> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/access/just-in-time.md).

# Acceso just-in-time

Acceso concedido bajo demanda por un periodo limitado y revocado automáticamente, en lugar de una autorización permanente que nunca expira.

## Qué es y cuándo usarlo

El acceso just-in-time (JIT) sustituye una concesión permanente por una solicitud. En lugar de mantener permiso sobre un activo de forma indefinida, el usuario lo pide cuando el trabajo lo requiere; un aprobador decide; la concesión es temporal y se **revoca automáticamente al expirar**. Las sesiones aún abiertas en ese momento se terminan.

Compárelo con una [autorización](/es/pam/administration/access/authorizations.md), que es la forma permanente de lo mismo:

|                 | Autorización                                         | Solicitud just-in-time                 |
| --------------- | ---------------------------------------------------- | -------------------------------------- |
| Quién la inicia | Un administrador, por adelantado                     | El usuario, cuando el trabajo lo exige |
| Cuánto dura     | Hasta que acaba el periodo de validez, a menudo años | Un periodo definido y corto            |
| Cómo termina    | Usted edita o elimina la regla                       | Automáticamente, al expirar            |
| Quién decide    | El administrador que escribió la regla               | El aprobador designado                 |

Úselo para los accesos que no quiere que nadie tenga por defecto: bases de datos de producción, controladores de dominio, consolas fuera de banda y, sobre todo, terceros. Para un contratista, un plazo determinado es la forma correcta de acceso: una concesión permanente a una cuenta de proveedor es justo aquello que el JIT existe para evitar.

{% hint style="info" %}
Esta página cubre el concepto y dónde vive el JIT en la consola. El detalle campo a campo del formulario de solicitud varía según la versión; plantee unaa solicitud en un tenant de prueba para ver el formulario que presenta su versión.
{% endhint %}

## Dónde está en la consola

![La pantalla de Just in Time](https://162891664-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fs5AnPAmUmMC3tSpoBhHY%2Fuploads%2Fgit-blob-e3925ff3fc4176c89a008176a540f843dd07a946%2Fjust-in-time.png?alt=media)

El JIT se reparte entre tres pantallas, en dos áreas distintas:

| Pantalla                     | Área     | Para qué sirve                                                         |
| ---------------------------- | -------- | ---------------------------------------------------------------------- |
| **Políticas › Just in Time** | Sysadmin | La vista del administrador sobre el acceso just-in-time                |
| **Mis solicitudes**          | Cockpit  | Donde un usuario plantea una solicitud y sigue su estado               |
| **Por aprobar**              | Cockpit  | Donde el aprobador encuentra las solicitudes pendientes y las resuelve |

Quien solicita y quien aprueba tienen cada uno su propia área, de modo que el aprobador no necesita derechos de administrador para resolver una solicitud: basta con el perfil que le otorga el papel de aprobador.

## Cómo fluye una solicitud

1. El usuario inicia sesión, con MFA allí donde se exige.
2. Desde **Mis solicitudes**, el usuario pide acceso a un activo concreto.
3. Se notifica al aprobador, que encuentra la solicitud en **Por aprobar** y la aprueba o la rechaza. La decisión queda registrada.
4. Al aprobarse, el acceso se concede por el periodo solicitado. El activo aparece en la lista de accesos del usuario y la credencial la aporta la solución, como en cualquier otro acceso concedido.
5. Al expirar, la concesión se revoca automáticamente y cualquier sesión aún en curso sobre ella se termina.

{% hint style="danger" %}
**No puede aprobar su propia solicitud**, y ser administrador no cambia nada. Si el único aprobador de una regla es además la única persona que necesita el acceso, nadie podrá liberarlo.
{% endhint %}

## Cómo verificar que funcionó

Como todo flujo de aprobación, este necesita dos cuentas: una que solicita y otra que aprueba.

1. Como solicitante, plantee una solicitud desde **Mis solicitudes**. Debe aparecer allí con estado pendiente.
2. Como aprobador, desde una cuenta distinta, confirme que figura en **Por aprobar** y apruébela.
3. De vuelta como solicitante, el activo debe aparecer ya en la lista de accesos, y una sesión hacia él debe abrirse.
4. Espere a que la concesión expire, o revóquela. El activo debe desaparecer de la lista del solicitante, y una sesión dejada abierta debe caerse.

El paso 4 es el que merece hacerse al menos una vez. Todo el valor del JIT está en la revocación automática, y es la única parte del flujo que falla en silencio: un acceso que discretamente nunca expira parece exactamente igual a uno que funciona.

## Errores comunes

| Síntoma                                                  | Causa                                                                                  | Solución                                                                                                                             |
| -------------------------------------------------------- | -------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------ |
| El aprobador nunca ve la solicitud                       | No hay transporte de notificación, o se designó a la persona equivocada como aprobador | Configure el correo o el SMS en **Configuración del sistema › Notificaciones** y luego revise a quién nombra la regla como aprobador |
| El único aprobador no puede aprobar                      | El aprobador es también el solicitante, y la autoaprobación no está permitida          | Designe un segundo aprobador                                                                                                         |
| Aprobada, pero el usuario sigue sin ver el activo        | La concesión ya expiró, o la solicitud cubría otro activo u otra cuenta                | Revise el periodo de la solicitud y su destino                                                                                       |
| Una sesión terminó sin aviso                             | La concesión expiró con la sesión abierta                                              | Es lo esperado. La revocación termina las sesiones en curso                                                                          |
| Nadie lo usa, y en su lugar se concede acceso permanente | Solicitar es más lento que pedírselo a un administrador                                | Las aprobaciones deben responderse rápido, o el flujo se sortea en la práctica                                                       |

## Páginas relacionadas

* [Flujos de aprobación](/es/pam/administration/access/approvals.md): todo lo demás que puede retenerse para aprobación
* [Autorizaciones](/es/pam/administration/access/authorizations.md): la concesión permanente a la que el JIT es una alternativa
* [Informes](/es/pam/administration/audit/reports.md): el informe de aprobaciones y solicitudes de acceso
* [Usuarios y grupos](/es/pam/administration/identities/users-and-groups.md): usuarios externos y de terceros