Bóveda de credenciales

Esta página explica qué es la bóveda de credenciales de Ironchip PAM: el repositorio centralizado y cifrado donde viven las credenciales privilegiadas de tu compañía, cómo se rotan y cómo se recuperan, de forma controlada y auditada, cuando hay una emergencia. Te sirve si administras el acceso privilegiado o si tienes que responder a una auditoría.

Un único almacén cifrado

Todas las credenciales que Ironchip PAM custodia están en el almacén de secretos de Ironchip, cifradas y separadas por compañía: cada compañía tiene su propio espacio y ninguna puede leer el de otra. La base de datos de la plataforma solo guarda la descripción de cada cosa (nombre, dirección, cuenta), nunca el secreto.

Qué guarda	Quién lo usa	Quién puede verlo	Dónde se gestiona
Credenciales de los recursos	El broker, al abrir cada sesión	Nadie. Una contraseña gestionada solo sale con un checkout	Recursos
Contraseñas que Ironchip gestiona y rota	El broker y, en un checkout, quien la saca	Nadie la ha visto nunca; un checkout o un break-glass la entrega	Rotación de contraseñas
Contraseñas del equipo	Personas (el router de una sede, un portal)	Su dueño y aquellos con quienes la comparte; cada revelado se anota	Contraseñas del equipo
Secretos de aplicaciones y pipelines	Tus workloads, por la API compatible con Vault	Nadie en la consola: los valores se escriben y no se vuelven a mostrar	Secretos para aplicaciones
Credenciales de AWS, Google Cloud y Azure	El almacén, para crear credenciales temporales	Nadie, después de cambiarlas desde la consola	Credenciales temporales
Cuenta del directorio (Active Directory, LDAP o Entra ID)	El almacén, para cambiar contraseñas de dominio	Nadie, después de cambiarla desde la consola	Directorio

La consola nunca te devuelve un secreto guardado: al editar un recurso, el campo de la contraseña aparece vacío y, si lo dejas así, se conserva la que hay.

Rotación automática

Cuando eliges Managed by Ironchip como método de un recurso, nadie teclea ni conoce su contraseña: Ironchip la genera en el almacén y la cambia sola.

• Según un calendario por recurso: cada hora, cada 8 horas, cada día, cada semana o cada 30 días.
• Después de cada sesión, en cuanto se cierra la última sesión abierta en esa cuenta.
• Al devolver un checkout, para que la contraseña que se entregó deje de valer.
• Con la complejidad que elijas, para toda la compañía o para un recurso concreto.

El cambio lo hace quien puede hacerlo en cada tipo de recurso: la propia base de datos en PostgreSQL y MySQL, el agente de la máquina en las cuentas locales de Linux y Windows, y el directorio de la compañía en las cuentas de dominio. Asigna el calendario según la criticidad de cada recurso: por ejemplo, cada hora y tras cada sesión para los servidores de producción, y cada semana para los equipos de laboratorio. Consulta Rotación de contraseñas.

Recuperación en emergencia (break-glass)

Hay dos formas de que una persona obtenga la contraseña de una máquina, y las dos quedan registradas:

• Checkout, dentro de una ventana de acceso aprobada. Ironchip pide antes los factores del acceso (por ejemplo, la confirmación en el móvil) y un motivo.
• Break-glass, para una emergencia: los miembros de un grupo que eliges pueden sacar la contraseña de cualquier máquina gestionada sin la aprobación de nadie, durante un tiempo limitado y escribiendo el motivo.

En los dos casos, mientras la contraseña está fuera nada la cambia, y en cuanto se devuelve o vence el plazo se rota, de modo que lo entregado deja de funcionar. PAM > Checkouts muestra quién la sacó, cuándo, de qué máquina, por qué y si ya se ha cambiado. Consulta Checkouts y break-glass.

Frente a una bóveda tradicional

	Bóveda tradicional	Bóveda de Ironchip PAM
Uso normal	Check-out de la contraseña para conectarse	El broker la pone al conectar; la persona no la ve
Contraseña entregada	Válida hasta la siguiente rotación	Se rota en cuanto se devuelve o vence el checkout
Emergencia	Cuenta de emergencia en un sobre o una caja	Break-glass con motivo, plazo, registro y rotación al terminar
Secretos de aplicaciones	Otro producto	El mismo almacén, con una API compatible con Vault
Robo del inicio de sesión	Acceso a la bóveda y a todo lo que custodia	El checkout pide los factores del acceso; sin ellos no sale nada

Más información

• Arquitectura: dónde está el almacén y qué piezas lo usan.
• Grabación y auditoría: qué evidencia queda de cada acceso.