> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/access/approvals.md).

# Flujos de aprobación

Cómo una acción privilegiada queda retenida hasta que alguien la libera: las cuatro reglas que pueden exigir aprobación, quién puede decidir y dónde queda registrada la decisión.

## Qué es y cuándo usarlo

Un flujo de aprobación retiene una acción privilegiada hasta que una persona designada la libera. Quien la solicita espera, se notifica al aprobador y la decisión queda registrada para auditoría.

No existe una pantalla única de "aprobaciones". **La aprobación es un ajuste de la regla que gobierna la acción**, así que dónde la activa depende de qué quiere retener:

| Qué queda retenido                            | Dónde lo activa                                                                                                                                           |
| --------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------- |
| El acceso a una cuenta de un activo           | El ajuste **Aprobación** de una [autorización](/es/pam/administration/access/authorizations.md), por cuenta o grupo de cuentas                            |
| El inicio de sesión en la consola             | Una regla de inicio de sesión de usuario con la acción **Revisión**. Vea [Políticas de inicio de sesión](/es/pam/administration/access/login-policies.md) |
| Una conexión a un activo concreto             | Una regla de conexión de activos con la acción **Revisión**, en **Políticas › Conexión de activos**                                                       |
| Un comando escrito en una sesión              | Un filtro de comandos con la acción **Revisión**. Vea [Inspección de comandos](/es/pam/administration/access/command-filtering.md)                        |
| Un acceso que el usuario no tiene en absoluto | Una solicitud planteada por el propio usuario. Vea [Acceso just-in-time](/es/pam/administration/access/just-in-time.md)                                   |

Use la aprobación donde una concesión permanente es demasiado y un bloqueo tajante es demasiado poco: bases de datos de producción, controladores de dominio, consolas fuera de banda, cuentas de terceros.

{% hint style="danger" %}
**No puede aprobar su propio acceso.** Aunque su perfil sea de administrador y figure como aprobador en la regla, la solución no le dejará liberar una solicitud planteada por usted mismo. Designe siempre al menos otro aprobador, o el acceso resultará inservible en la práctica.
{% endhint %}

## Antes de empezar

* El perfil **SYSADMIN** para configurar la regla.
* Al menos un aprobador que **no** sea la persona que va a solicitar.
* La notificación por correo electrónico o SMS configurada en **Configuración del sistema › Notificaciones**. Las solicitudes de aprobación se anuncian a los responsables de las credenciales por correo o SMS; sin ningún transporte configurado, las solicitudes se quedan quietas y sin que nadie las vea.

## Dónde se configura la aprobación

### Acceso a una cuenta

En una autorización, cada **cuenta** o **grupo de cuentas** se concede de una de estas dos maneras:

* **Sin aprobación**: el acceso se libera directamente al usuario autorizado.
* **Con aprobación**: el acceso exige uno o varios aprobadores antes de liberarse.

El **número de aprobadores** y quiénes son se configura por cuenta o grupo de cuentas. Dos o más aprobadores dan custodia doble: nadie puede liberar la credencial por su cuenta.

### Inicio de sesión en la consola

Una regla de inicio de sesión de usuario puesta en **Revisión** retiene el propio inicio de sesión. Se avisa al usuario de que hace falta aprobación y espera; se notifica al aprobador, que puede aprobar, rechazar o pedir más información; la decisión queda registrada.

### Una conexión a un activo

Una regla de conexión de activos puesta en **Revisión** retiene una conexión concreta, no el inicio de sesión. Configúrela en **Políticas › Conexión de activos**, acotando la regla por usuarios, activos, cuentas y horario, y poniendo la **Acción** en **Revisión**.

Como todas las reglas de este tipo, lleva una **Prioridad** de 1 a 100, con 50 por defecto, y **el número menor se evalúa primero**. Una regla permisiva con un número menor coincidirá antes que su regla de Revisión y la aprobación nunca llegará a pedirse.

### Un comando en una sesión

Un filtro de comandos puesto en **Revisión** pone el comando en cola de aprobación en lugar de ejecutarlo o rechazarlo. La sesión espera mientras el aprobador decide.

## Pasos

1. Decida qué acción quiere retener: el acceso a una credencial, un inicio de sesión, una conexión o un comando. Eso determina qué regla edita.
2. Abra la regla y configure la aprobación:
   * en una autorización, cambie la cuenta o el grupo de cuentas para que exija aprobación y fije el número de aprobadores
   * en una regla de inicio de sesión de usuario, de conexión de activos o de filtro de comandos, ponga la **Acción** en **Revisión**
3. Nombre a los aprobadores. Incluya a alguien distinto de quienes se espera que soliciten.
4. En las reglas de inicio de sesión de usuario, conexión de activos y filtro de comandos, contraste la **Prioridad** con las demás reglas que podrían coincidir con el mismo intento.
5. Guarde y confirme que la regla está **Activo**.

