Acceso just-in-time

Acceso concedido bajo demanda por un periodo limitado y revocado automáticamente, en lugar de una autorización permanente que nunca expira.

Qué es y cuándo usarlo

El acceso just-in-time (JIT) sustituye una concesión permanente por una solicitud. En lugar de mantener permiso sobre un activo de forma indefinida, el usuario lo pide cuando el trabajo lo requiere; un aprobador decide; la concesión es temporal y se revoca automáticamente al expirar. Las sesiones aún abiertas en ese momento se terminan.

Compárelo con una autorización, que es la forma permanente de lo mismo:

	Autorización	Solicitud just-in-time
Quién la inicia	Un administrador, por adelantado	El usuario, cuando el trabajo lo exige
Cuánto dura	Hasta que acaba el periodo de validez, a menudo años	Un periodo definido y corto
Cómo termina	Usted edita o elimina la regla	Automáticamente, al expirar
Quién decide	El administrador que escribió la regla	El aprobador designado

Úselo para los accesos que no quiere que nadie tenga por defecto: bases de datos de producción, controladores de dominio, consolas fuera de banda y, sobre todo, terceros. Para un contratista, un plazo determinado es la forma correcta de acceso: una concesión permanente a una cuenta de proveedor es justo aquello que el JIT existe para evitar.

Esta página cubre el concepto y dónde vive el JIT en la consola. El detalle campo a campo del formulario de solicitud varía según la versión; plantee unaa solicitud en un tenant de prueba para ver el formulario que presenta su versión.

Dónde está en la consola

La pantalla de Just in Time

El JIT se reparte entre tres pantallas, en dos áreas distintas:

Pantalla	Área	Para qué sirve
Políticas › Just in Time	Sysadmin	La vista del administrador sobre el acceso just-in-time
Mis solicitudes	Cockpit	Donde un usuario plantea una solicitud y sigue su estado
Por aprobar	Cockpit	Donde el aprobador encuentra las solicitudes pendientes y las resuelve

Quien solicita y quien aprueba tienen cada uno su propia área, de modo que el aprobador no necesita derechos de administrador para resolver una solicitud: basta con el perfil que le otorga el papel de aprobador.

Cómo fluye una solicitud

1. El usuario inicia sesión, con MFA allí donde se exige.

2. Desde Mis solicitudes, el usuario pide acceso a un activo concreto.

3. Se notifica al aprobador, que encuentra la solicitud en Por aprobar y la aprueba o la rechaza. La decisión queda registrada.

4. Al aprobarse, el acceso se concede por el periodo solicitado. El activo aparece en la lista de accesos del usuario y la credencial la aporta la solución, como en cualquier otro acceso concedido.

5. Al expirar, la concesión se revoca automáticamente y cualquier sesión aún en curso sobre ella se termina.

No puede aprobar su propia solicitud, y ser administrador no cambia nada. Si el único aprobador de una regla es además la única persona que necesita el acceso, nadie podrá liberarlo.

Cómo verificar que funcionó

Como todo flujo de aprobación, este necesita dos cuentas: una que solicita y otra que aprueba.

1. Como solicitante, plantee una solicitud desde Mis solicitudes. Debe aparecer allí con estado pendiente.

2. Como aprobador, desde una cuenta distinta, confirme que figura en Por aprobar y apruébela.

3. De vuelta como solicitante, el activo debe aparecer ya en la lista de accesos, y una sesión hacia él debe abrirse.

4. Espere a que la concesión expire, o revóquela. El activo debe desaparecer de la lista del solicitante, y una sesión dejada abierta debe caerse.

El paso 4 es el que merece hacerse al menos una vez. Todo el valor del JIT está en la revocación automática, y es la única parte del flujo que falla en silencio: un acceso que discretamente nunca expira parece exactamente igual a uno que funciona.

Errores comunes

Síntoma	Causa	Solución
El aprobador nunca ve la solicitud	No hay transporte de notificación, o se designó a la persona equivocada como aprobador	Configure el correo o el SMS en Configuración del sistema › Notificaciones y luego revise a quién nombra la regla como aprobador
El único aprobador no puede aprobar	El aprobador es también el solicitante, y la autoaprobación no está permitida	Designe un segundo aprobador
Aprobada, pero el usuario sigue sin ver el activo	La concesión ya expiró, o la solicitud cubría otro activo u otra cuenta	Revise el periodo de la solicitud y su destino
Una sesión terminó sin aviso	La concesión expiró con la sesión abierta	Es lo esperado. La revocación termina las sesiones en curso
Nadie lo usa, y en su lugar se concede acceso permanente	Solicitar es más lento que pedírselo a un administrador	Las aprobaciones deben responderse rápido, o el flujo se sortea en la práctica

Páginas relacionadas

• Flujos de aprobación: todo lo demás que puede retenerse para aprobación

• Autorizaciones: la concesión permanente a la que el JIT es una alternativa

• Informes: el informe de aprobaciones y solicitudes de acceso

• Usuarios y grupos: usuarios externos y de terceros