Servidores SSH

Esta página explica cómo funciona el acceso SSH con Ironchip PAM. Es para quien administra los servidores Linux y para quien se conecta a ellos.

Cómo funciona

El broker de Ironchip PAM no es un jump server: recibe la conexión SSH y la lleva directamente al servidor, de forma transparente para el cliente. La persona no instala ninguna aplicación ni un envoltorio de SSH.

• Desde la consola (Terminal en PAM > My access) o con el cliente ssh de siempre.
• Credencial invisible. El broker entra en el servidor con la clave del broker o con una contraseña que la persona no conoce.
• Sesión grabada de principio a fin, con los procesos y los comandos sudo en una línea de tiempo. Consulta Sesiones y grabaciones.

Cómo entra el broker

Método	Cuándo usarlo
The broker’s own key pair	El servidor confía en la clave pública del broker, que la consola muestra lista para authorized_keys. No se guarda ningún secreto.
Managed by Ironchip: nobody types or sees it	Una contraseña que nadie conoce y que se cambia cada día y tras cada sesión. La pone el enforcer en cuentas locales o el directorio en cuentas de dominio.
A stored password	La contraseña de una persona, guardada cifrada. Necesita PasswordAuthentication yes en /etc/ssh/sshd_config. Ironchip no la cambia.
An IAM role	El broker se identifica con un rol de IAM.

Consulta Rotación de contraseñas.

Control de sudo

Con el agente de Ironchip instalado en el servidor, cada sudo pregunta a Ironchip después de que sudoers haya dicho que sí. Una política de control decide: se permite, se rechaza explicando el motivo o se retiene hasta que un aprobador lo autoriza. Queda registrado quién lo autorizó y por qué regla.

Pasos

1. Da de alta el servidor como recurso SSH y añádelo a una política de destino.

2. Nómbrala en un acceso.

3. (Opcional) Instala el agente para controlar sudo, rotar la contraseña y registrar procesos.

4. La persona solicita el acceso, si hace falta, y se conecta:

   ssh ticket-<TICKET>@<PAM_HOST> -p <PUERTO>