Checkouts y break-glass

Esta página explica cómo puede una persona sacar la contraseña de una máquina que gestiona Ironchip, en el día a día (checkout) y en una emergencia (break-glass), y qué queda registrado. Es para quien administra el acceso privilegiado y para quien necesita la contraseña.

Lo normal es no necesitarla: el broker pone la credencial al conectar y la persona nunca la ve. El checkout es para cuando hay que usar la máquina sin pasar por el broker, por ejemplo desde su consola física o con la red caída.

Cómo funciona

	Checkout	Break-glass
Quién puede	Quien tiene una ventana de acceso aprobada que llega a la máquina	Los miembros del grupo de break-glass
Qué máquinas	Las de esa ventana	Cualquier máquina de la compañía cuya contraseña gestiona Ironchip
Aprobación	La de la ventana	Ninguna
Confirmación	Los factores del acceso, antes de mostrar la contraseña	No se pide
Motivo	Obligatorio	Obligatorio
Hasta cuándo	Hasta que se devuelve o se cierra la ventana	Hasta que se devuelve o vence el plazo de break-glass
Al terminar	La contraseña se rota	La contraseña se rota

Solo se entrega una contraseña que gestiona Ironchip (Managed by Ironchip, que rota): de servidores SSH, escritorios RDP y bases de datos PostgreSQL y MySQL. Una contraseña guardada por una persona no se entrega nunca. Consulta Rotación de contraseñas.

Mientras la contraseña está fuera, nada la cambia: ni la rotación programada ni la de después de cada sesión. En una cuenta de dominio, eso vale para todos los recursos que entran con ella.

Configurar quién puede romper el cristal

Por defecto nadie puede usar el break-glass.

1. Ve a PAM > Checkouts.

   

2. En Who may break the glass, elige el grupo en Group. Solo aparecen los grupos de tipo colectivo.

3. En For, elige cuánto dura cada break-glass: de 15 minutes a 8 hours. Por defecto, 1 hour.

4. Haz clic en Save.

Para retirar el permiso, haz clic en Let nobody. Las contraseñas que ya están fuera siguen fuera hasta que se devuelven o vence su plazo.

Consejo

Usa un grupo pequeño y dedicado, por ejemplo las guardias de sistemas, y no el de todos los administradores. El break-glass no pide aprobación ni factores: su control es quién está en el grupo, el motivo que se escribe y el registro.

Sacar la contraseña de una máquina

Para quien la necesita, desde PAM > My access:

1. En la fila de una ventana abierta, haz clic en Password junto a la máquina.
2. En Why, escribe el motivo (hasta 500 caracteres). Es lo primero que leerá quien revise el registro.
3. Haz clic en Check out.
4. Si el acceso pide factores, confírmalo como te indique el aviso: en el móvil, con el código que te llega por SMS, en el correo o con tu tarjeta.
5. Copia la contraseña. Se muestra una sola vez, con la forma de entrar (ssh usuario@máquina o la máquina y la cuenta de RDP).

Las contraseñas que tienes aparecen en Passwords you have. Cuando termines, haz clic en Give it back: la contraseña se cambia y la que copiaste deja de funcionar. Si no la devuelves, se cambia al cerrarse la ventana.

Romper el cristal

Si estás en el grupo de break-glass, PAM > My access muestra el apartado Break the glass:

1. En Machine, elige la máquina.
2. Haz clic en Break the glass.
3. En Why, explica la emergencia, por ejemplo El broker está caído y los pagos fallan.
4. Haz clic en Break the glass y copia la contraseña.
5. Cuando termines, haz clic en Give it back now o en Give it back.

Si no la devuelves, se cambia al vencer el plazo configurado.

Registro

PAM > Checkouts lista cada contraseña entregada:

Columna	Qué muestra
When	Cuándo se sacó y hasta cuándo valía.
Who	La persona, con su nombre y su correo en ese momento.
Machine	La máquina.
How	Glass broken (break-glass) o Approved window (checkout dentro de una ventana).
Why	El motivo que escribió.
Password	Out (fuera), Given back o Ended (a punto de cambiarse) y Changed since (ya no vale).

Si el cambio de contraseña falla, el motivo aparece en rojo bajo el estado y Ironchip lo reintenta cada minuto. Los registros se conservan aunque la máquina cambie de contraseña.

Permisos

• Configurar el break-glass y ver PAM > Checkouts: PAM break-glass and checkouts (Read para ver, Update para cambiar).
• Sacar una contraseña o romper el cristal no necesita ningún permiso de la consola: basta con la ventana de acceso o con estar en el grupo.

Más información

• Bóveda de credenciales
• Solicitar acceso: cómo se abre una ventana.