> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/identities/ldap-and-ad.md).

# LDAP y Active Directory

Autentique a los usuarios de la consola contra un servidor LDAP o Active Directory y aprovisione sus registros a partir de los atributos del directorio, incluida la pertenencia a grupos que alimenta l

## Qué es esto y cuándo usarlo

Conectar un directorio hace dos cosas a la vez: las personas inician sesión en la solución con las credenciales que ya tienen, y su registro de usuario se crea aquí a partir de los atributos del directorio en lugar de escribirse a mano. La pertenencia a grupos viene con ellas, y eso es lo que hace mantenibles las autorizaciones: usted añade a alguien a un grupo en Active Directory y su acceso aquí lo sigue.

Úselo siempre que la organización ya tenga un directorio. Mantenga además un número reducido de cuentas locales, para emergencias y para la administración local, porque de lo contrario una caída del directorio deja a todo el mundo fuera.

{% hint style="warning" %}
Tres funciones distintas tocan Active Directory, y se confunden con frecuencia:

* **Esta página**: el directorio autentica a los *usuarios de la consola* y aporta sus atributos. No se instala nada en ninguna parte.
* **Descubrimiento y rotación de cuentas**: cuentas del directorio tratadas como *credenciales gestionadas* que la solución almacena y rota. Eso funciona sobre WinRM u OpenSSH contra el dominio, no sobre esta conexión LDAP. Consulte [Descubrimiento de cuentas](/es/pam/administration/accounts/discovery-of-accounts.md).
* **AD Bridge**: unir *servidores Linux* al dominio para que las identidades del directorio se conviertan en cuentas del sistema operativo del host. Eso es una propiedad del destino, no del inicio de sesión en la consola.
  {% endhint %}

## Antes de empezar

* El perfil **SYSADMIN**.
* Alcance de red desde la solución hasta el directorio, y la cuenta de servicio con la que hará el bind.
* Si piensa usar LDAPS, los archivos de certificado y una ventana de mantenimiento, porque hay que reiniciar el servicio (véase más abajo).
* Una decisión sobre el alcance: qué parte del directorio quiere realmente aquí.

{% hint style="info" %}
Durante un piloto, no apunte la solución al dominio entero. Traiga solo los usuarios y las cuentas con los que piensa trabajar. Reducir el alcance después cuesta mucho más trabajo que ampliarlo.
{% endhint %}

## Pasos

1. Abra **Configuración del sistema › Autenticación › LDAP** y habilite el proveedor. Solo los proveedores habilitados aparecen en la pantalla de inicio de sesión.
2. Complete los parámetros de conexión del directorio y la cuenta de bind de su servidor, y la parte del árbol donde buscar.
3. Defina el mapa de **Atributos de usuario**, el JSON que indica qué atributo del directorio alimenta qué campo aquí. Es el campo que decide si los usuarios importados serán utilizables; véase [Asignación de atributos](#asignacion-de-atributos).
4. Defina la **Organización** en la que se crean los usuarios del directorio, si la creación de usuarios está habilitada. Eso determina en qué inquilino aterrizan.
5. Para alta disponibilidad, configure **LDAP HA** con el servidor de respaldo. Se usa cuando el primario no responde.
6. Guarde y lea las dos advertencias siguientes antes de dar el trabajo por terminado.

### Asignación de atributos

El mapa es JSON puro. Una asignación completa de Active Directory, con grupos:

```json
{
  "username": "samAccountName",
  "name": "displayName",
  "email": "mail",
  "groups": "memberof"
}
```

Omita `groups` y solo se importarán los usuarios, no los grupos a los que pertenecen:

```json
{
  "name": "cn",
  "email": "mail",
  "username": "sAMAccountName"
}
```

Esa segunda forma es deliberada y es una opción frecuente: pertenecer a un grupo del directorio (por ejemplo, `XPTO`) es lo que habilita a una persona a llegar a la solución, mientras que el acceso que obtiene una vez dentro se concede íntegramente aquí. Obtiene los inicios de sesión del directorio sin importar su estructura de grupos.

### LDAPS

Para usar LDAP sobre TLS, cargue `ldap_ca.pem`, `ldap_cert.pem` y `ldap_cert.key` en el appliance y reinicie el servicio. Los certificados no se suben desde esta pantalla, y los archivos nuevos no se toman en cuenta hasta el reinicio.

{% hint style="danger" %}
**Desactive la autenticación por clave pública en cuanto la autenticación por directorio esté en producción.** En **Configuración del sistema › Componentes › SSH & Terminal Protocol**, la opción **Clave pública** viene habilitada por defecto. Si la deja activa, un usuario eliminado de Active Directory todavía puede llegar a los activos con una clave SSH que registró antes: su cuenta de directorio ya no existe y la baja queda silenciosamente incompleta. Deshabilítela para que toda sesión de terminal se autentique a través del directorio.
{% endhint %}

## Lo que debería ver

La pantalla de inicio de sesión ofrece el directorio como opción de acceso. Nada más en la pantalla de configuración indica que la conexión esté sana.

