# Servidores SSH

> Protege el acceso SSH a servidores Linux con sesiones Just-in-Time, aprobación, grabación de la sesión, control de sudo y rotación de la contraseña.

URL: https://docs.ironchip.com/pam/recursos/ssh/

Esta página explica cómo funciona el acceso SSH con Ironchip PAM. Es para quien administra los servidores Linux y para quien se conecta a ellos.

## Cómo funciona

El broker de Ironchip PAM no es un jump server: recibe la conexión SSH y la lleva directamente al servidor, de forma transparente para el cliente. La persona no instala ninguna aplicación ni un envoltorio de SSH.

- **Desde la consola** (**Terminal** en **PAM > My access**) o con el cliente `ssh` de siempre.
- **Credencial invisible.** El broker entra en el servidor con la clave del broker o con una contraseña que la persona no conoce.
- **Sesión grabada** de principio a fin, con los procesos y los comandos `sudo` en una línea de tiempo. Consulta [Sesiones y grabaciones](https://docs.ironchip.com/pam/administracion/sesiones/).

## Cómo entra el broker

| Método                                           | Cuándo usarlo                                                                                                                                                                                                                |
| ------------------------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **The broker's own key pair**                    | El servidor confía en la clave pública del broker, que la consola muestra lista para `authorized_keys`. No se guarda ningún secreto.                                                                                         |
| **Managed by Ironchip: nobody types or sees it** | Una contraseña que nadie conoce y que se cambia cada día y tras cada sesión. La pone el [enforcer](https://docs.ironchip.com/pam/administracion/agente/) en cuentas locales o el [directorio](https://docs.ironchip.com/pam/administracion/directorio/) en cuentas de dominio. |
| **A stored password**                            | La contraseña de una persona, guardada cifrada. Necesita `PasswordAuthentication yes` en `/etc/ssh/sshd_config`. Ironchip no la cambia.                                                                                      |
| **An IAM role**                                  | El broker se identifica con un rol de IAM.                                                                                                                                                                                   |

Consulta [Rotación de contraseñas](https://docs.ironchip.com/pam/boveda/rotacion/).

## Control de `sudo`

Con el [agente de Ironchip](https://docs.ironchip.com/pam/administracion/agente/) instalado en el servidor, cada `sudo` pregunta a Ironchip después de que `sudoers` haya dicho que sí. Una [política de control](https://docs.ironchip.com/pam/administracion/politicas/#pol%C3%ADticas-de-control) decide: se permite, se rechaza explicando el motivo o se retiene hasta que un aprobador lo autoriza. Queda registrado quién lo autorizó y por qué regla.

## Pasos

1. Da de alta el servidor como [recurso](https://docs.ironchip.com/pam/administracion/recursos/) SSH y añádelo a una [política de destino](https://docs.ironchip.com/pam/administracion/politicas/#pol%C3%ADticas-de-destino).
2. Nómbrala en un [acceso](https://docs.ironchip.com/pam/administracion/accesos/).
3. (Opcional) Instala el [agente](https://docs.ironchip.com/pam/administracion/agente/) para controlar `sudo`, rotar la contraseña y registrar procesos.
4. La persona [solicita el acceso](https://docs.ironchip.com/pam/usuarios/solicitar-acceso/), si hace falta, y [se conecta](https://docs.ironchip.com/pam/usuarios/conectarse/):

   ```bash
   ssh ticket-<TICKET>@<PAM_HOST> -p <PUERTO>
   ```