Escritorio remoto (RDP y VNC)

Esta página explica cómo funciona el acceso a escritorios remotos con Ironchip PAM, por RDP y por VNC. Es para quien administra los equipos y para quien se conecta a ellos.

Cómo funciona

La persona se conecta desde la consola (Desktop en PAM > My access) o con su cliente de escritorio remoto. El broker de Ironchip PAM recibe la conexión, la retiene mientras Ironchip comprueba la ventana, la dirección y los factores, y después la conecta con el escritorio con la credencial del recurso, que la persona no conoce.

La pantalla se graba completa y la sesión se puede ver en directo y cortar al instante. Consulta Sesiones y grabaciones.

RDP

• El broker necesita una cuenta guardada para pasar la autenticación a nivel de red (NLA): A stored password o Managed by Ironchip, que se cambia cada día y tras cada sesión. Consulta Rotación de contraseñas.
• En Sign-in eliges quién inicia sesión en Windows:
  • The broker, as the account below: todos llegan con la sesión iniciada como la cuenta del recurso.
  • Each person, on the Windows sign-in screen: la cuenta del recurso solo abre la conexión y cada persona inicia sesión con su propia cuenta en la pantalla de Windows.
• Con tu propio cliente, Download .rdp abre Escritorio remoto en Windows, o Windows App en Mac, con el ticket ya puesto.

VNC

• VNC no tiene usuario: la grabación es lo único que une la sesión a una persona.
• El método es Nothing (the server asks for nothing) o A stored password. La mayoría de servidores VNC solo leen los ocho primeros caracteres de la contraseña.

Control de programas en Windows

Con el agente de Ironchip instalado, una política de control decide qué programas puede abrir la cuenta con la que entra el broker. Las reglas se aplican con AppLocker, por nombre de ejecutable aunque lo copien a otra carpeta, o por ruta. El agente las pone antes de que nadie se conecte y las ajusta mientras hay alguien conectado.

Las reglas se aplican a la cuenta con la que entra el broker. Si cada persona inicia sesión en la pantalla de Windows con su propia cuenta, o en VNC, no hay una cuenta del broker que limitar.

Pasos

1. Da de alta el equipo como recurso RDP o VNC y añádelo a una política de destino.
2. Nómbrala en un acceso.
3. (Opcional) Instala el agente para limitar los programas y rotar la contraseña de la cuenta.
4. La persona solicita el acceso, si hace falta, y se conecta.