# Conectarse a un recurso

> Conéctate a un recurso privilegiado desde la consola o con tu cliente SSH, RDP, VNC, kubectl o de base de datos, con un ticket de un solo uso.

URL: https://docs.ironchip.com/pam/usuarios/conectarse/

Esta página explica cómo conectarte a un recurso cuando tienes una ventana abierta o un acceso permanente. Es para quien usa el acceso privilegiado.

No necesitas VPN y no conoces ni tecleas la contraseña del recurso: el broker de Ironchip la pone al abrir la sesión.

## Desde la consola

En **PAM > My access**, junto a cada máquina:

- **Terminal** abre una terminal SSH en la propia consola.
- **Desktop** abre el escritorio RDP o VNC en la propia consola.

La conexión se decide igual que cualquier otra: si Ironchip te pide algo (por ejemplo, confirmar en el móvil), la consola lo indica encima de la pantalla y se abre en cuanto respondes.

En el escritorio, haz clic en la pantalla para escribir en ella. **Ctrl+Alt+Del** tiene su propio botón. A pantalla completa, el teclado se envía entero a la máquina remota (Alt+Tab y la tecla de Windows incluidas); mantén pulsado Esc para salir.

Para terminar, escribe `exit` o pulsa Ctrl+D en la terminal, o cierra la sesión de Windows.

## Con tu propio cliente

1. En **PAM > My access**, haz clic en **Credential** junto a la máquina.
2. Copia la orden de **Run this** o rellena tu cliente con **Host**, **Port** y **Username**.

   [Imagen: Ventana Connect con la orden ssh, y el host, el puerto y el usuario para rellenar el cliente]

La credencial es un **ticket de un solo uso**, que va en el usuario (`ticket-…`). Deja la contraseña vacía o pon cualquier cosa: no se lee. El ticket caduca con tu ventana y no vale una segunda vez.

| Recurso    | Cómo te conectas                                                                                                                                        |
| ---------- | ------------------------------------------------------------------------------------------------------------------------------------------------------- |
| SSH        | `ssh ticket-<TICKET>@<PAM_HOST> -p <PUERTO>`                                                                                                            |
| RDP        | **Download .rdp** abre Escritorio remoto en Windows, o Windows App en Mac, con el ticket puesto. O `xfreerdp /v:<PAM_HOST>:<PUERTO> /u:ticket-<TICKET>` |
| VNC        | `vncviewer -SecurityTypes VeNCrypt,X509Plain <PAM_HOST>::<PUERTO>`                                                                                      |
| PostgreSQL | `psql -h <PAM_HOST> -p <PUERTO> -U ticket-<TICKET>`                                                                                                     |
| MySQL      | `mysql -h <PAM_HOST> -P <PUERTO> -u ticket-<TICKET>`                                                                                                    |
| Kubernetes | Guarda el `kubeconfig` que muestra la consola y usa `kubectl --kubeconfig <fichero> get pods`                                                           |
| HTTP       | **Open in the broker** abre la aplicación en el navegador con el ticket                                                                                 |

La consola muestra siempre la orden exacta, con la dirección y el puerto del broker de tu compañía.

## Qué pasa al conectar

1. Abres la conexión con el ticket.
2. El broker la retiene mientras Ironchip comprueba que tienes una ventana abierta o un acceso permanente, que te conectas desde una dirección permitida y los factores del acceso. Si alguno pide confirmación, te llega por el medio que corresponda: el móvil, un SMS, el correo o tu tarjeta.
3. Si la política pide aprobación **al conectar**, la conexión espera además a que un aprobador decida. En **My access**, usa **Connect and ask** y deja la conexión abierta: se abre sola cuando alguien dice que sí. Si nadie decide en 5 minutos, se rechaza.
4. Si todo es correcto, el broker abre la sesión con la credencial del recurso y empieza a grabar.

## Durante la sesión

- Lo que haces queda [grabado](https://docs.ironchip.com/pam/conceptos/grabacion/).
- Si la máquina tiene el [agente](https://docs.ironchip.com/pam/administracion/agente/), cada `sudo` pregunta a Ironchip y puede quedarse esperando una aprobación; en Windows, solo se abren los programas permitidos.
- Un administrador puede ver tu sesión en directo y terminarla. En la consola verás **The session ended**.
- Si necesitas la contraseña de la máquina para usarla sin el broker, consulta [Checkouts y break-glass](https://docs.ironchip.com/pam/boveda/checkouts/).

## Problemas frecuentes

| Síntoma                                                                      | Causa probable                                                                                                            |
| ---------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------- |
| La conexión se queda esperando                                               | Falta tu confirmación (revisa el aviso o el móvil) o la política pide aprobación al conectar y nadie ha decidido todavía. |
| **The connection was refused**                                               | No tienes una ventana abierta para esa máquina, no confirmaste a tiempo o te conectas desde una dirección no permitida.   |
| `your access arrives as an account this machine does not have`               | Tu acceso llega con una cuenta fija que esa máquina no tiene. Pide a un administrador que la añada en sus cuentas.        |
| El ticket no vale                                                            | Es de un solo uso: pide uno nuevo con **Credential** cada vez que te conectes.                                            |
| `sudo` se rechaza con `nobody is connected to this machine through Ironchip` | Usas una sesión que no pasa por Ironchip. Conéctate a través del broker.                                                  |