# Grabación y auditoría

> Qué se graba de cada sesión privilegiada, cómo verla en directo o cortarla y qué evidencia queda de cada acceso, contraseña entregada y secreto leído.

URL: https://docs.ironchip.com/pam/conceptos/grabacion/

Cada sesión privilegiada que pasa por el broker queda registrada, y las de terminal y escritorio se graban de principio a fin. Esta página explica qué evidencia queda y cómo se usa para supervisar en directo y para auditar.

## Qué se graba

- **Sesiones de terminal y de escritorio**, completas: la terminal de SSH y de `kubectl exec`, y la pantalla de RDP y VNC.
- **Quién y desde dónde:** la persona, la cuenta con la que entró, la dirección desde la que se conectó y, si quedó retenida, a qué esperaba.
- **Qué se ejecutó:** los procesos y los comandos `sudo`, con las decisiones tomadas durante la sesión.

Todo se presenta en una sola línea de tiempo junto a la grabación. Un ejemplo de lo que contiene:

| Hora  | Evento           | Detalle                                                 |
| ----- | ---------------- | ------------------------------------------------------- |
| 10:02 | Conexión         | El broker registra la persona, la cuenta y la dirección |
| 10:05 | Proceso iniciado | `psql`, detectado por el agente de la máquina           |
| 10:33 | `sudo` permitido | `apt install`, aprobado por una persona                 |
| 10:41 | `sudo` rechazado | `su`, rechazado por una regla de la política de control |
| 10:44 | Sesión cerrada   | La grabación queda guardada y la contraseña se cambia   |

Los procesos y los comandos `sudo` aparecen cuando instalas el [agente en las máquinas](https://docs.ironchip.com/pam/administracion/agente/). En las bases de datos y las aplicaciones web, el broker registra la conexión pero no graba su contenido.

## Supervisión en directo

**PAM > Sessions** muestra quién está dentro, en qué máquina, desde dónde y desde cuándo. Una sesión en curso se puede ver mientras ocurre y terminar al instante. Consulta [Sesiones y grabaciones](https://docs.ironchip.com/pam/administracion/sesiones/).

## Evidencia para auditorías

La grabación y su línea de tiempo son la evidencia del acceso: no hacen falta capturas de pantalla. Además, Ironchip guarda:

| Registro                                        | Dónde se consulta                                                    |
| ----------------------------------------------- | -------------------------------------------------------------------- |
| Solicitudes y su estado                         | **PAM > Approvals** (pendientes) y **PAM > My access** (las propias) |
| Grabaciones y su línea de tiempo                | **PAM > Recordings**                                                 |
| Contraseñas entregadas (checkout y break-glass) | **PAM > Checkouts**                                                  |
| Revelados de las contraseñas del equipo         | **Options > Record** en cada contraseña de **PAM > Passwords**       |
| Peticiones de cada workload a los secretos      | Pestaña **Activity** del workload en **PAM > Secrets > Workloads**   |

Sirven para responder a lo que piden normativas como ENS, NIS2 o DORA sobre quién accedió, cuándo, con qué autorización y qué hizo. Para llevar los eventos de la plataforma a tu SIEM, consulta [Integración con un SIEM](https://docs.ironchip.com/identidad/administracion/integracion-siem/).

## Más información

- [Aprobación](https://docs.ironchip.com/pam/conceptos/aprobacion/): cómo se decide cada acceso.
- [Bóveda de credenciales](https://docs.ironchip.com/pam/conceptos/boveda/): qué queda registrado de cada credencial.
- [Conectarse a un recurso](https://docs.ironchip.com/pam/usuarios/conectarse/): la sesión vista por quien se conecta.