> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/accounts/rotation.md). # Rotar credenciales Rote contraseñas y claves SSH de forma automática o bajo demanda, y sepa qué vigilar cuando la credencial es una cuenta de dominio. ## Qué es y cuándo usarlo Una tarea de rotación cambia el secreto de una o varias cuentas en uno o varios activos, almacena el nuevo valor en la bóveda y, en el caso de las claves SSH, redistribuye la nueva clave pública a los destinos. La rotación se ejecuta de forma programada, bajo demanda, o de ambas maneras. Úsela para cumplir una política de rotación, y justo después de cualquier evento que haya podido exponer una credencial. {% hint style="info" %} Cuando una contraseña cambia, la solución también la aplica a las **dependencias** registradas para esa credencial, es decir, servicios, tareas programadas y aplicaciones que usan la misma cuenta, para que la rotación no rompa las integraciones. Las dependencias se declaran en la configuración de la cuenta o de la tarea y se actualizan en la misma ejecución. {% endhint %} ## Antes de empezar * El activo registrado en **Entorno › Activos**. * La credencial registrada, ya sea descubierta por una automatización o añadida a mano: da igual. * La credencial vinculada al host, directamente o a través de una plantilla de cuenta. * Un protocolo de gestión alcanzable en el destino: * **Windows**: WinRM u OpenSSH * **Linux**: SSH * El cortafuegos abierto, tanto el de red como el del host. * Para WinRM, la IP de la solución añadida como host de confianza en el destino. La solución debe poder alcanzar **cada** destino para confirmar el cambio. Los hosts a los que no llega conservan su contraseña antigua. ## Pasos 1. Abra **Cuentas › Automatizaciones › Cambiar secretos**. 2. Haga clic en **Crear**. 3. Rellene los campos; vea la referencia de campos más abajo. Los dos que deciden el alcance son **Cuentas** y **Activos o Nodes**. 4. En **Política de contraseñas**, fije la longitud y la complejidad del secreto generado. Ajústela a la política más estricta entre los destinos, no a la más laxa. 5. En **Periódico**, fije la programación, o déjela desactivada y ejecute la tarea a mano. 6. Fije **Destinatario** si alguien debe recibir el resultado por correo. 7. Guarde y ejecute la tarea una vez de forma manual antes de confiar en la programación. ## Qué debe ver ![La pantalla de Cambiar secretos, con las tareas de rotación](https://162891664-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fs5AnPAmUmMC3tSpoBhHY%2Fuploads%2Fgit-blob-ef02a06c9d7871c068989567649927d011d8893c%2Frotation.png?alt=media) **1** Cuántas tareas de rotación existen. **2** Una tarea, con las cuentas y carpetas que cubre. La tarea aparece en la lista con un contador de ejecuciones. Tras una ejecución, el registro muestra una línea por activo, con el éxito o el fallo de cada host. ## Cómo verificar que funcionó Guardar la tarea, e incluso ejecutarla, no prueba nada. Verifique que el secreto cambió de verdad: 1. Abra la cuenta en **Cuentas › Cuentas**. 2. Abra su **Historial de contraseñas**. Debe aparecer una versión nueva, fechada en la ejecución. 3. Abra una sesión hacia el activo usando esa cuenta. Si el inicio de sesión funciona, la bóveda y el destino concuerdan. El tercer paso es el que más importa. Una ejecución puede informar éxito y aun así dejar un host atrás: revise el registro de ejecuciones host por host, no solo el estado de la tarea. ## Rotar una cuenta de dominio Las credenciales de dominio se comportan de forma distinta a las locales, y es aquí donde ocurren la mayoría de los errores. * La cuenta de dominio debe estar registrada como **plantilla de cuenta**, y la plantilla debe estar asociada a los hosts que se autentican contra ella. Esa asociación hace falta para que la credencial sea utilizable en absoluto, no solo para la rotación. * Al rotar, usted indica tanto el **host donde se ejecuta el cambio** como los **hosts que deben recibir la nueva credencial**. * La contraseña nueva se ve en la cuenta, pero **la plantilla de cuenta conserva la contraseña original**. La rotación nunca actualiza la plantilla de cuenta; cambiarla es una acción manual. * Si más adelante asocia la plantilla de cuenta a un **host nuevo**, ese host debe añadirse a la tarea de rotación. De lo contrario conserva la contraseña almacenada en la plantilla de cuenta, que, para una cuenta de dominio ya rotada, ya no funciona. Ese último punto es la causa habitual del "funcionó en todas partes menos en el servidor nuevo". ## Rotar claves SSH La misma tarea rota claves SSH, de forma programada o bajo demanda. En cada ejecución la solución genera un par de claves nuevo, actualiza la clave en la bóveda y redistribuye la clave pública a los activos de destino asociados, de modo que el acceso continúa sin intervención manual. ## Errores comunes | Síntoma | Causa | Solución | | ------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------- | | `The password does not meet the password policy requirements` | El secreto generado no satisface la política del propio destino, sea en longitud, complejidad o historial | Suba la complejidad en la **Política de contraseñas** de la tarea para igualar al destino más estricto | | Unos hosts tuvieron éxito y otros fallaron | La solución no pudo alcanzar esos hosts | Revise la conectividad y el protocolo de gestión. Los hosts inalcanzables conservan la contraseña antigua | | Un servidor nuevo sigue con la contraseña de dominio antigua | Se añadió a la plantilla de cuenta pero no a la tarea de rotación | Añada el host a la tarea y vuelva a ejecutarla | | La plantilla de cuenta muestra una contraseña antigua | Es lo esperado. La rotación nunca actualiza la plantilla de cuenta | Cambie la plantilla de cuenta a mano si necesita que coincida | | Conexión WinRM rechazada | Puerto 5985 bloqueado, o la IP de la solución no es un host de confianza | Abra el puerto y añada la IP a los hosts de confianza de WinRM | ## Referencia de campos | Campo | Qué hace | | ----------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Nombre | Identifica la tarea. Obligatorio | | Cuentas | Los inicios de sesión cuya contraseña cambiará. Distingue mayúsculas de minúsculas. Pueden indicarse varias cuentas, pero todas reciben el mismo secreto generado en una ejecución dada | | Activos o Nodes | Los hosts de destino, individualmente o por carpeta | | Política de contraseñas | La estrategia de generación y la complejidad del nuevo secreto | | Automatizaciones › Parámetros | Comportamiento adicional, como los grupos a los que pertenece la cuenta. Úselo para que ninguna cuenta se altere sin que usted lo sepa | | Periódico | La programación. La ejecución manual sigue disponible en cualquier caso | | Activo | Habilita o deshabilita la tarea sin eliminarla | | Destinatario | Dirección de correo a la que se notifica el resultado de la ejecución | ## Páginas relacionadas * [Cuentas gestionadas](/es/pam/administration/accounts/managed-accounts.md) * [Plantillas de cuenta](/es/pam/administration/accounts/account-templates.md): por qué la plantilla de cuenta conserva su secreto original * [Política de generación de contraseñas](/es/pam/administration/accounts/password-policy.md) * [Recopilar cuentas de un activo](/es/pam/administration/accounts/discovery-of-accounts.md) * [Política de detección y mitigación](/es/pam/administration/ueba/policy.md): rotación disparada por una puntuación de riesgo