# Escritorio remoto (RDP y VNC)

> Protege el acceso RDP y VNC a servidores y escritorios con sesiones Just-in-Time y grabación completa, y limita los programas en Windows con AppLocker.

URL: https://docs.ironchip.com/pam/recursos/rdp/

Esta página explica cómo funciona el acceso a escritorios remotos con Ironchip PAM, por RDP y por VNC. Es para quien administra los equipos y para quien se conecta a ellos.

## Cómo funciona

La persona se conecta desde la consola (**Desktop** en **PAM > My access**) o con su cliente de escritorio remoto. El broker de Ironchip PAM recibe la conexión, la retiene mientras Ironchip comprueba la ventana, la dirección y los factores, y después la conecta con el escritorio con la credencial del recurso, que la persona no conoce.

La pantalla se graba completa y la sesión se puede ver en directo y cortar al instante. Consulta [Sesiones y grabaciones](https://docs.ironchip.com/pam/administracion/sesiones/).

## RDP

- El broker necesita una cuenta guardada para pasar la autenticación a nivel de red (NLA): **A stored password** o **Managed by Ironchip**, que se cambia cada día y tras cada sesión. Consulta [Rotación de contraseñas](https://docs.ironchip.com/pam/boveda/rotacion/).
- En **Sign-in** eliges quién inicia sesión en Windows:
  - **The broker, as the account below**: todos llegan con la sesión iniciada como la cuenta del recurso.
  - **Each person, on the Windows sign-in screen**: la cuenta del recurso solo abre la conexión y cada persona inicia sesión con su propia cuenta en la pantalla de Windows.
- Con tu propio cliente, **Download .rdp** abre Escritorio remoto en Windows, o Windows App en Mac, con el ticket ya puesto.

## VNC

- VNC no tiene usuario: la grabación es lo único que une la sesión a una persona.
- El método es **Nothing (the server asks for nothing)** o **A stored password**. La mayoría de servidores VNC solo leen los ocho primeros caracteres de la contraseña.

## Control de programas en Windows

Con el [agente de Ironchip](https://docs.ironchip.com/pam/administracion/agente/) instalado, una [política de control](https://docs.ironchip.com/pam/administracion/politicas/#pol%C3%ADticas-de-control) decide qué programas puede abrir la cuenta con la que entra el broker. Las reglas se aplican con AppLocker, por nombre de ejecutable aunque lo copien a otra carpeta, o por ruta. El agente las pone antes de que nadie se conecte y las ajusta mientras hay alguien conectado.

Las reglas se aplican a la cuenta con la que entra el broker. Si cada persona inicia sesión en la pantalla de Windows con su propia cuenta, o en VNC, no hay una cuenta del broker que limitar.

## Pasos

1. Da de alta el equipo como [recurso](https://docs.ironchip.com/pam/administracion/recursos/) RDP o VNC y añádelo a una [política de destino](https://docs.ironchip.com/pam/administracion/politicas/#pol%C3%ADticas-de-destino).
2. Nómbrala en un [acceso](https://docs.ironchip.com/pam/administracion/accesos/).
3. (Opcional) Instala el [agente](https://docs.ironchip.com/pam/administracion/agente/) para limitar los programas y rotar la contraseña de la cuenta.
4. La persona [solicita el acceso](https://docs.ironchip.com/pam/usuarios/solicitar-acceso/), si hace falta, y [se conecta](https://docs.ironchip.com/pam/usuarios/conectarse/).