> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/administration/sessions/rdp.md). # Sesiones RDP Acceso gráfico a activos Windows, en el navegador o por el cliente RDP local, y la variante de plataforma, el puerto y los ajustes de pantalla que deciden si la conexión llega siquiera a negociarse. ## Qué es esto y cuándo usarlo Una sesión RDP entrega al usuario un escritorio Windows a través de la solución. El conector gráfico se sitúa en medio: establece la conexión RDP con la credencial almacenada, transmite la pantalla al usuario y graba la sesión en vídeo. VNC funciona igual, por el mismo conector. Hay dos formas de entrar: | Método | Dónde se ejecuta | Notas | | ------------------ | ------------------------------------ | ------------------------------------------------------------------------------------------ | | **Web GUI** | Un escritorio remoto en el navegador | Nada que instalar en la máquina del usuario. Este es el camino que deben usar los terceros | | **Cliente nativo** | El cliente RDP local, como `mstsc` | Se conecta al listener RDP de la solución, no al activo | Si el usuario solo necesita una aplicación y no un escritorio entero, publique la aplicación en lugar del escritorio: **RemoteApp** y **VirtualApp** ejecutan un único ejecutable (un navegador, un cliente de base de datos, un IDE) en un host publicador, con la sesión intermediada y grabada del mismo modo. Así se evita entregar un escritorio interactivo completo por una sola herramienta. {% hint style="info" %} Las sesiones gráficas dejan una **grabación en vídeo y ninguna lista de comandos**. No hay nada que buscar con grep ni nada que filtrar: la auditoría a nivel de texto y el filtrado de comandos existen solo para los protocolos de terminal. Planifique su evidencia en torno a la grabación, consulte [Grabaciones de sesión](/es/pam/administration/audit/recordings.md). {% endhint %} Otros dos límites son propios de las sesiones gráficas: * **La compartición de sesión no está disponible.** Un usuario no puede pasar una sesión RDP, VNC o de base de datos a un compañero; la compartición funciona solo para SSH y Telnet en el terminal web. Un auditor sí puede ver una sesión RDP en vivo, consulte [Monitorización en vivo](/es/pam/administration/sessions/live-monitoring.md). * **La rotación automática de contraseñas no cubre las cuentas Windows por RDP.** La rotación está soportada por SSH y para las plataformas de base de datos; una cuenta Windows alcanzada solo por RDP hay que rotarla de otra manera. Consulte [Rotación](/es/pam/administration/accounts/rotation.md). ## Antes de empezar * El activo registrado en una plataforma Windows, con el protocolo **RDP** y su puerto. Consulte [Plataformas](/es/pam/administration/assets/platforms.md). * Una cuenta en el activo, registrada en la solución. * Una autorización que conceda al usuario el activo, la cuenta, el protocolo **RDP** y la acción **Conectar**, más **Portapapeles › Copiar** y **Portapapeles › Pegar** si necesita copiar y pegar, y las acciones de **Transferir** si necesita mover archivos. Consulte [Autorizaciones](/es/pam/administration/access/authorizations.md). * El conector gráfico en línea. Revise **Configuración del sistema › Componentes** y confirme que su **Load status** es **Normal**; un conector fuera de línea tumba todas las sesiones gráficas de la plataforma. ## Pasos 1. Fije primero el tamaño de pantalla, en **Configuración personal › Terminal web › Graphics**. Cambiarlo a mitad de sesión obliga a reconectar. Se admiten varios monitores. 2. Abra la lista de acceso a dispositivos, haga clic derecho en el activo y elija conectar. 3. Seleccione el protocolo **RDP** en el menú de la izquierda del diálogo **Conectar** y elija la cuenta. 4. Fije el método de conexión, entre **Web**, para el escritorio en el navegador, y la opción de cliente, para entregar la sesión al cliente RDP local, y haga clic en **Conectar**. 5. Si la conexión falla durante la negociación y no en la credencial, cambie la variante de plataforma del activo. Se describe más abajo y es lo primero que hay que probar, no lo último. ## Elegir la variante de la plataforma Windows Existen tres plataformas Windows, con listas de protocolos idénticas. Se diferencian solo en cómo se negocia la capa de seguridad de RDP: | Plataforma | Úsela para | | --------------- | ---------------------------------------------------- | | **Windows** | Servidores y estaciones en general | | **Windows-RDP** | Hosts que exigen la negociación RDP clásica, sin TLS | | **Windows-TLS** | Hosts que exigen RDP sobre TLS | {% hint style="warning" %} Las variantes existen porque la negociación de seguridad de RDP cambia según la versión de Windows y la configuración del servidor. Cuando una conexión gráfica no consigue negociar, alternar el activo entre **Windows**, **Windows-RDP** y **Windows-TLS** es el primer ajuste que hay que probar, antes de mirar credenciales, cortafuegos o el conector. {% endhint %} ## Lo que debe ver El navegador abre un escritorio a la resolución seleccionada, ya autenticado con la cuenta elegida: al usuario nunca se le pide la contraseña de Windows. Si la marca de agua está habilitada, la superposición con la identidad del usuario y del activo es visible por todo el escritorio y permanece en la grabación. ## Cómo verificar que funcionó 1. Haga algo visualmente identificable en el escritorio y luego desconéctese deliberadamente, en lugar de cerrar la pestaña. 