> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/pam/reference/configuration-fields.md). # Campos de configuración Una consulta campo a campo del área Configuración del sistema: qué hace cada ajuste y con qué valor viene de fábrica, organizado por la pantalla en la que aparece. Todo lo que sigue está en **Configuración del sistema**, una sección por pantalla. Úselo cuando esté mirando un campo y quiera saber qué hace, o cuando necesite saber cuál era un valor antes de que alguien lo cambiara. {% hint style="info" %} Esta página cubre los ajustes configurados **en la consola**. Los parámetros fijados en el momento de la instalación, en el archivo de configuración del servidor, no están aquí; allí donde un ajuste de la consola depende de uno de ellos, la dependencia se señala. {% endhint %} Los valores predeterminados indicados son aquellos con los que viene la solución. Varios son deliberadamente permisivos (`999`, `9999` y `Auto` significan todos "sin límite efectivo"), así que lea el valor predeterminado antes de dar por hecho que un control ya está en vigor. ## General **Configuración del sistema › General** | Sección | Campo | Qué hace | Predeterminado | | ---------- | ---------------------------- | -------------------------------------------------------------------------------------------------------------------------- | --------------------------- | | Básico | URL del sitio | La dirección públicamente alcanzable de esta instancia. Obligatorio | | | Básico | Default language | Idioma de la interfaz para los usuarios nuevos | | | Básico | Timezone | Zona horaria aplicada a marcas de tiempo y registros | | | Básico | Logo (with text) | Se muestra en la página de inicio de sesión y en la esquina superior izquierda de la consola | | | Básico | Logo (without text) | La marca pequeña que se usa donde no hay espacio para el logotipo completo | | | Básico | Site icon | Icono de la pestaña del navegador, `.ico` o `.png` | | | Básico | Login background image | Fondo de la página de inicio de sesión | | | Básico | Login page title | Texto de la página de inicio de sesión | | | Básico | Interface theme | Esquema de colores de la consola | | | Básico | Custom navigation links | Enlaces adicionales en la barra de navegación superior, como matriz JSON | | | Básico | ICP registration information | Texto de registro regulatorio, para implantaciones en China | | | Navegación | URL de la documentación | Destino del icono de documentación (**?**) de la barra superior. Apúntelo a un portal interno si mantiene uno | `https://wiki.datadike.com` | | Navegación | URL de soporte | Destino de la opción de soporte de la barra superior: un sistema de tickets, una herramienta de ITSM o un canal del equipo | `https://wiki.datadike.com` | {% hint style="warning" %} La **URL del sitio** no es cosmética. Es la dirección que se escribe en los correos de notificación, la que se usa para el redireccionamiento de vuelta desde el inicio de sesión SAML2, OIDC y OAuth2, la que construye las retrollamadas y los webhooks internos, y la que se emplea para las descargas de los clientes de acceso remoto. Use HTTPS, no deje la barra final y reinicie los componentes dependientes tras cambiarla: un valor incorrecto produce correos de aprobación cuyos enlaces no llevan a ninguna parte e inicios de sesión SSO que fallan en el camino de vuelta. {% endhint %} ## Anuncio **Configuración del sistema › Anuncio** Un banner que se muestra a todos los usuarios al iniciar sesión, típicamente el aviso de monitorización que informa a la gente de que su sesión se graba. | Campo | Qué hace | Predeterminado | | ---------- | ---------------------------------------------------------------------------------------------------------------------- | -------------- | | Anuncio | Interruptor principal. Apagado, no se muestra nada, sean cuales sean los demás campos | | | Asunto | Titular del aviso. Obligatorio | | | Contenido | Cuerpo del aviso, en texto enriquecido, con una pestaña de vista previa. Obligatorio | | | Date start | Fecha y hora en que el aviso empieza a mostrarse, `YYYY-MM-DD HH:MM:SS` | | | Date end | Fecha y hora en que deja de mostrarse. Se oculta solo, sin ningún paso manual | | | More link | URL opcional detrás de un enlace "leer más" en el pie del aviso: la política de uso aceptable o el aviso de privacidad | | ## Funciones **Configuración del sistema › Funciones**. Cinco módulos independientes, una pestaña cada uno. | Pestaña | Campo | Qué hace | Predeterminado | | ------------------------- | ---------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------- | | Access requests | Ticket | Permite que un usuario sin autorización directa solicite acceso temporal por ticket. El flujo de aprobación en sí se configura en las reglas de autorización | Habilitado | | Access requests | Approval without login | Los aprobadores actúan desde un enlace enviado por correo, sin entrar en la consola. Pensado para directivos y aprobadores externos | Deshabilitado | | Access requests | Período | Cuánto tiempo sigue siendo válida una autorización concedida por ticket. Se usa junto con la Unidad | 7 | | Access requests | Unidad | Unidad del Período: `day` u `hour`. Use `hour` para acceso de guardia | day | | Centro de tareas | Adhoc | Permite la ejecución inmediata y no programada de comandos en muchos activos | Habilitado | | Centro de tareas | Lista de bloqueo de comandos | Comandos rechazados en la ejecución adhoc, sean cuales sean los permisos del usuario | `reboot`, `shutdown`, `poweroff`, `halt`, `dd`, `half`, `top` | | Almacenamiento de cuentas | Vault | Guarda los secretos de las cuentas en una bóveda externa (HashiCorp Vault, Azure Key Vault o AWS Secrets Manager) en lugar de en la base de datos local | Deshabilitado | | Almacenamiento de cuentas | Record limit | Cuántos registros históricos de cuenta conservar. Por debajo de 999, una tarea nocturna borra el exceso; en 999 o más, no se borra nada automáticamente | 999 | | Chat IA | Chat IA | Habilita el asistente de IA dentro de la consola. Los demás campos de la pestaña deben estar rellenos para que funcione | Deshabilitado | | Chat IA | GPT model | Qué modelo llamar. La elección determina tanto el coste como la calidad de las respuestas | | | Chat IA | GPT base URL | URL base del servicio compatible con OpenAI. Apúntela a un servicio propio cuando haya requisitos de aislamiento de red o de residencia de datos | `https://api.openai.com/v1` | | Chat IA | Clave de API | Clave de autenticación de ese servicio. Trátela como una credencial y póngale un límite de gasto | | | Chat IA | Agent | Prompt de sistema que fija el alcance, el comportamiento y el idioma de respuesta del asistente. Vacío significa el propio valor por defecto del modelo | | | VirtualApp | Virtual app | Interruptor global de las aplicaciones remotas publicadas. Apagado, toda el área **Virtual access applications** desaparece de la consola | Habilitado | {% hint style="danger" %} **El almacenamiento de cuentas debe prepararse en el servidor antes de activarse aquí.** `VAULT_ENABLED` y `VAULT_BACKEND` tienen que fijarse primero en el archivo de configuración del servidor. La sincronización que viene después es de **un solo sentido**, de la base de datos local a la bóveda remota, y cuando termina la base local ya no guarda contraseña alguna. Haga una copia de seguridad completa antes de ejecutarla: revertirla significa otra migración. Cualquier cambio posterior en la configuración de la bóveda requiere reiniciar el servicio para surtir efecto. {% endhint %} {% hint style="info" %} `top` está en la lista de bloqueo de comandos por un motivo poco evidente: no es destructivo, pero un monitor interactivo nunca termina, así que el trabajo que lo lanzó tampoco termina nunca. Los demás valores predeterminados están ahí por el motivo evidente. {% endhint %} ## Seguridad **Configuración del sistema › Seguridad**. Cuatro pestañas. | Pestaña | Campo | Qué hace | Predeterminado | | ------------------------------- | --------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | -------------- | | Autenticación | Captcha en el inicio de sesión | Exige un desafío en la página de inicio de sesión, contra la fuerza bruta automatizada | Habilitado | | Autenticación | Login dynamic code | Exige un código de un solo uso adicional al iniciar sesión, enviado por correo o SMS | | | Autenticación | Auto disable threshold (day) | Días de inactividad tras los cuales una cuenta de usuario se deshabilita automáticamente. Obligatorio | 999 | | Autenticación | Suspicious login verification | Compara la dirección de inicio de sesión con la ciudad habitual del usuario y exige verificación adicional, enviando un aviso de inicio de sesión remoto | Habilitado | | Autenticación | MFA global | Política de MFA para todos: `Not enabled`, `All users` u `Only admin users` | Not enabled | | Autenticación | Third-party login MFA | Aplica el MFA también a los usuarios que llegan por LDAP, OIDC, SAML2 y los demás proveedores externos | Habilitado | | Autenticación | MFA verify TTL | Segundos que un segundo factor verificado sigue siendo válido antes de volver a pedirse. Obligatorio | 3600 | | Autenticación | Nombre del emisor OTP | El nombre que las aplicaciones de autenticación muestran para esta instancia | | | Autenticación | Ventana de validez OTP | Cuántos periodos de tiempo a cada lado del actual se aceptan, para absorber la deriva del reloj. Obligatorio | 2 | | Restricción de inicio de sesión | Login failures count | Inicios de sesión fallidos por usuario antes de un bloqueo temporal. Obligatorio | 7 | | Restricción de inicio de sesión | Login failure period (minute) | Ventana a lo largo de la cual se cuentan esos fallos. Obligatorio | 30 | | Restricción de inicio de sesión | Login failures count (IP) | Inicios de sesión fallidos desde una dirección antes de bloquear la dirección. Obligatorio | 7 | | Restricción de inicio de sesión | Login failure period (minute), IP | Ventana a lo largo de la cual se cuentan los fallos por dirección. Obligatorio | 180 | | Restricción de inicio de sesión | Lista de IP permitidas para inicio de sesión | Direcciones, rangos y CIDR con permiso para entrar. Cuando está definida, nada fuera de ella puede. Acepta `192.168.10.1`, `192.168.1.0/24`, `10.1.1.1-10.1.1.20` e IPv6 | | | Restricción de inicio de sesión | Lista de denegación de IP de inicio de sesión | Direcciones rechazadas explícitamente. Misma notación | | | Restricción de inicio de sesión | Blocked IP's | Lectura de las direcciones actualmente bloqueadas, con la opción de liberarlas | | | Restricción de inicio de sesión | Only single device login | Un nuevo inicio de sesión desconecta las demás sesiones del usuario | Deshabilitado | | Restricción de inicio de sesión | Only exist user login | Rechaza a los usuarios que no tengan ya una ficha aquí. Apagado, un usuario que llega por un proveedor externo se crea en su primer inicio de sesión | Deshabilitado | | Restricción de inicio de sesión | Only from source login | Autentica al usuario solo contra la fuente registrada en su ficha. Apagado, se prueban en orden todos los métodos habilitados y cualquier éxito le da entrada | Deshabilitado | | Contraseñas | User password expiration (day) | Días antes de que haya que cambiar una contraseña local. Se envía un recordatorio diario durante los últimos cinco días. Obligatorio | 9999 | | Contraseñas | Recent password count | Cuántas contraseñas anteriores se recuerdan y se rechazan. Obligatorio | 5 | | Contraseñas | Minimum length (User) | Longitud mínima de la contraseña local para usuarios corrientes. Obligatorio | 6 | | Contraseñas | Minimum length (Admin) | Longitud mínima de la contraseña local para administradores. Obligatorio | 6 | | Contraseñas | Uppercase / Lowercase / Digits / Special characters | Clases de caracteres que debe contener una contraseña local, una casilla para cada una | | | Sesiones | Marca de agua | Superpone un texto identificativo en las sesiones web y en las grabaciones. Obligatorio | Habilitado | | Sesiones | Watermark session content | El texto