> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/get-started/first-managed-asset.md).

# Incorpore su primer activo gestionado

El camino completo desde una instancia vacía hasta una sesión grabada: registrar un activo, elegir su plataforma, registrar la cuenta, escribir la autorización, conectar y encontrar la grabación en el

Este es el producto entero en un solo ejercicio. Al terminar tendrá un activo que la solución gestiona, una credencial que ella guarda y nunca muestra, una regla que concede a una persona su uso y una sesión en el registro de auditoría que puede reproducirse.

Cada paso enlaza con la página que lo cubre a fondo. Lea esta página por el **orden y las decisiones**; lea las páginas enlazadas por los campos.

{% hint style="info" %}
Elija el primer activo más sencillo posible: un host Linux que la solución ya alcance por SSH, con una cuenta local cuya contraseña usted conoce. Demuestre la cadena ahí y después repítala en los casos incómodos. Incorporar como primer ejercicio un host Windows segmentado detrás de un broker significa depurar cuatro cosas a la vez.
{% endhint %}

Si las palabras *activo*, *plataforma*, *cuenta* y *autorización* aún no son distintas en su cabeza, lea antes [Conceptos fundamentales](/es/pam/get-started/core-concepts.md), porque esta página usa las cuatro.

## Antes de empezar

* Una función que le dé el área **Sysadmin**. Consulte [Funciones y permisos](/es/pam/administration/identities/roles.md).
* Un **segundo usuario** sin privilegios más allá de Cockpit, para recibir la autorización. Concedérsela a usted mismo funciona, pero probar con alguien que parte de cero es lo que de verdad demuestra que es la regla la que concede.
* La **dirección** del destino y una **credencial** en él: usuario y contraseña, o una clave SSH.
* Alcance de red desde la solución hasta el activo, en el puerto del protocolo. Si no lo hay, el paso 1 es donde se resuelve.

{% hint style="warning" %}
**Importe primero la licencia.** Hasta que la licencia se importe, las funciones quedan deshabilitadas, y el síntoma son características que parecen existir y no hacen nada. Las licencias están en **Configuración del sistema**.
{% endhint %}

{% hint style="warning" %}
**Revise el reloj y la zona horaria del servidor antes que nada.** Las contraseñas de un solo uso tienen precisión de segundos, así que un reloj desviado produce `OTP code invalid, or server time error` al iniciar sesión y le deja fuera de la consola por motivos que no se parecen en nada a un problema de reloj.
{% endhint %}

## Pasos

### 1. Decida la ruta de red

Hágalo primero, porque el registro del activo le obliga a comprometerse con ella.

| Situación                                           | Qué se configura                                                                                                                                                             |
| --------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| La solución tiene ruta hasta el propio activo       | Nada. Este es el caso que conviene elegir para su primer activo                                                                                                              |
| Solo una máquina de la red de destino es alcanzable | Un [Proxy](/es/pam/administration/connectivity/proxy.md), la zona, con la máquina de salto registrada dentro como [Gateway](/es/pam/administration/connectivity/gateways.md) |
| Ninguna ruta, o ninguna conexión entrante permitida | Un [Broker](/es/pam/administration/connectivity/broker.md), hacia el que marca el lado remoto                                                                                |

{% hint style="warning" %}
Un activo usa **un proxy o un gateway de broker, nunca ambos**. Proxy y gateway son dos mitades de un mismo mecanismo (la zona y la máquina que hay dentro), no dos alternativas.
{% endhint %}

### 2. Elija la plataforma

La plataforma es lo que le dice a la solución qué protocolos acepta el activo y en qué puertos, así que tiene que estar bien antes de registrar el activo. Abra **Entorno › Plataformas** y busque la plataforma nativa que corresponde a la tecnología: *Linux*, con SSH en el 22, para un host Linux.

Las plataformas nativas no pueden editarse, solo **duplicarse**. Si necesita una variante, duplíquela y modifique la copia. Consulte [Plataformas](/es/pam/administration/assets/platforms.md).

{% hint style="info" %}
El puerto de una plataforma es el **valor predeterminado que heredan** los activos registrados después contra ella. Cambiarlo más tarde no mueve los activos ya registrados: eso requiere **Sincronizar protocolos a los activos**.
{% endhint %}

### 3. Registre el activo

En **Entorno › Activos**, cree el activo con su nombre, su dirección y la plataforma del paso anterior. Aproveche para archivarlo en una carpeta: reorganizar más tarde cuesta mucho más que archivar ahora.