## Qué debe ver

En la lista de reglas no cambia nada más allá de la acción o del ajuste de aprobación. El flujo solo se hace visible cuando alguien lo dispara: la acción de quien solicita queda retenida con un mensaje que indica que hace falta aprobación, y el elemento pendiente aparece para el aprobador, en **Cockpit › Por aprobar** en el caso de las solicitudes de acceso.

## Cómo verificar que funcionó

La aprobación es una de las pocas funciones que no puede verificar con una sola cuenta. Necesita dos: quien solicita y quien aprueba.

1. Como usuario cubierto por la regla, dispare la acción: abra el activo, inicie sesión o escriba el comando.
2. La acción debe quedar **retenida**, ni permitida ni rechazada. Si sale adelante, la regla no coincidió; revise su alcance y su prioridad.
3. Como aprobador, desde una cuenta **distinta**, localice la solicitud pendiente y resuélvala.
4. Confirme que el resultado corresponde a la decisión: aprobada deja que la acción continúe, rechazada la mantiene bloqueada.
5. Abra **Auditoría › Sesiones › Solicitudes** y confirme que tanto la solicitud como su decisión quedaron registradas. El informe de **aprobaciones y solicitudes de acceso** da los mismos datos a lo largo de un periodo. Vea [Informes](/es/pam/administration/audit/reports.md).

El paso 5 es lo que importa para el cumplimiento. Un flujo que libera acceso pero no registra nada es peor que no tener flujo, porque parece un control.

## Errores comunes

| Síntoma                                                              | Causa                                                                                         | Solución                                                                                                                       |
| -------------------------------------------------------------------- | --------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------ |
| Nunca se notifica al aprobador                                       | No hay transporte de correo ni de SMS configurado                                             | Configure las notificaciones en **Configuración del sistema › Notificaciones**                                                 |
| No se retiene nada, la acción simplemente prospera                   | La regla no coincidió, o una regla permisiva con un número de prioridad menor coincidió antes | Revise el alcance de usuario, activo y cuenta de la regla, y compare las prioridades de todas las reglas que podrían coincidir |
| Soy aprobador pero no puedo liberar mi propia solicitud              | La autoaprobación no está permitida, sea usted administrador o no                             | Que decida otro aprobador                                                                                                      |
| El acceso llega a más gente de la que preveía la regla de aprobación | Dos autorizaciones cubren el mismo activo, y **gana la menos restrictiva**                    | Busque la otra autorización. Vea [Autorizaciones](/es/pam/administration/access/authorizations.md)                             |
| El acceso se aprobó y luego la sesión terminó sola                   | El periodo de validez de la autorización expiró con la sesión abierta                         | Las sesiones se terminan automáticamente al expirar. Amplíe el periodo o plantee una solicitud nueva                           |
| Una solicitud se aprobó pero el usuario sigue sin ver nada           | La concesión era temporal y ya expiró                                                         | Revise la validez de la solicitud, no la de la autorización                                                                    |

## Referencia de campos

| Ajuste                | Dónde                                                                           | Qué hace                                                                        |
| --------------------- | ------------------------------------------------------------------------------- | ------------------------------------------------------------------------------- |
| Aprobación requerida  | Autorización, por cuenta o grupo de cuentas                                     | Retiene el acceso hasta que un aprobador lo libera                              |
| Número de aprobadores | Autorización, por cuenta o grupo de cuentas                                     | 1 para aprobación simple, 2 o más para custodia doble                           |
| Acción = Revisión     | Reglas de inicio de sesión de usuario, conexión de activos y filtro de comandos | Retiene el inicio de sesión, la conexión o el comando a la espera de aprobación |
| Prioridad             | Reglas de inicio de sesión de usuario, conexión de activos y filtro de comandos | De 1 a 100, 50 por defecto. El menor se evalúa primero                          |
| Activo                | Todas las reglas                                                                | Si la regla está en vigor                                                       |

## Páginas relacionadas

* [Autorizaciones](/es/pam/administration/access/authorizations.md): donde se fijan la aprobación de acceso y el número de aprobadores
* [Acceso just-in-time](/es/pam/administration/access/just-in-time.md): solicitar un acceso que no se tiene
* [Políticas de inicio de sesión](/es/pam/administration/access/login-policies.md): la acción **Revisión** en el inicio de sesión
* [Inspección de comandos](/es/pam/administration/access/command-filtering.md): la acción **Revisión** en un comando
* [Informes](/es/pam/administration/audit/reports.md): el informe de aprobaciones y solicitudes de acceso