# Sesiones Just-in-Time

> Qué es una sesión privilegiada Just-in-Time en Ironchip: acceso concedido solo durante la ventana aprobada, sin credenciales compartidas ni puertos abiertos.

URL: https://docs.ironchip.com/pam/conceptos/sesiones-jit/

Una sesión Just-in-Time (JIT) es un acceso privilegiado que existe solo mientras dura una ventana aprobada. Esta página explica cómo funciona y por qué, en el día a día, nadie necesita sacar una contraseña de la bóveda.

## Ciclo de una sesión

1. **Solicitud.** La persona pide acceso a un recurso concreto, con un motivo si la política lo exige.
2. **Aprobación.** Un aprobador la acepta o la rechaza, una vez al solicitar o en cada conexión, según la política. Consulta [Aprobación](https://docs.ironchip.com/pam/conceptos/aprobacion/).
3. **Ventana abierta.** Se abre un periodo de tiempo en el que la persona puede conectarse.
4. **Conexión.** La persona entra con un ticket de un solo uso, desde la consola o con su propio cliente. Antes de admitirla, Ironchip comprueba la dirección y los factores del acceso, como el dispositivo y la zona segura.
5. **Cierre.** La ventana se cierra sola al expirar. La sesión queda [grabada](https://docs.ironchip.com/pam/conceptos/grabacion/) y, si está configurado, la contraseña de la cuenta se cambia.

## Qué ve la persona y qué no

La persona no conoce ni teclea la credencial privilegiada. El broker de Ironchip PAM la lee de un almacén cifrado, la pone al abrir la conexión y no se la entrega a nadie. Por eso un proveedor que termina su trabajo, o un empleado que cambia de empresa, no se lleva ninguna contraseña.

Si alguna vez hace falta la contraseña para usar la máquina sin el broker, se saca con un [checkout](https://docs.ironchip.com/pam/boveda/checkouts/) o, en una emergencia, con un break-glass, y se rota en cuanto se devuelve.

## Diferencias con una bóveda tradicional

|                           | Bóveda tradicional                        | Sesión JIT de Ironchip                               |
| ------------------------- | ----------------------------------------- | ---------------------------------------------------- |
| Credencial                | La persona la obtiene por check-out       | La pone el broker; la persona no la ve               |
| Duración del privilegio   | Permanente o hasta devolver la credencial | Una ventana que se cierra sola                       |
| Acceso a la red           | VPN o jump server                         | Túnel de salida desde tu red, sin puertos de entrada |
| Robo del inicio de sesión | Da acceso a la bóveda                     | No abre sin dispositivo, zona segura y factores      |

## Siguientes pasos

- [Arquitectura](https://docs.ironchip.com/pam/conceptos/arquitectura/): qué piezas intervienen en una conexión.
- [Bóveda de credenciales](https://docs.ironchip.com/pam/conceptos/boveda/): dónde se guardan las credenciales y cómo se rotan.
- [Solicitar acceso](https://docs.ironchip.com/pam/usuarios/solicitar-acceso/): el flujo para quien pide la sesión.
- [Políticas de acceso](https://docs.ironchip.com/pam/administracion/politicas/): qué decide cada política.