceso pide factores, confírmalo como te indique el aviso: en el móvil, con el código que te llega por SMS, en el correo o con tu tarjeta. 5. Copia la contraseña. Se muestra **una sola vez**, con la forma de entrar (`ssh usuario@máquina` o la máquina y la cuenta de RDP). Las contraseñas que tienes aparecen en **Passwords you have**. Cuando termines, haz clic en **Give it back**: la contraseña se cambia y la que copiaste deja de funcionar. Si no la devuelves, se cambia al cerrarse la ventana. ## Romper el cristal Si estás en el grupo de break-glass, **PAM > My access** muestra el apartado **Break the glass**: 1. En **Machine**, elige la máquina. 2. Haz clic en **Break the glass**. 3. En **Why**, explica la emergencia, por ejemplo `El broker está caído y los pagos fallan`. 4. Haz clic en **Break the glass** y copia la contraseña. 5. Cuando termines, haz clic en **Give it back now** o en **Give it back**. Si no la devuelves, se cambia al vencer el plazo configurado. ## Registro **PAM > Checkouts** lista cada contraseña entregada: | Columna | Qué muestra | | ------------ | ---------------------------------------------------------------------------------------------------- | | **When** | Cuándo se sacó y hasta cuándo valía. | | **Who** | La persona, con su nombre y su correo en ese momento. | | **Machine** | La máquina. | | **How** | **Glass broken** (break-glass) o **Approved window** (checkout dentro de una ventana). | | **Why** | El motivo que escribió. | | **Password** | **Out** (fuera), **Given back** o **Ended** (a punto de cambiarse) y **Changed since** (ya no vale). | Si el cambio de contraseña falla, el motivo aparece en rojo bajo el estado y Ironchip lo reintenta cada minuto. Los registros se conservan aunque la máquina cambie de contraseña. ## Permisos - Configurar el break-glass y ver **PAM > Checkouts**: **PAM break-glass and checkouts** (Read para ver, Update para cambiar). - Sacar una contraseña o romper el cristal no necesita ningún permiso de la consola: basta con la ventana de acceso o con estar en el grupo. ## Más información - [Bóveda de credenciales](https://docs.ironchip.com/pam/conceptos/boveda/) - [Solicitar acceso](https://docs.ironchip.com/pam/usuarios/solicitar-acceso/): cómo se abre una ventana.