> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/get-started/what-is-datadike-pam.md).

# Qué es DataDike PAM

Qué hace DataDike PAM y qué problema resuelve: guarda las credenciales de las cuentas privilegiadas, entrega su uso sin mostrarlas, intermedia las sesiones que las utilizan y graba cada una.

DataDike PAM es una solución de gestión de acceso privilegiado. Guarda las credenciales de las cuentas privilegiadas de su infraestructura, da a las personas autorizadas el uso de esas credenciales sin mostrarlas, intermedia las sesiones que abren y conserva un registro de lo que ocurrió en cada una.

El modelo es el de un único punto de mediación. El usuario se autentica en la solución como él mismo; la solución se autentica en el destino con la credencial almacenada; el tráfico pasa por la solución, de modo que puede restringirse mientras ocurre y reproducirse después. El usuario no necesita ninguna ruta hacia el destino y nunca llega a conocer su contraseña.

Si el vocabulario es nuevo (activo, cuenta, plataforma, autorización), lea antes [Conceptos fundamentales](/es/pam/get-started/core-concepts.md). Aquella página describe los objetos; esta describe el producto.

## El problema que resuelve

Las credenciales privilegiadas se dispersan. La contraseña de `root` se comparte entre administradores, la contraseña de una cuenta de servicio se pega en un script, la contraseña de una base de datos queda en un archivo de configuración y los operadores alcanzan los destinos directamente desde sus estaciones de trabajo. Ese patrón tiene cuatro costes:

* **Sin atribución.** Varias personas conocen la misma contraseña, así que una acción en el destino no puede vincularse a una persona.
* **Sin evidencia.** Nada registra lo que se escribió o se vio, así que un incidente no puede reconstruirse.
* **Sin revocación.** Retirar el acceso de una persona significa cambiar la contraseña en todos los destinos que esa persona conocía.
* **Exposición.** El destino debe ser alcanzable desde la estación del operador, lo que obliga a la red a permitirlo.

DataDike PAM retira el secreto compartido de la circulación. La credencial permanece en la bóveda, la persona se autentica como ella misma y todo acceso viaja por una ruta autorizada, filtrada y grabada.

## Cómo ocurre un acceso

1. **El usuario se autentica en la solución**, con autenticación multifactor cuando la [política de inicio de sesión](/es/pam/administration/access/login-policies.md) lo exige. El inicio de sesión también puede restringirse por IP de origen y por franja horaria.
2. **Las autorizaciones deciden qué ve.** Un usuario sin [autorización](/es/pam/administration/access/authorizations.md) no ve ningún activo, por mucho que tenga otros atributos. El acceso puede ser permanente o solicitarse bajo demanda como [acceso just-in-time](/es/pam/administration/access/just-in-time.md).
3. **Aprobación, cuando la regla lo exige.** Una solicitud espera a los aprobadores indicados en la regla; dos o más aprobadores dan custodia doble.
4. **La credencial se recupera de la bóveda** y la solución la inyecta en el inicio de sesión del destino. La contraseña no se muestra a quien pide el acceso y, allí donde la política sí permite revelarla, el usuario debe autenticarse de nuevo antes.
5. **La sesión se abre a través de la solución**: directamente, mediante una máquina de salto o por una ruta inversa desde una red que no acepta ninguna conexión entrante.
6. **La sesión se vigila mientras ocurre.** Los comandos se capturan y se clasifican, los [filtros de comandos](/es/pam/administration/access/command-filtering.md) alertan o bloquean lo que coincide con ellos, un auditor puede observar y terminar una sesión en vivo, y el análisis de comportamiento puntúa el acceso en busca de anomalías.
7. **Cuando la sesión termina**, las concesiones temporales se revocan automáticamente, y revocar una concesión termina las sesiones que se ejecutan bajo ella.
8. **El registro permanece.** La entrada de la sesión, su reproducción, los comandos escritos y los archivos transferidos permanecen en el [registro de auditoría](/es/pam/administration/audit/audit-trail.md) durante el periodo de retención configurado.

## Qué gestiona

| Categoría                   | Qué abarca                                                                                      |
| --------------------------- | ----------------------------------------------------------------------------------------------- |
| Servidores                  | Windows Server (2003 a 2025) y escritorios Windows, distribuciones Linux, Unix y AIX (5L a 7.3) |
| Bases de datos              | Oracle, SQL Server, MySQL, MariaDB, PostgreSQL, MongoDB, Redis, ClickHouse, DB2, Dameng         |
| Dispositivos de red         | Conmutadores, enrutadores, cortafuegos y consolas fuera de banda, por SSH y Telnet              |
| Plataformas de contenedores | Clústeres de Kubernetes                                                                         |
| Web y nube                  | Aplicaciones web y las consolas de Azure, AWS y GCP                                             |
| Aplicaciones publicadas     | RemoteApp en Windows y aplicaciones virtuales en Linux, sin publicar un escritorio completo     |

Las sesiones se ejecutan en el navegador (terminal web, escritorio remoto, cliente de base de datos, explorador de archivos) o mediante el cliente del propio usuario, como PuTTY, `mstsc.exe` o DBeaver. La solución es el proxy en ambos casos, y ambos quedan grabados. Consulte [Métodos de conexión](/es/pam/administration/sessions/connection-methods.md).

