Az adminisztrátor nem a célgépre lép be, hanem a gateway-re. A belépéshez szükséges tanúsítvány a kérés pillanatában születik, öt percig él, és el sem hagyja a gateway memóriáját. Nincs mit ellopni a munkaállomásról, és nincs mit elfelejteni visszavonni — a címtárból való kivétel azonnal hat.

Minden kiadott parancs policy-értékelést kap, mielőtt elérné a szervert: engedélyezés, jóváhagyás-kötelezettség vagy tiltás. A tiltott parancs el sem indul, nem utólag derül ki a felvételről. A beépített tiltások — interaktív root-shell, destruktív rendszertörlés — megkerülhetetlenek; az ezen felüli szabályok szabadon testreszabhatók.

Két, egymást kiegészítő nyom keletkezik, mindkettő a gateway-en: strukturált parancs-napló (kereshető, riasztható, SIEM-be táplálható) és a teljes interaktív munkamenet időhű felvétele. A napló ott keletkezik, ahol a támadó nincs — egy célgépre bejutott root a róla készült naplót nem éri el.

A jóváhagyásra váró parancs a gateway-en áll: a célgépen semmi nem fut, amíg a döntés meg nem születik. A döntés, a döntéshozó és az időbélyeg a naplóban és a jegyhez kötve marad. Minden küszöb feletti hozzáférés JIRA-jegyet kap — akkor is, ha nem igényelt jóváhagyást.

A vezérlőpulton látszik, ki hol van bent és mióta. Bármelyik munkamenet kívülről, egyetlen művelettel megszakítható — a reakcióidő percekre csökken, és mindez nem igényel semmit a célgépen.