2. Abra **Auditoría › Sesiones**, cambie a **Sesiones históricas** y confirme que existe un registro con protocolo **RDP**, la cuenta que usó y una duración que se corresponda con la sesión. 3. Haga clic en **Replay** y confirme que la acción identificable está en el vídeo y que la reproducción llega aproximadamente a la duración registrada. Una grabación que nunca arranca y otra que se detiene antes de tiempo son fallos distintos. 4. Si la marca de agua es un requisito, confirme que la superposición está presente en la reproducción, no solo en su pantalla durante la sesión. 5. Si cambió la variante de plataforma, conéctese una vez más y confirme que ahora supera la negociación. Hágalo en el activo que modificó: la variante es una propiedad de la plataforma del activo, de modo que los demás activos Windows no se ven afectados. ## Errores comunes | Síntoma | Causa | Solución | | ----------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------ | | La conexión falla durante la negociación, antes de pedir credencial alguna | La capa de seguridad RDP del activo no coincide con la variante de plataforma | Alterne el activo entre **Windows**, **Windows-RDP** y **Windows-TLS** | | La sesión se congela tras unos minutos de inactividad y hay que reconectar | El **Ahorro de memoria** de Chrome suspendió la pestaña que sostiene la sesión | En Chrome, en **Configuración › Rendimiento › Ahorro de memoria**, elija **Equilibrado** o apáguelo, y reinicie el navegador | | "The session has ended because it conflicts with another session" | Otra persona con permiso sobre el mismo activo se quedó con el acceso | Averigüe quién en **Auditoría › Sesiones**; nada está roto, el acceso fue reemplazado | | La marca de agua desaparece al usar el cliente RDP local | La marca de agua la dibuja el conector gráfico y no siempre llega a un cliente RDP nativo | Use la sesión web allí donde la marca de agua sea un requisito de cumplimiento | | **Replay** aparece atenuado en una sesión que claramente ocurrió | La sesión fue demasiado corta para contar como conexión correcta | No hay nada que recuperar; espere que las sesiones muy cortas no tengan reproducción | | Una grabación no se reproduce fuera de la consola | El formato de reproducción necesita el reproductor | Use el reproductor de vídeo de DataDike PAM para la reproducción sin conexión | | El descubrimiento de cuentas en un host Windows falla con "The connection plugin 'rdp' was not found" | El host no tiene entrada de protocolo SSH, que la tarea de recolección necesita | Añada el puerto **22** a la lista de **Protocolos** del host | | Todas las sesiones gráficas fallan a la vez | El conector gráfico está fuera de línea o saturado | Revise el **Load status** en **Configuración del sistema › Componentes**; añada otra instancia si está de forma constante en **High load** | ## Referencia de campos Ajustes de pantalla, en **Configuración personal › Terminal web › Graphics**: | Campo | Opciones | | ---------- | ----------------------------------------------------------------------------------- | | Resolution | **AUTO** (se ajusta a todos los monitores), 1024x768, 1366x768, 1600x900, 1920x1080 | Puertos de escucha, parte de la política de puertos TCP. Son los puertos en los que escucha el conector para los clientes nativos, no los puertos del activo: | Campo | Predeterminado | Notas | | -------- | -------------- | ----------------------------------------------------------------------------------------------------------------------------- | | RDP port | 3389 | Mantiene la convención de Microsoft. En entornos endurecidos, muévalo a un puerto no estándar y restrínjalo en el cortafuegos | | VNC port | 15900 | Deliberadamente no es 5900, para no chocar con un servidor VNC en el mismo host | Ajustes de sesión gráfica, en **Configuración del sistema › Seguridad › Sesiones**: | Campo | Qué hace | | --------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------- | | Marca de agua | Superpone la identidad del usuario y del activo en las sesiones de escritorio remoto y en sus grabaciones. Habilitada de forma predeterminada | | Allow users to view asset session information | Muestra el número de sesiones activas en el activo en el diálogo de selección de cuenta. **Solo RDP** | | Session share | Interruptor global de la compartición de sesión. No tiene efecto sobre las sesiones RDP, VNC ni de base de datos, que no se pueden compartir | | Tiempo máximo de inactividad (minutos) | Desconecta una sesión inactiva durante más tiempo que este. Predeterminado 30 | | Tiempo máximo en línea (horas) | Desconecta una sesión abierta durante más tiempo que este | ## Páginas relacionadas * [Plataformas](/es/pam/administration/assets/platforms.md): las tres variantes de Windows y qué más decide una plataforma * [Grabación de sesión](/es/pam/administration/sessions/recording.md): qué captura una sesión gráfica y adónde va a parar * [Grabaciones de sesión](/es/pam/administration/audit/recordings.md): reproducir y descargar el vídeo * [Monitorización en vivo](/es/pam/administration/sessions/live-monitoring.md): ver, pausar y terminar una sesión en curso * [Puertos y protocolos](/es/pam/reference/ports.md): el puerto usado para alcanzar cada plataforma