# Arquitectura del acceso privilegiado

> Qué piezas intervienen en una conexión privilegiada: consola, broker, almacén de secretos, Ironchip Connect y agente, y qué hace cada una.

URL: https://docs.ironchip.com/pam/conceptos/arquitectura/

Esta página describe el camino de una conexión privilegiada y las piezas que lo forman. Te sirve para planificar el despliegue y para explicar a tu equipo de red por qué no hay que abrir puertos.

## Un único camino hasta cada máquina

La persona pide acceso en la consola y se conecta con un ticket que solo sirve una vez. El broker retiene la conexión mientras Ironchip comprueba equipo, zona segura, riesgo y aprobación; solo entonces pone la credencial y empieza a grabar.

| Pieza                     | Qué hace                                                                                                        | Dónde está   |
| ------------------------- | --------------------------------------------------------------------------------------------------------------- | ------------ |
| Persona                   | Se conecta desde el navegador o con su cliente: `ssh`, `psql`, `mysql`, RDP, VNC, `kubectl`                     | Su equipo    |
| Consola de administración | Accesos, factores, aprobaciones, ubicación, riesgo y grabaciones. Es la misma consola de la plataforma          | Ironchip     |
| Broker de Ironchip PAM    | Único punto de entrada: retiene cada conexión, pone la credencial y graba la sesión                             | Ironchip     |
| Almacén de secretos       | Credenciales y secretos cifrados, cada compañía en su propio espacio. El broker los lee y no se queda copia     | Ironchip     |
| Agente (opcional)         | osquery informa de procesos, cuentas y exposición; el enforcer decide `sudo` y AppLocker y rota cuentas locales | Tus máquinas |
| Máquinas de destino       | Servidores, escritorios, bases de datos, Kubernetes y aplicaciones web                                          | Tu red       |

## Qué pasa en cada conexión

1. La persona pide acceso en la consola, en **My access**, con un motivo si la política lo exige.
2. Se conecta con un ticket de un solo uso, desde el navegador o con su propio cliente.
3. El broker retiene la conexión y pregunta a Ironchip: ventana o acceso permanente, dirección, factores y, si se aprueba al conectar, aprobación.
4. Si se admite, el broker lee la credencial del almacén. La persona nunca la ve.
5. El broker abre la sesión y la graba de principio a fin.
6. El agente informa y recibe reglas por HTTPS. Con Ironchip Connect, tu red no abre ningún puerto de entrada.

## Ironchip Connect

Ironchip Connect es un conector ligero que se instala dentro de cada sitio. Abre un túnel cifrado (WireGuard) de salida hacia Ironchip, y por ese túnel, y solo por él, llega el broker a tus máquinas.

- **Nada de entrada.** Tu red no publica ningún puerto: el conector solo abre conexiones salientes.
- **Tus rangos, sin conflictos.** Aunque otra compañía use las mismas direcciones privadas, cada sitio va por su propio túnel.
- **Directo cuando se puede.** Si la red lo permite, el túnel va directo; si no, pasa por un relé sin perder el cifrado.

## Almacén de secretos

El almacén guarda cifradas todas las credenciales que custodia Ironchip PAM, cada compañía en su propio espacio. La base de datos de la plataforma solo guarda la descripción de cada cosa, nunca el secreto. El mismo almacén sirve para:

- **Las credenciales de los recursos**, que el broker lee al conectar, y las contraseñas que Ironchip gestiona y [rota](https://docs.ironchip.com/pam/boveda/rotacion/).
- **[Checkouts y break-glass](https://docs.ironchip.com/pam/boveda/checkouts/)**, para entregar la contraseña de una máquina con motivo y registro, y rotarla al devolverla.
- **[Contraseñas del equipo](https://docs.ironchip.com/pam/boveda/contrasenas/).** Un gestor para lo que sí hay que conocer, como el router de una sede. Se comparte con personas y grupos y cada vez que alguien la revela queda registrado.
- **[Secretos para aplicaciones](https://docs.ironchip.com/pam/boveda/secretos/).** Compatible con la API de Vault: tu código y tu integración continua leen sus secretos de Ironchip sin cambiar una línea.
- **[Credenciales temporales](https://docs.ironchip.com/pam/boveda/credenciales-temporales/)** de AWS, Google Cloud, Azure y bases de datos, que se crean al pedirlas y desaparecen solas.

Consulta [Bóveda de credenciales](https://docs.ironchip.com/pam/conceptos/boveda/).

## Más información

- [Sesiones Just-in-Time](https://docs.ironchip.com/pam/conceptos/sesiones-jit/)
- [Bóveda de credenciales](https://docs.ironchip.com/pam/conceptos/boveda/)
- [Agente en las máquinas](https://docs.ironchip.com/pam/administracion/agente/)
- [Recursos](https://docs.ironchip.com/pam/administracion/recursos/)