## Cómo se tratan las credenciales

La bóveda es el centro del producto. Los secretos se almacenan en la bóveda cifrada de la propia solución, o el almacenamiento se delega en una bóveda corporativa que usted ya opera: HashiCorp Vault, Azure Key Vault o AWS Secrets Manager. Consulte [La bóveda de credenciales](/es/pam/administration/accounts/vault.md).

A su alrededor:

* El **descubrimiento** encuentra activos en la red y en cuentas de nube y recopila las cuentas que ya existen en ellos, de modo que una cuenta que nadie registró deja de ser invisible.
* La **rotación** cambia contraseñas de forma programada, tras su uso o al caducar, en servidores, bases de datos, aplicaciones web, dispositivos de red y mainframe, por SSH, WinRM, RPC o REST. Consulte [Rotar credenciales](/es/pam/administration/accounts/rotation.md).
* La **reconciliación** detecta que la solución ha perdido el control de una contraseña y la cambia usando otra credencial para recuperar el control.
* El **acceso de aplicación a aplicación** entrega secretos a scripts, escáneres y pipelines mediante una API, de modo que las credenciales dejan de estar incrustadas en el código fuente y en los archivos de configuración.

{% hint style="info" %}
**Custodia de la clave.** La clave de cifrado de la bóveda permanece bajo control exclusivo del cliente. Cuando se usa un HSM o KMS externo mediante PKCS#11, la clave maestra nunca sale del dispositivo criptográfico del cliente. Ni DataDike ni el socio que realiza la implantación tienen acceso a la clave de la bóveda, y el producto no incorpora ninguna puerta trasera para ella.
{% endhint %}

{% hint style="warning" %}
La recuperación de la clave de cifrado de la copia de seguridad puede repartirse entre varios administradores, de forma que deba estar presente un número predefinido de ellos para reensamblarla. Es deliberado: la idea es que la clave de la bóveda nunca esté en posesión de una sola persona.
{% endhint %}

## Sin agente, con dos excepciones

No hace falta instalar nada en un destino gestionado. La recopilación de cuentas, el cambio de contraseñas y la intermediación de sesiones se realizan sobre protocolos que el destino ya expone (SSH, WinRM, RDP, los protocolos de base de datos), así que incorporar un dispositivo no implica desplegar software.

Existen dos agentes opcionales, y saber por qué existen mantiene honesta la afirmación:

| Agente                     | Por qué existe                                                                                                                                                                                                          |
| -------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Agente de endpoint Windows | Recopila información del activo, ejecuta tareas locales y se integra con la gestión de cuentas de Windows en los servidores donde así se desea                                                                          |
| Conector                   | Se instala en una máquina aislada que no tiene ninguna máquina de salto delante, para que la máquina pueda publicarse a sí misma por una ruta inversa. Consulte [Broker](/es/pam/administration/connectivity/broker.md) |

Ninguno de los dos es necesario para gestionar un activo.

## Dónde se ejecuta

* Como appliance en su propio centro de datos o como servicio alojado por DataDike.
* En un solo nodo o como clúster de alta disponibilidad de varios nodos tras una única dirección virtual, con la base de datos, la caché y el almacenamiento compartido replicados entre ellos.
* Los componentes de acceso son independientes por protocolo, así que pueden escalarse y actualizarse de uno en uno sin detener el producto.
* A la consola se accede por HTTPS desde Firefox, Chrome, Edge, Opera o Safari. La interfaz está disponible en portugués, inglés, español y francés.

Consulte [Arquitectura y componentes](/es/pam/get-started/architecture.md) para saber cuáles son esas piezas y cómo viaja una sesión entre ellas.

## Páginas relacionadas

* [Conceptos fundamentales](/es/pam/get-started/core-concepts.md), los objetos y el vocabulario
* [Arquitectura y componentes](/es/pam/get-started/architecture.md), el software que ejecuta el producto
* [Un recorrido por la consola](/es/pam/get-started/console-tour.md), dónde está cada cosa
* [Incorpore su primer activo gestionado](/es/pam/get-started/first-managed-asset.md), el modelo completo en un ejercicio