¿Qué es Just-In-Time Access?

Just-In-Time Access, o acceso justo a tiempo, concede un permiso privilegiado solo cuando existe una necesidad concreta y durante el periodo mínimo razonable. La meta es reducir cuentas, puertos o derechos con acceso permanente. En lugar de mantener una puerta administrativa abierta por si acaso, el sistema la habilita de forma controlada para una solicitud determinada.

El término abarca mecanismos distintos. Puede referirse a elevar privilegios de una identidad, aprobar una función temporal o abrir durante unos minutos un puerto de administración de una máquina virtual. No todas esas funciones son el mismo producto ni el mismo control. Conviene especificar qué recurso se habilita y qué identidad queda autorizada.

Reducir privilegios permanentes

En un modelo JIT, una persona no conserva de forma continua todos los derechos de administrador. Cuando necesita realizar una tarea, solicita acceso con alcance y duración definidos; el sistema puede exigir aprobación, justificación, autenticación reforzada o condiciones adicionales. El permiso se concede para una acción y ventana concretas, y luego expira o se retira automáticamente.

Esta práctica reduce la exposición de credenciales y limita cuánto tiempo puede aprovechar un atacante una cuenta comprometida. No elimina la necesidad de roles base ni de separación de funciones. Una solicitud temporal sigue necesitando identidad verificada y permisos de aprobación bien diseñados. Si quien solicita puede aprobarse cualquier privilegio, el control pierde gran parte de su valor.

También facilita dejar registro de quién pidió acceso, quién lo autorizó, qué se habilitó y cuándo terminó. Esa trazabilidad ayuda a revisiones e investigaciones, pero depende de retener y proteger auditorías. Una concesión que expira sin dejar evidencia es difícil de gobernar. Centraliza registros y vincúlalos con el cambio o incidencia que justificó la solicitud.

-InfraCrew dice: «Solo cinco minutos» funciona mejor cuando el sistema sabe cuándo empieza y termina.-

Un ejemplo: acceso temporal a puertos de una VM

Microsoft Defender for Cloud ofrece un mecanismo JIT para máquinas virtuales que mantiene cerrados ciertos puertos de administración hasta que se solicita acceso. La petición puede limitar IP de origen, puertos y duración; después, las reglas de red admiten la conexión durante la ventana prevista. Este ejemplo controla exposición de red, no constituye por sí solo una elevación temporal de privilegios de la identidad.

El flujo debe verificarse en el servicio concreto. En Azure, Defender for Cloud comprueba permisos de Azure RBAC del solicitante y puede configurar reglas de NSG y Azure Firewall para los puertos seleccionados. La autorización de red y los permisos dentro del sistema operativo son capas distintas. Abrir SSH o RDP no garantiza que una persona disponga de una cuenta válida ni de los derechos correctos dentro de la máquina.

Un perfil JIT mal configurado puede permitir orígenes demasiado amplios, ventanas más largas de lo necesario o puertos que no se usan. El valor está en acotar la solicitud, no solo en colocar una etiqueta JIT sobre una regla permanente. Revisa quién puede habilitar políticas, modificar duraciones, aprobar solicitudes y consultar auditorías.

-InfraCrew dice: Abrir RDP durante un rato no convierte una contraseña débil en buena política.-

Límites y dependencias

El acceso JIT depende de un proceso de emergencia y de identidades administrativas que sigan funcionando si el servicio habitual falla. Define cuentas de recuperación protegidas, procedimientos de aprobación urgente y canales alternativos auditables. Reducir privilegios permanentes no debe impedir una recuperación crítica, pero una excepción de emergencia necesita dueño, límite y revisión posterior.

La duración corta tampoco neutraliza malware que ya reside en una estación administradora. El dispositivo desde el que se solicita acceso debe cumplir controles de seguridad, y la sesión privilegiada debe supervisarse cuando el riesgo lo exija. El tiempo limitado reduce la ventana de oportunidad; no corrige un endpoint comprometido.

Los permisos permanentes excesivos pueden seguir existiendo aunque se use JIT para algunos recursos. Revisa cuentas de servicio, claves, grupos heredados y automatizaciones. Una sola elevación temporal no compensa una identidad con administración permanente por defecto. El inventario de privilegios debe abarcar personas y sistemas, no solo usuarios interactivos.

Diseñar y comprobar el acceso temporal

Empieza por una tarea específica y define el recurso, el permiso mínimo, la duración, el origen permitido y si hace falta aprobación. Establece quién puede pedir, quién puede autorizar y cómo se registra la actividad. La política debe traducirse a condiciones observables; expresiones vagas como «acceso de soporte» dificultan revisar si la concesión fue proporcionada.

Prueba una solicitud permitida y otra denegada, confirma que el derecho expira y observa si quedan rutas alternativas activas. En un control de red, comprueba que el puerto permanece cerrado antes y después. En una elevación de identidad, verifica el alcance real del rol durante la ventana. La expiración debe probarse desde el recurso de destino, no inferirse solo del panel de solicitudes.

Revisa de forma periódica las políticas, aprobadores y duraciones, y compara auditorías con incidencias y cambios autorizados. Ajusta el tiempo según la tarea observada y el tiempo de reversión. JIT es una práctica de mínimo privilegio temporal, eficaz cuando la solicitud, la sesión y la retirada forman un único flujo verificable.

-InfraCrew dice: Un permiso temporal es temporal también en los registros, no solo en el formulario.-

Diccionario de la Crew

JIT — Concesión de acceso o privilegios por tiempo limitado y bajo condiciones.

RBAC — Control de acceso basado en roles que asigna permisos a identidades mediante funciones.

Elevación de privilegios — Aumento temporal del nivel de permisos de una identidad.