# Aprobación en la conexión

> Cómo se aprueba una sesión privilegiada: los dos momentos de aprobación, el quórum, qué ve el aprobador y cómo se aprueban también los comandos sudo.

URL: https://docs.ironchip.com/pam/conceptos/aprobacion/

Esta página explica cómo se aprueba un acceso privilegiado y qué diferencia hay entre aprobar al solicitar y aprobar al conectar. La necesitas si administras políticas o apruebas solicitudes.

## La aprobación es un factor más

En Ironchip, la aprobación no es un ajuste aparte: es una [política de aprobación](https://docs.ironchip.com/pam/administracion/aprobadores/) que se añade a un acceso igual que un dispositivo o una zona segura. Por eso se combina con ellos. Por ejemplo, un acceso puede pedir `Dispositivo AND Zona segura de la oficina` **o** `Dispositivo AND Aprobación`, de modo que la aprobación compensa estar fuera de la oficina.

Un acceso sin aprobación en ninguna combinación es **permanente**: la persona se conecta cuando quiere. Uno con aprobación es **bajo solicitud**: la persona pide una ventana.

## Los dos momentos de aprobación

|                     | Al solicitar (**When access is requested**)                | Al conectar (**When the person connects**)       |
| ------------------- | ---------------------------------------------------------- | ------------------------------------------------ |
| Cuándo se pregunta  | Al pedir el acceso                                         | Cuando la persona abre la conexión               |
| Qué abre            | Una ventana de tiempo                                      | Solo esa conexión                                |
| Varias conexiones   | La persona entra cuantas veces quiera dentro de la ventana | Cada conexión espera su propia decisión          |
| Qué ve el aprobador | La solicitud y su motivo                                   | Alguien en la puerta, ahora, desde una dirección |
| Cuándo usarlo       | Trabajo planificado                                        | Máquinas donde cada entrada cuenta               |

**Al solicitar.** Una aprobación abre una ventana. Dentro de ella, cada conexión sigue pasando por el broker y por la comprobación de dirección y factores. La ventana se cierra sola al expirar.

**Al conectar.** La solicitud espera y no se pregunta a nadie hasta que la persona se conecta. El broker retiene la conexión mientras los aprobadores deciden, así que la pregunta que responden es "¿debería estar pasando esto ahora?". Si nadie decide en 5 minutos, la conexión se rechaza. Una conexión nueva vuelve a preguntar.

## Quórum y ventana

- **Approvers required** dice cuántas personas distintas tienen que aprobar. Con `0` la ventana se abre al pedirla.
- La ventana empieza con la última aprobación necesaria y dura lo que se pidió, hasta el máximo de la política.
- Si un acceso tiene varias políticas de aprobación, se aplica la más estricta.

## Reglas

- Nadie aprueba su propia solicitud ni aprueba dos veces la misma.
- La ventana aprobada se cierra sola.
- Aprobar no salta ninguna comprobación: la dirección y los factores se evalúan en cada conexión.
- La aprobación también vale como factor para tus aplicaciones con inicio de sesión único (SSO).

## Aprobación de comandos y programas

Si instalas el [agente en las máquinas](https://docs.ironchip.com/pam/administracion/agente/), las [políticas de control](https://docs.ironchip.com/pam/administracion/politicas/#pol%C3%ADticas-de-control) llevan la decisión más allá de la conexión:

- En **Linux**, cada `sudo` pregunta a Ironchip: se permite, se rechaza explicando el motivo o se retiene hasta que alguien lo aprueba en **PAM > Approvals**. Queda registrado quién lo autorizó y por qué regla.
- En **Windows**, solo se pueden abrir los programas permitidos mientras dura la sesión, aunque los renombren.

## Más información

- [Aprobaciones](https://docs.ironchip.com/pam/administracion/aprobadores/): crear políticas de aprobación y decidir solicitudes.
- [Accesos](https://docs.ironchip.com/pam/administracion/accesos/): dónde se añade la aprobación.