Después ejecute **Probar conexión** en la ficha. Registrar un activo y poder alcanzarlo son cosas distintas, y la ficha se ve igual en ambos casos. Consulte [Inventario de activos](/es/pam/administration/assets/inventory.md).

Para un segmento de red con muchos hosts, registre el primero a mano y luego use [Descubrir](/es/pam/administration/assets/discovery.md) para el resto.

### 4. Registre la cuenta

En **Cuentas › Cuentas**, cree la cuenta contra el activo que acaba de registrar: el nombre de usuario, el secreto y dos decisiones que es fácil saltarse e incómodo arreglar después:

* márquela como **Privilegiada** si tiene derechos administrativos en el destino;
* configure **su/sudo** si la cuenta debe elevar privilegios tras iniciar sesión.

Guarde y después use **Probar seleccionados** para confirmar que la credencial autentica de verdad. Consulte [Cuentas gestionadas](/es/pam/administration/accounts/managed-accounts.md).

{% hint style="info" %}
Si la misma credencial existe en muchos activos, no la registre una y otra vez: use una [plantilla de cuenta](/es/pam/administration/accounts/account-templates.md). Y si las cuentas ya existen en el destino y usted no las conoce todas, recopílelas del activo en lugar de escribirlas.
{% endhint %}

### 5. Escriba la autorización

Este es el paso que concede el acceso. Todo lo anterior solo hizo que el activo fuera gestionable.

En **Políticas › Autorización**, cree una regla que una los tres lados:

* **Quién**: el usuario de prueba o, mejor, un grupo al que pertenezca.
* **Qué**: el activo (o la carpeta en la que está) y la cuenta que registró.
* **Cómo**: el protocolo, como mínimo la acción **Conectar**, y un periodo de validez.

Ponga a la regla un nombre que diga quién obtiene qué: el nombre es lo primero que lee un auditor. Consulte [Autorizaciones](/es/pam/administration/access/authorizations.md).

{% hint style="warning" %}
Una regla puede guardarse sin errores y aun así no conceder nada, por estar inactiva o fuera de su ventana de validez. Revise la columna **Válido**, no el hecho de que la regla exista.
{% endhint %}

### 6. Abra la sesión

Inicie sesión como el usuario al que concedió el acceso y abra **Acceso** en el área **Cockpit**. El activo debe aparecer ahí; si no aparece, la regla no llega a ese usuario y no tiene sentido intentar conectar.

Conecte con **Web CLI** para SSH. No se le pedirá la contraseña del destino: la solución la inyecta. Ejecute dos o tres comandos inofensivos (`hostname`, `id`, `uptime`) para que la grabación tenga algún contenido.

Los demás métodos (el escritorio en el navegador, un cliente nativo, un cliente de base de datos) están en [Métodos de conexión](/es/pam/administration/sessions/connection-methods.md).

### 7. Encuéntrela en el registro de auditoría

De vuelta en una sesión de administrador o auditor, abra **Auditoría › Consola › Session records**. La sesión que acaba de ejecutar está ahí, con su usuario, activo, cuenta, protocolo, horas de inicio y fin, duración y un botón que la reproduce. Consulte [Registro de auditoría](/es/pam/administration/audit/audit-trail.md).

## Qué debería ver

* El activo como una ficha bajo la carpeta en la que lo archivó, con la insignia `ACTIVE` y los protocolos y puertos efectivos de su plataforma.
* La cuenta listada contra ese activo, con la fecha de su última actualización.
* La autorización en la lista de reglas, con **Válido** mostrando que está en vigor.
* El activo presente en la lista **Acceso** del usuario autorizado y ausente de la lista de un usuario sin regla.
* Una entrada en **Auditoría › Consola › Session records** para la sesión que abrió.

## Cómo comprobar que funcionó

**La sesión grabada en el registro de auditoría es la comprobación.** Nada anterior al paso 7 demuestra la cadena: un activo puede estar registrado y ser inalcanzable, una cuenta puede estar almacenada y ser incorrecta, una regla puede existir y no conceder nada.

