Acceso a aplicaciones privadas
Gobierna endpoints privados, agentes, políticas de dispositivos y red, identidades de cargas de trabajo, sesiones y evidencias de auditoría.
- Confirma los requisitos previosComprueba que la plataforma esté habilitada y que el perfil del tenant y el agente desplegado por separado estén registrados.
- Registra el endpointVincula el destino HTTPS exacto al tenant, la aplicación, el agente y el perfil para su aprobación.
- Asigna accesoSolicita acceso con vencimiento y comprueba las políticas de red, dispositivo e identidad.
- SupervisaComprueba la concesión del agente, el certificado, el estado del endpoint, las decisiones y las sesiones.
- RevocaRevoca el endpoint, credencial, token de workload o asignación expuestos y verifica el estado.
Límites y configuración
El acceso privado permanece deshabilitado salvo que la plataforma lo habilite. El servicio no inicia conexiones entrantes a la red del cliente y el repositorio no incluye un agente. Un agente del cliente consulta hacia fuera mediante mTLS firmado; ese canal de control no es un proxy general. Los responsables del tenant registran un endpoint HTTPS exacto. Antes de entregarlo hace falta aprobación independiente de God.
- Confirma la función, la aplicación del tenant, el perfil y el estado del agente inscrito.
- Introduce el destino HTTPS exacto y las rutas permitidas; no envíes credenciales.
- Envía la solicitud para aprobación y espera el estado aprobado antes de prever la entrega.
Agentes, certificados y dispositivos
La inscripción de agentes utiliza bootstrap de un solo uso, una clave privada conservada por el cliente, un certificado de corta duración y solicitudes firmadas. La clave nunca se carga. Rotar y revocar son acciones distintas; la revocación invalida todos los certificados del agente. La postura del dispositivo administrado es una señal de garantía, no una prueba de estado correcto. Comprueba la vigencia de las evidencias antes de usarlas en una política.
- Crea una inscripción para el conector del tenant previsto y protege su token de un solo uso.
- Genera la clave localmente y confirma que el agente esté registrado y sea compatible.
- Rota antes del vencimiento; revoca agentes comprometidos o certificados de dispositivo obsoletos.
Zonas de red y políticas
Las políticas pueden considerar tenant, aplicación, rol, recurso, garantía del dispositivo, nivel de autenticación, antigüedad de sesión y señales de red. El modo report-only muestra decisiones hipotéticas, pero no bloquea el acceso. Las políticas están versionadas; previsualízalas antes de publicar. Los diagnósticos de estado y las señales de red por sí solos nunca conceden acceso.
- Inspecciona el ámbito de tenant y aplicación, las señales, prioridad y modo de cumplimiento.
- Previsualiza una solicitud representativa y compara la decisión prevista.
- Después de publicar, inspecciona una decisión real; corrige el alcance, no las comprobaciones de garantía.
Asignaciones, sesiones y desconexión
Las asignaciones se dirigen a un usuario, grupo o paquete y pueden requerir aprobación y vencimiento. Los usuarios desconectan sus propias sesiones; los responsables del tenant pueden terminar sesiones de sus aplicaciones. La desconexión de emergencia, exclusiva de God, exige step-up reciente resistente al phishing y revoca sesiones de aplicaciones, endpoints, credenciales guardadas y familias de tokens. No revoca un agente compartido con otras aplicaciones ni elimina una cookie del proveedor ascendente.
- Solicita la asignación exacta a la aplicación y confirma su aprobación antes de usarla.
- Antes de terminar una sesión, confirma el usuario y la aplicación en el inventario.
- Para una desconexión de emergencia, completa step-up real y verifica revocación y auditoría.
Identidades de cargas de trabajo y secretos
Las identidades de cargas de trabajo tienen propietarios, confianza, credenciales, tokens, asignaciones de paquetes, revisiones e incidentes. Las operaciones de lectura y escritura requieren permisos respectivos. Solicita solo la confianza o el paquete necesario y completa la aprobación de propiedad o independiente. Revoca los tokens o certificados expuestos. Nunca incluyas secretos en datos de perfil, notas de auditoría o exportaciones.
- Comprueba propietario, tenant, credenciales y estado de revisión de la identidad.
- Solicita la confianza o el paquete específicos con su finalidad y aprobación requerida.
- Rota credenciales y revoca tokens o certificados expuestos; verifica que estén inactivos.
Diagnósticos, auditoría y retención
Los diagnósticos muestran eventos acotados, decisiones categóricas, latencia, vigencia del agente y vencimiento de certificados; omiten contenido de solicitudes, credenciales, tokens, IP sin anonimizar y agentes de usuario. La auditoría, los paquetes de evidencia, la retención, las retenciones legales y las exportaciones son controles separados y acotados. Trata las evidencias descargadas como sensibles. Contrato de API de gestión: /api/auth/management/openapi.json.
- Comprueba ámbito de tenant y aplicación, vigencia del agente, estado y categoría de denegación.
- Para investigaciones conservadas, usa auditoría o paquetes de evidencia con el alcance mínimo.
- Antes de exportar o cambiar la retención, comprueba permisos y retenciones legales; verifica el resultado de auditoría.
Preguntas frecuentes
¿Registrar un endpoint lo activa?
No. Queda pendiente hasta la aprobación independiente y las comprobaciones actuales de vinculación.
¿Se incluye el agente del cliente?
No. Despliega un agente compatible por separado; la inscripción no demuestra que funcione correctamente.
¿Puede el agente acceder a cualquier host interno?
No. Recibe un destino exacto aprobado y una política de rutas, no destinos arbitrarios.
¿Terminar la sesión revoca el agente?
No. Revoca el certificado del agente por separado; la acción de sesión es más acotada.
¿La desconexión de emergencia borra cookies del proveedor?
No. El estado del proveedor ascendente depende del conector del cliente y del cierre de sesión de la aplicación.
¿Una postura correcta puede anular una denegación?
No. La política activa del tenant y la aplicación sigue decidiendo el acceso.