Administración del acceso remoto

«Administración del acceso remoto» centraliza credenciales SSH y conexiones remotas. Sustituye el nombre anterior «Administración de conexiones remotas» de la flota y también está disponible en los dispositivos.

Páginas y permisos

Página	Contenido
Flota → Acceso remoto → Conexiones	Consultar conexiones activas y cerrarlas según los permisos
Flota → Acceso remoto → Claves	Guardar credenciales SSH compartidas de la flota
Dispositivo → Acceso remoto	Guardar credenciales específicas, consultar las heredadas y confirmar la identidad del host; solo administración de claves
Resumen del dispositivo → Escritorio remoto	Seleccionar credenciales guardadas o contraseña para conectarse, sin función de carga

Master y Admin administran credenciales e identidad del host. Por defecto, las credenciales son de uso exclusivo de administradores; estos pueden habilitarlas expresamente para miembros con permiso de conexión remota, incluidos Developer. Observer solo consulta metadatos y no puede conectarse ni modificar.

Los permisos de uso y administración son independientes. Poder utilizar una credencial no permite ver ni descargar su clave privada. Ningún rol dispone de una función para verla o exportarla. Las operaciones de conexión registran al usuario real.

Configuración inicial

1. El administrador del dispositivo configura la clave pública del usuario de la cuenta de destino, o la clave pública de la CA emisora y las entidades principales permitidas.
2. En las claves de la flota o del dispositivo, pulsa «Añadir credencial SSH» e introduce nombre, cuenta del sistema y método de autenticación.
3. Carga la clave privada del usuario. Para certificados, carga además el certificado emitido externamente; si la clave está cifrada, proporciona su frase de contraseña. No cargues la clave privada de la CA.
4. Selecciona los miembros autorizados, establece un valor predeterminado si lo necesitas y guarda.
5. Registra la clave pública del host en la página del dispositivo y confirma su huella mediante un canal confiable.
6. El usuario selecciona cuenta, método y credencial guardada en «Escritorio remoto» y comprueba la conexión.

Al guardar, se detecta el algoritmo y se verifican la firma, vigencia y correspondencia entre certificado y clave privada. La credencial guardada y sus permisos constituyen la autorización de conexión de la plataforma; no hace falta crear otra autorización de clave pública o CA. El usuario sigue siendo responsable de las claves públicas, CA, entidades principales y restricciones de autenticación del dispositivo.

El dispositivo no descarga claves de la nube ni informa de versiones o estados de aplicación de estas. La plataforma no modifica archivos del dispositivo. Guardar correctamente solo confirma la configuración en la nube; el servicio SSH del dispositivo valida el inicio de sesión real.

El tutorial completo para generar claves, emitir certificados con una CA, autorizar dispositivos, cargar credenciales y comprobar conexiones desde Windows PowerShell o Linux está en Autenticación SSH mediante claves y certificados. El acceso mediante clave ordinaria no requiere CA. El acceso con certificado OpenSSH necesita el certificado y su clave privada correspondiente; la clave privada de la CA permanece siempre con el emisor.

Prioridad del dispositivo, herencia y valores predeterminados

La herencia se determina por cuenta del sistema de destino y método de autenticación:

• Si existe configuración del dispositivo, solo pueden utilizarse sus credenciales; las de la flota aparecen sobrescritas.
• Si no existe configuración correspondiente, se utilizan las credenciales de la flota sin activar ninguna opción de herencia.
• Si una credencial del dispositivo caduca, se desactiva, se revoca o no está autorizada para el usuario, no se recurre automáticamente a la flota ni a una contraseña.
• En un mismo nivel pueden guardarse varias credenciales y establecer una predeterminada; esta marca no evita las comprobaciones de disponibilidad y permisos.

Las entradas heredadas son de solo lectura y deben editarse en la flota. Desactivar o revocar conserva la prioridad del dispositivo. Eliminar la última configuración correspondiente puede restaurar la herencia; revisa la advertencia de confirmación antes de hacerlo.

El ámbito de las credenciales solo limita el acceso desde JelinaCloud. Para aislar también flotas o cuentas en el dispositivo, configura claves públicas, CA o reglas de entidades principales diferentes.