1. Abra **Auditoría › Consola › Session records** y localice la sesión por usuario y hora.
2. Revise las tres columnas que importan: el **usuario** es la persona que se conectó, no una identidad compartida; el **activo** es el suyo; la **cuenta** es la que registró. Juntas son la prueba de que la atribución y la inyección de credenciales funcionaron.
3. Reproduzca la **grabación**. Los comandos que ejecutó deben verse en ella. Consulte [Grabaciones de sesión](/es/pam/administration/audit/recordings.md).
4. Para SSH o Telnet, abra **Auditoría › Sesiones › Keylogger** y confirme que esos mismos comandos aparecen listados uno a uno, con marca de tiempo.
5. Como prueba negativa, desactive el campo **Activo** de la autorización y recargue la lista **Acceso** del usuario autorizado. El activo debe desaparecer. Eso es lo que confirma que es la autorización la que concede el acceso, y no otra cosa que usted configuró por el camino.

Si el registro de la sesión está ahí pero la reproducción no, la cadena funcionó y el problema es de grabación o de almacenamiento, no de acceso.

## Errores comunes

| Síntoma                                                                             | Causa                                                                                            | Solución                                                                                |
| ----------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------ | --------------------------------------------------------------------------------------- |
| Las pantallas están, pero las funciones no hacen nada                               | La licencia no se ha importado                                                                   | Impórtela en **Configuración del sistema**                                              |
| `OTP code invalid, or server time error` al iniciar sesión                          | El reloj del servidor se ha desviado; el OTP tiene precisión de segundos                         | Corrija la hora y la zona horaria del nodo, y manténgalas sincronizadas                 |
| El activo se guarda pero **Probar conexión** falla, aunque el host responde al ping | Puerto efectivo equivocado, o todavía no hay cuenta con la que probar                            | Compare **Protocolos**, en la pestaña **Básico** del activo, con el host                |
| La sesión se rechaza por un protocolo que usted esperaba                            | La plataforma no lo ofrece                                                                       | La plataforma está mal, no el activo. Revise **Entorno › Plataformas**                  |
| La cuenta se guarda pero la autenticación falla en el destino                       | El secreto almacenado no coincide con el del destino                                             | Nada en el registro lo revela. Solo lo hacen **Probar seleccionados** o una sesión real |
| El usuario autorizado no ve ningún activo                                           | La regla no alcanza ni al usuario ni a un grupo suyo, o está inactiva o caducada                 | Revise el sujeto de la regla y después su columna **Válido**                            |
| El activo aparece pero la sesión se rechaza                                         | El protocolo no está en la lista de protocolos de la regla, o la selección de cuentas lo excluye | Arregle la regla, no el activo                                                          |
| El activo aparece pero no se ofrece ningún método de conexión                       | Una regla de método de conexión deniega todos los métodos a ese usuario                          | Revise **Políticas › Método de conexión**                                               |
| El registro de la sesión existe sin reproducción                                    | La grabación estaba desactivada para ese activo, o la retención ha vencido                       | Revise la configuración de grabación y **Configuración del sistema › Retenciones**      |

## A dónde ir después

Una vez que un activo funciona de extremo a extremo, el resto del entorno es repetición más política:

* Registre los activos restantes en masa con [Descubrir](/es/pam/administration/assets/discovery.md) y archívelos con [carpetas y etiquetas](/es/pam/administration/assets/folders-and-tags.md).
* Deje de escribir credenciales una a una con [plantillas de cuenta](/es/pam/administration/accounts/account-templates.md) y póngalas en calendario con [rotación](/es/pam/administration/accounts/rotation.md).
* Restrinja lo que puede ejecutarse dentro de una sesión concedida con [inspección de comandos](/es/pam/administration/access/command-filtering.md).
* Sustituya las concesiones permanentes por [acceso just-in-time](/es/pam/administration/access/just-in-time.md) allí donde el acceso sea ocasional.
* Traiga a las personas desde su directorio con [LDAP y Active Directory](/es/pam/administration/identities/ldap-and-ad.md) y exija [MFA](/es/pam/administration/identities/mfa.md).

## Páginas relacionadas

* [Conceptos fundamentales](/es/pam/get-started/core-concepts.md), los cuatro objetos que esta página encadena
* [Inventario de activos](/es/pam/administration/assets/inventory.md) y [Plataformas](/es/pam/administration/assets/platforms.md)
* [Cuentas gestionadas](/es/pam/administration/accounts/managed-accounts.md)
* [Autorizaciones](/es/pam/administration/access/authorizations.md)
* [Registro de auditoría](/es/pam/administration/audit/audit-trail.md)