Arquitectura del acceso privilegiado

Esta página describe el camino de una conexión privilegiada y las piezas que lo forman. Te sirve para planificar el despliegue y para explicar a tu equipo de red por qué no hay que abrir puertos.

Un único camino hasta cada máquina

La persona pide acceso en la consola y se conecta con un ticket que solo sirve una vez. El broker retiene la conexión mientras Ironchip comprueba equipo, zona segura, riesgo y aprobación; solo entonces pone la credencial y empieza a grabar.

Pieza	Qué hace	Dónde está
Persona	Se conecta desde el navegador o con su cliente: `ssh`, `psql`, `mysql`, RDP, VNC, `kubectl`	Su equipo
Consola de administración	Accesos, factores, aprobaciones, ubicación, riesgo y grabaciones. Es la misma consola de la plataforma	Ironchip
Broker de Ironchip PAM	Único punto de entrada: retiene cada conexión, pone la credencial y graba la sesión	Ironchip
Almacén de secretos	Credenciales y secretos cifrados, cada compañía en su propio espacio. El broker los lee y no se queda copia	Ironchip
Agente (opcional)	osquery informa de procesos, cuentas y exposición; el enforcer decide `sudo` y AppLocker y rota cuentas locales	Tus máquinas
Máquinas de destino	Servidores, escritorios, bases de datos, Kubernetes y aplicaciones web	Tu red

Qué pasa en cada conexión

La persona pide acceso en la consola, en My access, con un motivo si la política lo exige.
Se conecta con un ticket de un solo uso, desde el navegador o con su propio cliente.
El broker retiene la conexión y pregunta a Ironchip: ventana o acceso permanente, dirección, factores y, si se aprueba al conectar, aprobación.
Si se admite, el broker lee la credencial del almacén. La persona nunca la ve.
El broker abre la sesión y la graba de principio a fin.
El agente informa y recibe reglas por HTTPS. Con Ironchip Connect, tu red no abre ningún puerto de entrada.

Ironchip Connect

Ironchip Connect es un conector ligero que se instala dentro de cada sitio. Abre un túnel cifrado (WireGuard) de salida hacia Ironchip, y por ese túnel, y solo por él, llega el broker a tus máquinas.

Nada de entrada. Tu red no publica ningún puerto: el conector solo abre conexiones salientes.
Tus rangos, sin conflictos. Aunque otra compañía use las mismas direcciones privadas, cada sitio va por su propio túnel.
Directo cuando se puede. Si la red lo permite, el túnel va directo; si no, pasa por un relé sin perder el cifrado.

Almacén de secretos

El almacén guarda cifradas todas las credenciales que custodia Ironchip PAM, cada compañía en su propio espacio. La base de datos de la plataforma solo guarda la descripción de cada cosa, nunca el secreto. El mismo almacén sirve para:

Las credenciales de los recursos, que el broker lee al conectar, y las contraseñas que Ironchip gestiona y rota.
Checkouts y break-glass, para entregar la contraseña de una máquina con motivo y registro, y rotarla al devolverla.
Contraseñas del equipo. Un gestor para lo que sí hay que conocer, como el router de una sede. Se comparte con personas y grupos y cada vez que alguien la revela queda registrado.
Secretos para aplicaciones. Compatible con la API de Vault: tu código y tu integración continua leen sus secretos de Ironchip sin cambiar una línea.
Credenciales temporales de AWS, Google Cloud, Azure y bases de datos, que se crean al pedirlas y desaparecen solas.

Consulta Bóveda de credenciales.

Más información

¿Te ha resultado útil esta página?