Actualizar, desactivar, revocar y eliminar

Operación	Comportamiento
Editar	Modifica nombre, miembros autorizados y valor predeterminado; no muestra la clave privada ni su frase de contraseña
Actualizar clave o certificado	Carga una nueva clave privada, certificado opcional y frase necesaria; mantiene cuenta, ámbito y método
Desactivar / activar	La desactivación es reversible; impide nuevas conexiones y vuelve a validar y cerrar las existentes
Revocar credencial	La entrada no puede reactivarse y se borra su clave privada cifrada; no afecta a otras entradas independientes ni a la confianza del dispositivo
Eliminar	Borra el contenido cifrado y conserva metadatos de auditoría; eliminar una entrada del dispositivo puede restaurar la herencia

JelinaCloud no emite ni renueva automáticamente certificados de usuario. Antes de su vencimiento, solicita uno nuevo a tu administrador de CA, actualízalo en la página de administración y compruébalo. Cambiar una fecha en la interfaz no prolonga la vigencia del certificado.

Las operaciones de la plataforma solo afectan a conexiones mediante JelinaCloud. No limpian automáticamente authorized_keys, CA ni KRL locales. Para impedir SSH directo, el administrador del dispositivo debe aplicar la revocación y retirar autorizaciones antiguas.

Confirmar la identidad del host

Tanto las conexiones por clave como por certificado requieren verificar la identidad del host, distinta del certificado del usuario y de la CA emisora.

1. Ejecuta cat /etc/ssh/ssh_host_*_key.pub localmente o por un canal confiable para obtener las claves públicas existentes del host.
2. En «Acceso remoto» del dispositivo, abre «Identidad del host» y pulsa «Registrar clave pública del host»; pega una línea cada vez.
3. Ejecuta ssh-keygen -lf <archivo-de-clave-pública-del-host> -E sha256 en el dispositivo y compara la huella completa con la página.
4. Si coincide, pulsa «Verificar y confirmar». Registra y verifica cada algoritmo por separado.

Solo se aceptan claves públicas de host, no claves de usuario, certificados, claves públicas de CA ni claves privadas. Se admiten Ed25519, ECDSA nistp256/384/521 y RSA de 2048 a 8192 bits. El algoritmo se detecta automáticamente y el servidor selecciona una clave confirmada según la negociación real, sin modificar guacd ni pedir al usuario que elija algoritmo.

Después de reinstalar el dispositivo o cambiar su identidad, repite la verificación por un canal confiable. El estado Online no hace que se confíe automáticamente en una clave nueva.

Configuración y cuotas de conexión

La administración solo mantiene credenciales e identidad del host; ya no ofrece edición independiente de autorizaciones de claves públicas o CA, certificados personales o políticas de flota y dispositivo. El administrador del dispositivo define qué cuentas admiten qué claves o entidades principales de CA.

El administrador de la plataforma mantiene el puerto predeterminado y los métodos permitidos globalmente. La página de conexión muestra los métodos disponibles. Para limitar la autenticación directa por contraseña u otros orígenes, modifica la configuración SSH del dispositivo.

Las cuotas, límites por persona y dispositivo y tiempos de inactividad y duración máxima dependen de las especificaciones de la organización y de la capacidad del servidor. El tenant solo consulta los valores efectivos y no puede ampliarlos.

Conexiones activas y registros de operaciones

La administración de conexiones muestra las sesiones activas y permite cerrarlas según los permisos. Las sesiones se guardan en la memoria del servicio, sin historial persistente; las operaciones utilizan los registros existentes. Si el servicio se reinicia o se descarta el estado de sesión, la conexión anterior no puede recuperarse y debe iniciarse una nueva.

Protección de claves privadas y traslado de dispositivos

Las claves privadas y frases necesarias se guardan cifradas. Las listas solo muestran nombre, cuenta, ámbito, algoritmo, vigencia, permisos y estado. La clave privada de la CA permanece con el emisor y no se carga en la plataforma. No se almacenan claves privadas en la caché local del navegador para repetir inicios de sesión.

Al trasladar un dispositivo a otra flota u organización, sus credenciales y autorizaciones específicas anteriores dejan de ser utilizables y se elimina el contenido cifrado. No se restauran automáticamente si vuelve a su ubicación anterior. Configura nuevas credenciales para el ámbito actual y verifica la identidad del host; el administrador del dispositivo sigue manteniendo las relaciones de confianza antiguas en el equipo.