Habilitar la elevación y el aprovisionamiento justo a tiempo

Después de desplegar AD PAM en su entorno, puede activar la elevación y el aprovisionamiento justo a tiempo (Just-in-Time) para conceder acceso privilegiado temporal bajo demanda.

Elevación justo a tiempo

1. Añada el permiso para crear grupos de usuarios a su cuenta de proveedor de dominio PAM en AD.
2. Identifique los grupos de usuarios de AD que desea que estén disponibles para la elevación justo a tiempo.
3. De vuelta en Devolutions Server o Devolutions Cloud, vaya a Administración – Acceso privilegiado – Proveedores y haga clic en Editar en su proveedor PAM.
4. Seleccione la sección Elevación de privilegios JIT en el menú de la izquierda.
5. Seleccione el grupo de usuarios identificado anteriormente.
6. Si desea limitar el acceso JIT a cuentas específicas, haga clic en Habilitar conjuntos de privilegios.
7. Añada un prefijo al nombre del grupo, como DVLS-JIT-.
8. Seleccione una ubicación para la creación de los grupos temporales.
9. Si tiene varios DC, configure una Latencia de replicación para asegurarse de que el JIT tenga tiempo de replicarse entre todos los DC. Haga clic en Guardar.

Aprovisionamiento justo a tiempo

1. Abra la consola Usuarios y equipos de Active Directory (ADUC), haga clic con el botón derecho en la unidad organizativa (OU) que contiene su cuenta PAM y seleccione Delegar control....
2. Siga el asistente y asegúrese de marcar el permiso Crear, eliminar y administrar cuentas de usuario durante el paso de delegación de tareas.

   Con fines de privilegios mínimos, puede Crear una tarea personalizada para delegar y añadir solo los permisos mínimos necesarios para crear usuarios en AD.
3. De vuelta en Devolutions Server o Devolutions Cloud, vaya a Administración – Acceso privilegiado – Proveedores y haga clic en Editar en su proveedor PAM.
4. Abra la pestaña Elevación de privilegios JIT y seleccione el grupo de usuarios identificado anteriormente.
5. Elija una ubicación para la creación de los usuarios temporales.
6. Si tiene varios controladores de dominio (DC), configure la Latencia de replicación para dar a los cambios JIT tiempo suficiente para replicarse en todos los DC y haga clic en Guardar.
7. En su bóveda PAM, añada un nuevo usuario de dominio.
8. Introduzca el nombre de usuario de la cuenta.
9. Marque la casilla Cuenta justo a tiempo (JIT) y haga clic en Guardar.