## Cómo verificar que funcionó

1. Inicie sesión como un usuario del directorio que todavía no sea usuario local aquí.
2. Abra **Usuarios › Usuarios** y localícelo. La columna **Origen** debe indicar `LDAP/AD`, no `Local`. Si indica `Local`, se autenticó contra una cuenta local preexistente y no ha demostrado nada.
3. Compruebe que **Nombre** y **Correo electrónico** están rellenados. Los campos en blanco significan que el mapa de atributos es incorrecto, aunque el inicio de sesión haya funcionado.
4. Si asignó `groups`, confirme que los **Grupos de usuarios** del usuario reflejan su pertenencia en el directorio.
5. Compruebe que el inicio de sesión aparece en el registro de auditoría con el directorio como fuente de autenticación. Consulte [Registro de auditoría](/es/pam/administration/audit/audit-trail.md).

Que el inicio de sesión funcione no es, por sí solo, comprobación suficiente: el fallo habitual es un acceso correcto que produce un registro de usuario inservible.

## Errores comunes

| Síntoma                                                            | Causa                                                                              | Solución                                                                               |
| ------------------------------------------------------------------ | ---------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------- |
| Los usuarios del directorio entran pero no tienen nombre ni correo | El mapa de **Atributos de usuario** nombra atributos que el directorio no publica  | Corrija el JSON: `samAccountName`, `displayName` y `mail` para Active Directory        |
| Los usuarios se importan pero no pertenecen a ningún grupo         | Falta `groups` en el mapa                                                          | Añada `"groups": "memberof"`, o conceda acceso mediante grupos definidos aquí          |
| LDAPS falla tras cargar los certificados                           | No se reinició el servicio                                                         | Reinicie el servicio; los archivos se leen al arrancar                                 |
| Un usuario eliminado del directorio sigue llegando a los activos   | La autenticación por **Clave pública** sigue habilitada en el conector de terminal | Deshabilítela en **Configuración del sistema › Componentes › SSH & Terminal Protocol** |
| Un usuario del directorio reaparece tras eliminarlo aquí           | El directorio es el origen del registro                                            | Elimine o deshabilite la cuenta en el directorio, no aquí                              |
| Nadie puede iniciar sesión durante una caída del directorio        | Todas las cuentas dependen del directorio                                          | Mantenga al menos una cuenta local de emergencia                                       |

## Referencia de campos

| Campo                | Qué significa                                                                                              |
| -------------------- | ---------------------------------------------------------------------------------------------------------- |
| Activar              | Casilla por proveedor. Solo los proveedores habilitados aparecen en la pantalla de inicio de sesión        |
| Atributos de usuario | Mapa JSON de los atributos del directorio hacia `username`, `name`, `email` y `groups`                     |
| Organización         | El inquilino en el que se crean los usuarios del directorio cuando la creación de usuarios está habilitada |
| LDAP HA              | Un segundo servidor de directorio, de alta disponibilidad, usado como respaldo                             |

Claves del mapa y sus orígenes habituales en Active Directory:

| Clave      | Atributo del directorio | Notas                                                   |
| ---------- | ----------------------- | ------------------------------------------------------- |
| `username` | `sAMAccountName`        | El inicio de sesión. Debe ser único                     |
| `name`     | `displayName`, o `cn`   | Nombre para mostrar                                     |
| `email`    | `mail`                  | Notificaciones y recuperación de contraseña             |
| `groups`   | `memberof`              | Opcional. Omítalo para importar usuarios sin sus grupos |

Radius se configura junto a los proveedores de directorio, pero es un servidor de autenticación externo y no un directorio: se usa sobre todo para añadir un factor de contraseña de un solo uso. Consulte [Autenticación multifactor](/es/pam/administration/identities/mfa.md).

## Páginas relacionadas

* [Usuarios y grupos](/es/pam/administration/identities/users-and-groups.md): los registros que esto crea
* [Single sign-on](/es/pam/administration/identities/sso.md): los métodos federados, SAML2, OIDC, OAuth2 y CAS
* [Autenticación multifactor](/es/pam/administration/identities/mfa.md): añadir un segundo factor por encima
* [Autorizaciones](/es/pam/administration/access/authorizations.md): a qué llega un grupo importado
* [Descubrimiento de cuentas](/es/pam/administration/accounts/discovery-of-accounts.md): cuentas del directorio como credenciales gestionadas