> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/accounts/vault.md).

# La bóveda de credenciales

Dónde se almacenan los secretos, cómo se respaldan con una clave dividida, y cómo funciona el acceso de emergencia a la bóveda.

## Qué es y cuándo usarlo

La bóveda es donde la solución guarda los secretos de las cuentas gestionadas. Los usuarios abren sesiones sin verlos nunca; las automatizaciones los leen para autenticarse; y cada acceso queda registrado.

La rodean dos mecanismos, y ambos importan más de lo que parece:

* una **copia de seguridad** de las credenciales, cifrada y entregada con la clave dividida entre dos custodios
* una cuenta de **acceso de emergencia**, el break-glass, para el día en que la vía normal no esté disponible

## Copia de seguridad de la bóveda

La tarea de copia de seguridad exporta las credenciales cifradas y las entrega por correo electrónico, SFTP o webhook.

| Aspecto              | Detalle                       |
| -------------------- | ----------------------------- |
| Algoritmo            | AES-256-CBC                   |
| División de la clave | Shamir Secret Sharing, 2 de 2 |
| Formato              | ZIP cifrado o JSON            |

### Antes de empezar

* Un servidor de correo configurado, si la entrega es por correo electrónico.
* Una contraseña maestra establecida para abrir la bóveda.

### Pasos

1. Abra **Cuentas › Automatizaciones › Copia de seguridad de cuentas**.
2. Haga clic en **Crear** y fije el **Nombre** y el **Tipo**.
3. Elija el tipo de copia de seguridad: **Correo electrónico**, **SFTP** o **Webhook**.
4. En **Contraseña dividida**, fije el **Custodio A** y el **Custodio B**.
5. Fije la programación.
6. Guarde y siga las ejecuciones en el historial.

{% hint style="warning" %}
**La división solo ocurre con dos custodios.** Si están fijados los destinatarios A y B, el texto cifrado se parte en dos y hacen falta ambas partes para descifrarlo. Si solo hay un destinatario, **la clave no se divide**, y ese único destinatario puede abrir la bóveda entera por su cuenta.

Es el ajuste que la gente equivoca, y el fallo es silencioso: la copia de seguridad funciona de las dos maneras.
{% endhint %}

### Cómo verificar que funcionó

1. Abra el historial de ejecuciones de la tarea y confirme que la ejecución tuvo éxito.
2. Confirme que cada custodio recibió su parte: dos partes, si configuró dos.
3. Restaure en una instancia de prueba. Una copia de seguridad que nunca se ha restaurado es una hipótesis, no una copia de seguridad.

## Acceso de emergencia (break-glass)

La solución admite una cuenta de acceso de emergencia para contingencias: un custodio autorizado, tras la autenticación de dos factores, puede leer cualquier credencial de la bóveda.

**Cómo funciona**

* El acceso de emergencia exige autenticación de dos factores, separada del inicio de sesión normal, antes de revelar cualquier credencial.
* Una vez autenticado, el custodio puede recuperar cualquier credencial de la bóveda, manteniendo la operación en marcha cuando los aprobadores no están disponibles, durante un incidente, o en la recuperación ante desastres.
* Se combina con el modelo de doble custodia, donde las partes de la clave están en manos de personas distintas, lo que estrecha el control sobre el uso de emergencia.

**Auditoría y alertas**

Cada uso de la cuenta de emergencia se escribe en el registro de auditoría, con quién, cuándo y a qué credenciales se accedió, y puede disparar alertas específicas, para que cualquier uso del break-glass se revise de inmediato.

{% hint style="danger" %}
Mantenga la cuenta de emergencia fuera del alcance de la rotación automática de credenciales. Una automatización que rota justamente la credencial de la que usted depende durante un incidente echa por tierra su propósito.
{% endhint %}

## Errores comunes

| Síntoma                                                              | Causa                                                         | Solución                                                           |
| -------------------------------------------------------------------- | ------------------------------------------------------------- | ------------------------------------------------------------------ |
| La copia de seguridad llega como un único archivo que se puede abrir | Solo se configuró un custodio, así que la clave no se dividió | Fije el Custodio A y el Custodio B                                 |
| La copia de seguridad no puede descifrarse                           | Falta una de las dos partes                                   | Hacen falta ambas partes. Recupere la parte del custodio que falta |
| La copia de seguridad por correo nunca llega                         | El servidor de correo no está configurado                     | Configure primero las notificaciones                               |
| Un secreto no puede revelarse en la consola                          | El MFA no está habilitado en la cuenta                        | Habilite el MFA                                                    |

## Páginas relacionadas

* [Cuentas gestionadas](/es/pam/administration/accounts/managed-accounts.md)
* [Rotar credenciales](/es/pam/administration/accounts/rotation.md)
* [Autenticación multifactor](/es/pam/administration/identities/mfa.md)
* [Registro de auditoría](/es/pam/administration/audit/audit-trail.md)