Conectarse a un recurso

Esta página explica cómo conectarte a un recurso cuando tienes una ventana abierta o un acceso permanente. Es para quien usa el acceso privilegiado.

No necesitas VPN y no conoces ni tecleas la contraseña del recurso: el broker de Ironchip la pone al abrir la sesión.

Desde la consola

En PAM > My access, junto a cada máquina:

• Terminal abre una terminal SSH en la propia consola.
• Desktop abre el escritorio RDP o VNC en la propia consola.

La conexión se decide igual que cualquier otra: si Ironchip te pide algo (por ejemplo, confirmar en el móvil), la consola lo indica encima de la pantalla y se abre en cuanto respondes.

En el escritorio, haz clic en la pantalla para escribir en ella. Ctrl+Alt+Del tiene su propio botón. A pantalla completa, el teclado se envía entero a la máquina remota (Alt+Tab y la tecla de Windows incluidas); mantén pulsado Esc para salir.

Para terminar, escribe exit o pulsa Ctrl+D en la terminal, o cierra la sesión de Windows.

Con tu propio cliente

1. En PAM > My access, haz clic en Credential junto a la máquina.

2. Copia la orden de Run this o rellena tu cliente con Host, Port y Username.

   

La credencial es un ticket de un solo uso, que va en el usuario (ticket-…). Deja la contraseña vacía o pon cualquier cosa: no se lee. El ticket caduca con tu ventana y no vale una segunda vez.

Recurso	Cómo te conectas
SSH	ssh ticket-<TICKET>@<PAM_HOST> -p <PUERTO>
RDP	Download .rdp abre Escritorio remoto en Windows, o Windows App en Mac, con el ticket puesto. O xfreerdp /v:<PAM_HOST>:<PUERTO> /u:ticket-<TICKET>
VNC	vncviewer -SecurityTypes VeNCrypt,X509Plain <PAM_HOST>::<PUERTO>
PostgreSQL	psql -h <PAM_HOST> -p <PUERTO> -U ticket-<TICKET>
MySQL	mysql -h <PAM_HOST> -P <PUERTO> -u ticket-<TICKET>
Kubernetes	Guarda el kubeconfig que muestra la consola y usa kubectl --kubeconfig <fichero> get pods
HTTP	Open in the broker abre la aplicación en el navegador con el ticket

La consola muestra siempre la orden exacta, con la dirección y el puerto del broker de tu compañía.

Qué pasa al conectar

1. Abres la conexión con el ticket.
2. El broker la retiene mientras Ironchip comprueba que tienes una ventana abierta o un acceso permanente, que te conectas desde una dirección permitida y los factores del acceso. Si alguno pide confirmación, te llega por el medio que corresponda: el móvil, un SMS, el correo o tu tarjeta.
3. Si la política pide aprobación al conectar, la conexión espera además a que un aprobador decida. En My access, usa Connect and ask y deja la conexión abierta: se abre sola cuando alguien dice que sí. Si nadie decide en 5 minutos, se rechaza.
4. Si todo es correcto, el broker abre la sesión con la credencial del recurso y empieza a grabar.

Durante la sesión

• Lo que haces queda grabado.
• Si la máquina tiene el agente, cada sudo pregunta a Ironchip y puede quedarse esperando una aprobación; en Windows, solo se abren los programas permitidos.
• Un administrador puede ver tu sesión en directo y terminarla. En la consola verás The session ended.
• Si necesitas la contraseña de la máquina para usarla sin el broker, consulta Checkouts y break-glass.

Problemas frecuentes

Síntoma	Causa probable
La conexión se queda esperando	Falta tu confirmación (revisa el aviso o el móvil) o la política pide aprobación al conectar y nadie ha decidido todavía.
The connection was refused	No tienes una ventana abierta para esa máquina, no confirmaste a tiempo o te conectas desde una dirección no permitida.
your access arrives as an account this machine does not have	Tu acceso llega con una cuenta fija que esa máquina no tiene. Pide a un administrador que la añada en sus cuentas.
El ticket no vale	Es de un solo uso: pide uno nuevo con Credential cada vez que te conectes.
sudo se rechaza con nobody is connected to this machine through Ironchip	Usas una sesión que no pasa por Ironchip. Conéctate a través del broker.