> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/access/authorizations.md). # Autorizaciones La regla que concede a un usuario acceso a una cuenta de un activo, sobre qué protocolos, con qué acciones y durante cuánto tiempo. ## Qué es y cuándo usarlo Una autorización es lo único que concede acceso. Sin ella, un usuario que puede entrar en la consola sigue sin ver ningún activo y no abre ninguna sesión. Cada regla une tres lados: | Lado | Qué elige usted | | --------- | ---------------------------------------------------------------------------- | | **Quién** | Usuarios, grupos, o ambos | | **Qué** | Activos, carpetas y qué cuentas de ellos | | **Cómo** | Protocolos, acciones permitidas, periodo de validez y si se exige aprobación | Cree una siempre que una persona o un equipo necesite acceso a un conjunto de activos. Prefiera pocas reglas dirigidas a grupos y carpetas antes que muchas reglas dirigidas a individuos: auditarlas resulta mucho más sencillo. ## Antes de empezar * El perfil **SYSADMIN**. * Los activos ya registrados y las cuentas que pretende conceder. * Los usuarios o grupos que recibirán el acceso. ## Pasos 1. Abra **Políticas › Autorización**. El panel izquierdo es el árbol de carpetas de activos; al seleccionar una carpeta, la lista de reglas de la derecha se filtra a las reglas que la afectan. 2. Haga clic en **Crear**. 3. Dé a la regla un **Nombre** que diga quién obtiene qué: el nombre es lo primero que lee un auditor. 4. Elija el sujeto en **Usuarios** y **Grupos**. Cualquiera de los dos puede quedar vacío, pero no ambos. 5. Elija el destino en **Activos** y **Nodes**. Activos individuales, carpetas completas, o una combinación. 6. Elija qué **cuentas** concede la regla: * **Todas las cuentas existentes**: todas las cuentas del activo * **Cuentas especificadas**: una lista nombrada * **Inicios de sesión virtuales**: la credencial no se almacena: * **Cuenta manual**: el usuario escribe el usuario y la contraseña en el momento de la conexión * **Misma cuenta**: la solución usa el nombre de la propia cuenta PAM del usuario. Si esa cuenta existe en el activo, el inicio de sesión es automático; si no, se rellena el usuario y la persona aporta la contraseña * **Cuenta anónima**: ninguna credencial, para activos web y personalizados 7. Elija los **Protocolos**: todos, o una lista específica. 8. Elija las **Acciones** permitidas. Consulte la referencia de campos más abajo. 9. Fije el periodo de validez. El inicio y la expiración son marcas de tiempo. 10. Decida si el acceso exige **Aprobación** y cuántos aprobadores. 11. Haga clic en **Enviar**. ## Qué debe ver ![La pantalla de Autorización, con las reglas en vigor](https://162891664-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fs5AnPAmUmMC3tSpoBhHY%2Fuploads%2Fgit-blob-66f5fc3a369edec446fb198fb5248e053f310c64%2Fauthorizations.png?alt=media) **1** Cuántas reglas existen. **2** Una regla, con el sujeto al que concede. **3** Crear, que abre el formulario de la regla. La nueva regla aparece en la lista de la derecha, con la columna **Válido** indicando si está en vigor en este momento. Una regla puede guardarse y aun así ser inválida, ya sea porque está inactiva, ya sea porque está fuera de su periodo de validez. ## Cómo verificar que funcionó No confíe en la lista de reglas. Verifique desde el lado del usuario: 1. Inicie sesión como uno de los usuarios que cubre la regla, o pídale que lo haga. 2. Los activos concedidos deben aparecer en su lista de activos. Si no aparecen, la regla no está alcanzando a ese usuario. 3. Abra una sesión hacia uno de los activos, por uno de los protocolos concedidos. 4. Confirme que la sesión aparece en **Auditoría › Sesiones**. Si los activos aparecen pero la sesión falla, el problema suele estar en la lista de protocolos o en la selección de cuentas, no en el sujeto de la regla. ## Errores comunes | Síntoma | Causa | Solución | | --------------------------------------------------------- | ---------------------------------------------------------------------- | --------------------------------------------------------------------------------- | | La regla existe pero no concede nada | Inactiva, o fuera del periodo de validez | Revise la columna **Válido** y después las fechas de inicio y de expiración | | El usuario no ve ningún activo | El usuario no está ni en la lista de usuarios ni en un grupo concedido | Añada el usuario o su grupo a la regla | | El activo aparece pero la sesión se rechaza | El protocolo no está en la lista de protocolos de la regla | Añada el protocolo, o cambie la regla a todos los protocolos | | La transferencia de archivos se bloquea a mitad de sesión | No se concedieron las acciones de **Transferir** | Conceda subir, descargar o eliminar, según haga falta | | Un usuario tiene más acceso del esperado | Dos reglas cubren el mismo activo | Cuando las reglas se solapan, **gana la menos restrictiva**. Busque la otra regla | | Una sesión termina sola | La autorización expiró con la sesión abierta | Las sesiones activas se terminan automáticamente cuando la regla expira | ## Referencia de campos ### Cuentas | Opción | Qué hace | | ---------------------------- | ---------------------------------------------------------------------- | | Todas las cuentas existentes | Concede todas las cuentas registradas en el activo | | Cuentas especificadas | Concede una lista nombrada | | Cuenta manual | Ninguna credencial almacenada; el usuario escribe usuario y contraseña | | Misma cuenta | Usa el nombre de la propia cuenta PAM del usuario en el destino | | Cuenta anónima | Ninguna credencial; solo activos web y personalizados | ### Protocolos | Categoría | Protocolos | | -------------- | --------------------------------------------------------- | | Acceso remoto | SSH, SFTP, RDP, VNC, Telnet, WinRM | | Bases de datos | MySQL, MariaDB, PostgreSQL, Oracle, SQLServer, DB2 | | Especializados | Redis, K8s, HTTP(S), ChatGPT, Dameng, ClickHouse, MongoDB | ### Acciones | Acción | Qué permite | | ---------------------- | ---------------------------------------------- | | Conectar | Abrir una sesión. Sin ella, nada más se aplica | | Transferir › Subir | Enviar archivos al activo | | Transferir › Descargar | Traer archivos del activo | | Transferir › Eliminar | Eliminar archivos en el activo | | Portapapeles › Copiar | Copiar de la sesión al portapapeles local | | Portapapeles › Pegar | Pegar del portapapeles local en la sesión | | Compartir | Compartir la sesión en vivo con otro usuario | | Todos | Todas las acciones anteriores | ### Validez y aprobación | Campo | Qué hace | | ------------------------------------- | ----------------------------------------------------------------------------------------------------------------- | | Activo | Enciende o apaga la regla sin eliminarla | | Fecha de inicio / Fecha de expiración | La ventana en la que la regla está en vigor. Las sesiones en curso cuando la regla expira se terminan | | Aprobación | Si el acceso exige aprobación antes de liberarse, y cuántos aprobadores. Dos o más aprobadores dan custodia doble | ## Páginas relacionadas * [Conceptos básicos](/es/pam/get-started/core-concepts.md): cómo se relacionan las autorizaciones con cuentas, activos y perfiles * [Flujos de aprobación](/es/pam/administration/access/approvals.md) * [Acceso just-in-time](/es/pam/administration/access/just-in-time.md): acceso concedido bajo demanda en lugar de permanente * [Inspección de comandos](/es/pam/administration/access/command-filtering.md): restringir lo que puede ejecutarse dentro de una sesión concedida