> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/identities/users-and-groups.md). # Usuarios y grupos Registre a las personas que usan la solución, agrúpelas y controle la activación, la caducidad y los requisitos de autenticación. ## Qué es esto y cuándo usarlo Un usuario es alguien que inicia sesión en la solución, no una credencial en un destino. Esa distinción importa: todo el sentido de la gestión de accesos privilegiados es que la persona se autentique como ella misma y que la solución aporte la credencial del destino. Los grupos existen para que las autorizaciones se escriban una vez para un equipo entero en lugar de una vez por persona. Conceda siempre que pueda a grupos: es la diferencia entre una revisión de accesos que dura una hora y otra que dura una semana. {% hint style="info" %} Los usuarios pueden ser locales de la solución o aprovisionarse desde un directorio. Para LDAP, Active Directory, Radius y OAuth, consulte [LDAP y Active Directory](/es/pam/administration/identities/ldap-and-ad.md). {% endhint %} ## Antes de empezar * El perfil **SYSADMIN**, o un administrador de la organización. * Los grupos que piensa usar, creados de antemano: asignarlos al crear el usuario es más fácil que corregirlo después. ## Pasos 1. Abra **Usuarios › Usuarios**. 2. Haga clic en **Crear**. 3. Complete la identidad: **Nombre**, **Usuario** (único, porque es el inicio de sesión) y **Correo electrónico**, que se usa para notificaciones, recuperación de contraseña e integración con el directorio. 4. Asigne los **grupos de usuarios**. Ellos definen el alcance de los permisos que el usuario recibirá a través de las autorizaciones. 5. Asigne los **perfiles**, es decir, lo que la persona puede hacer dentro de la consola. Consulte [Roles y permisos](/es/pam/administration/identities/roles.md). 6. Establezca una **fecha de caducidad** si el acceso es temporal. Los contratistas y las auditorías son el caso habitual, y fijarla en el momento de la creación es el único momento fiable. 7. Guarde. ## Lo que debería ver ![La pantalla de usuarios](https://162891664-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fs5AnPAmUmMC3tSpoBhHY%2Fuploads%2Fgit-blob-17f2cd5b82def62d2ba0ad1dd1a4a1499a4487de%2Fusers-and-groups.png?alt=media) **1** Cuántos usuarios devuelve el filtro actual. **2** La fila de un usuario. El usuario aparece en la lista. Dos columnas indican si realmente puede iniciar sesión: **Activación** y **Expirado**. Ambas deben estar bien, porque un usuario puede estar activo y seguir bloqueado por una fecha de caducidad ya pasada. ## Cómo verificar que funcionó 1. Pida al usuario que inicie sesión, o entre como él. 2. Confirme que la consola muestra las áreas que su perfil debe permitir. 3. Confirme que ve los activos que le conceden sus autorizaciones. Si el perfil es el correcto y no aparece ningún activo, el problema es la autorización, no el usuario. ## Acciones masivas El menú **Más acciones** opera sobre los usuarios seleccionados: | Acción | Qué hace | | ------------------------ | --------------------------------------------------------------------------------------------------- | | Quitar seleccionados | Limpia la selección o desvincula de una agrupación. **No elimina al usuario** y no cambia su estado | | Desactivar seleccionados | Bloquea el inicio de sesión conservando permisos y datos. Reversible | | Activar seleccionados | Restaura el acceso de usuarios desactivados previamente | | Eliminar seleccionados | Elimina permanentemente los usuarios, sus permisos y los datos asociados. **No es reversible** | | Actualizar seleccionados | Edita en lote grupos, perfiles, etiquetas o políticas aplicadas | {% hint style="warning" %} **Quitar** y **Eliminar** no son lo mismo, y están una junto a la otra. Quitar limpia una selección; Eliminar es irreversible. En caso de duda, desactive: eso bloquea el acceso y mantiene todo recuperable. {% endhint %} La barra de herramientas también ofrece **Invitar**, para traer a un usuario de otra organización, además de importación y exportación en CSV y XLSX. ## Referencia de campos La tabla de usuarios tiene muchas más columnas de las que se muestran por defecto. Las que deciden el comportamiento: | Campo | Qué significa | | ----------------------------------------- | --------------------------------------------------------------------------------- | | Usuario | El inicio de sesión con el que se autentica. Debe ser único | | Correo electrónico | Notificaciones, recuperación de contraseña e integración con el directorio | | Grupos de usuarios | Los grupos a los que pertenece el usuario, que definen el alcance de los permisos | | Origen | Cómo se aprovisionó la cuenta: Local, LDAP/AD, OAuth | | Rol de la organización | Rol en el nivel de la organización, como Operador o Auditor | | Rol del sistema | Rol granular en la solución, como Administrador Global o Auditor de Registros | | Administrador de la organización | Puede gestionar toda la organización | | Superadministrador | Permiso máximo en todo el sistema, incluida la configuración global | | Activación | Cuando está desactivada, no es posible ningún inicio de sesión | | Expirado | Bloquea la cuenta después de la fecha de caducidad | | MFA | Si se exige la autenticación multifactor | | MFA vinculado | Si hay una aplicación o un dispositivo OTP vinculado | | Autenticación por clave pública permitida | Si se permite el inicio de sesión por clave pública | | Necesita actualizar la contraseña | Fuerza el cambio de contraseña en el siguiente inicio de sesión | | Inicio de sesión bloqueado | Bloqueo temporal tras intentos fallidos | | Válido | Indicador interno de que la cuenta está en un estado coherente | Las columnas informativas incluyen fechas de creación y actualización, último inicio de sesión, último uso de clave de API, último cambio de contraseña, creador, quién actualizó por última vez, teléfono, ID de Slack, etiquetas y un comentario de texto libre. ## Errores comunes | Síntoma | Causa | Solución | | -------------------------------------------------------------------- | -------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------ | | El usuario no puede iniciar sesión aunque la cuenta parezca correcta | **Activación** desactivada, o una fecha de caducidad ya pasada | Revise ambas columnas, no solo la activación | | Inicio de sesión rechazado tras varios intentos | **Inicio de sesión bloqueado** tras intentos fallidos | Espere a que el bloqueo se levante, o elimínelo | | El usuario entra pero no ve nada | Ninguna autorización lo cubre | El registro del usuario no es donde se concede el acceso. Consulte [Autorizaciones](/es/pam/administration/access/authorizations.md) | | Un usuario de directorio reaparece tras eliminarlo | La cuenta se aprovisiona desde un directorio | Elimínela o deshabilítela en el origen, no aquí | ## Páginas relacionadas * [Roles y permisos](/es/pam/administration/identities/roles.md): lo que un usuario puede hacer en la consola * [Autorizaciones](/es/pam/administration/access/authorizations.md): lo que un usuario puede alcanzar * [LDAP y Active Directory](/es/pam/administration/identities/ldap-and-ad.md) * [Autenticación multifactor](/es/pam/administration/identities/mfa.md)