Sesiones Just-in-Time

Una sesión Just-in-Time (JIT) es un acceso privilegiado que existe solo mientras dura una ventana aprobada. Esta página explica cómo funciona y por qué, en el día a día, nadie necesita sacar una contraseña de la bóveda.

Ciclo de una sesión

1. Solicitud. La persona pide acceso a un recurso concreto, con un motivo si la política lo exige.
2. Aprobación. Un aprobador la acepta o la rechaza, una vez al solicitar o en cada conexión, según la política. Consulta Aprobación.
3. Ventana abierta. Se abre un periodo de tiempo en el que la persona puede conectarse.
4. Conexión. La persona entra con un ticket de un solo uso, desde la consola o con su propio cliente. Antes de admitirla, Ironchip comprueba la dirección y los factores del acceso, como el dispositivo y la zona segura.
5. Cierre. La ventana se cierra sola al expirar. La sesión queda grabada y, si está configurado, la contraseña de la cuenta se cambia.

Qué ve la persona y qué no

La persona no conoce ni teclea la credencial privilegiada. El broker de Ironchip PAM la lee de un almacén cifrado, la pone al abrir la conexión y no se la entrega a nadie. Por eso un proveedor que termina su trabajo, o un empleado que cambia de empresa, no se lleva ninguna contraseña.

Si alguna vez hace falta la contraseña para usar la máquina sin el broker, se saca con un checkout o, en una emergencia, con un break-glass, y se rota en cuanto se devuelve.

Diferencias con una bóveda tradicional

	Bóveda tradicional	Sesión JIT de Ironchip
Credencial	La persona la obtiene por check-out	La pone el broker; la persona no la ve
Duración del privilegio	Permanente o hasta devolver la credencial	Una ventana que se cierra sola
Acceso a la red	VPN o jump server	Túnel de salida desde tu red, sin puertos de entrada
Robo del inicio de sesión	Da acceso a la bóveda	No abre sin dispositivo, zona segura y factores

Siguientes pasos

• Arquitectura: qué piezas intervienen en una conexión.
• Bóveda de credenciales: dónde se guardan las credenciales y cómo se rotan.
• Solicitar acceso: el flujo para quien pide la sesión.
• Políticas de acceso: qué decide cada política.