Aprobación en la conexión

Esta página explica cómo se aprueba un acceso privilegiado y qué diferencia hay entre aprobar al solicitar y aprobar al conectar. La necesitas si administras políticas o apruebas solicitudes.

La aprobación es un factor más

En Ironchip, la aprobación no es un ajuste aparte: es una política de aprobación que se añade a un acceso igual que un dispositivo o una zona segura. Por eso se combina con ellos. Por ejemplo, un acceso puede pedir Dispositivo AND Zona segura de la oficina o Dispositivo AND Aprobación, de modo que la aprobación compensa estar fuera de la oficina.

Un acceso sin aprobación en ninguna combinación es permanente: la persona se conecta cuando quiere. Uno con aprobación es bajo solicitud: la persona pide una ventana.

Los dos momentos de aprobación

	Al solicitar (When access is requested)	Al conectar (When the person connects)
Cuándo se pregunta	Al pedir el acceso	Cuando la persona abre la conexión
Qué abre	Una ventana de tiempo	Solo esa conexión
Varias conexiones	La persona entra cuantas veces quiera dentro de la ventana	Cada conexión espera su propia decisión
Qué ve el aprobador	La solicitud y su motivo	Alguien en la puerta, ahora, desde una dirección
Cuándo usarlo	Trabajo planificado	Máquinas donde cada entrada cuenta

Al solicitar. Una aprobación abre una ventana. Dentro de ella, cada conexión sigue pasando por el broker y por la comprobación de dirección y factores. La ventana se cierra sola al expirar.

Al conectar. La solicitud espera y no se pregunta a nadie hasta que la persona se conecta. El broker retiene la conexión mientras los aprobadores deciden, así que la pregunta que responden es “¿debería estar pasando esto ahora?”. Si nadie decide en 5 minutos, la conexión se rechaza. Una conexión nueva vuelve a preguntar.

Quórum y ventana

• Approvers required dice cuántas personas distintas tienen que aprobar. Con 0 la ventana se abre al pedirla.
• La ventana empieza con la última aprobación necesaria y dura lo que se pidió, hasta el máximo de la política.
• Si un acceso tiene varias políticas de aprobación, se aplica la más estricta.

Reglas

• Nadie aprueba su propia solicitud ni aprueba dos veces la misma.
• La ventana aprobada se cierra sola.
• Aprobar no salta ninguna comprobación: la dirección y los factores se evalúan en cada conexión.
• La aprobación también vale como factor para tus aplicaciones con inicio de sesión único (SSO).

Aprobación de comandos y programas

Si instalas el agente en las máquinas, las políticas de control llevan la decisión más allá de la conexión:

• En Linux, cada sudo pregunta a Ironchip: se permite, se rechaza explicando el motivo o se retiene hasta que alguien lo aprueba en PAM > Approvals. Queda registrado quién lo autorizó y por qué regla.
• En Windows, solo se pueden abrir los programas permitidos mientras dura la sesión, aunque los renombren.

Más información

• Aprobaciones: crear políticas de aprobación y decidir solicitudes.
• Accesos: dónde se añade la aprobación.