de la superposición, construido a partir de variables. Predeterminado `${name}(${userName})${assetName}${assetAddress}` | | | Sesiones | Session share | Permite compartir una sesión activa con otro usuario, para soporte o supervisión. Obligatorio | | | Sesiones | Session expire at browser closed | Termina la sesión de consola al cerrar el navegador, diga lo que diga el tiempo de inactividad | | | Sesiones | Allow users to view asset session info | Muestra el número de sesiones activas en un activo en el diálogo de selección de cuenta. Solo RDP | | | Sesiones | Max idle time (minute) | Tiempo de inactividad tras el cual se corta una conexión. Obligatorio | 30 | | Sesiones | Max online time (hour) | Duración total tras la cual se corta una conexión, haya actividad o no. Obligatorio | 24 | Las variables que acepta **Watermark session content**: | Variable | Se resuelve como | | ----------------- | -------------------------------------- | | `${userId}` | ID del usuario | | `${name}` | Nombre completo del usuario | | `${userName}` | Nombre de inicio de sesión del usuario | | `${assetId}` | ID del activo | | `${assetName}` | Nombre del activo | | `${assetAddress}` | Dirección del activo | | `${currentTime}` | Fecha y hora actuales | {% hint style="warning" %} Dos cosas de esta pestaña muerden en la práctica. Una vez que **MFA global** se fija en *All users*, un usuario ya no puede desactivar su propio MFA, que es justo la idea, pero también significa que un usuario que pierde su autenticador necesita a un administrador para restablecerlo. Y la marca de agua es fiable en sesiones SSH y Telnet, mientras que en RDP la aplica el conector gráfico y **no siempre aparece cuando el usuario se conecta con un cliente RDP nativo**. No trate la marca de agua en RDP como un control que pueda demostrar. {% endhint %} {% hint style="info" %} La lista de denegación gana. Una dirección que aparezca a la vez en la **Lista de IP permitidas para inicio de sesión** y en la **Lista de denegación de IP de inicio de sesión** queda rechazada. {% endhint %} Apagar **Session share** es el ajuste restrictivo: a partir de ahí, solo el usuario que abrió una sesión puede llegar a ella. ## Autenticación **Configuración del sistema › Autenticación**. Una página por fuente de identidad, y todas pueden estar habilitadas al mismo tiempo: Local, LDAP y LDAP HA, CAS, Passkey (FIDO2/WebAuthn), OIDC, SAML2, OAuth2, Slack y Radius. Tres campos se repiten en todos los proveedores: | Campo | Qué hace | | -------------- | ----------------------------------------------------------------------------------------------------------------------------------------------- | | Activar | Solo los proveedores habilitados aparecen en la página de inicio de sesión | | User attribute | Mapeo JSON de los atributos del proveedor a la ficha de usuario de aquí: qué atributo es el nombre de usuario, el nombre, el correo, los grupos | | Organización | En qué tenant se crean los usuarios autenticados por este proveedor | Cada proveedor publica tres URL bajo el propio nombre de host de esta instancia, para registrarlas en el proveedor de identidad: `/core/auth//login/`, `/core/auth//callback/` y `/core/auth//logout/`. Para la configuración en sí, consulte [Single sign-on](/es/pam/administration/identities/sso.md), [LDAP y Active Directory](/es/pam/administration/identities/ldap-and-ad.md) y [Autenticación multifactor](/es/pam/administration/identities/mfa.md). {% hint style="danger" %} Cuando la autenticación de usuarios viene de AD o LDAP, desactive la **Clave pública** en **Componentes › SSH & Terminal Protocol**. Un usuario retirado del directorio que todavía tenga aquí una clave pública registrada sigue alcanzando activos con ella, saltándose por completo su proceso de baja. {% endhint %} ## Notificaciones **Configuración del sistema › Notificaciones**. Tres pestañas: Correo electrónico, SMS y Suscripción. | Pestaña | Campo | Qué hace | Predeterminado | | ------------------ | ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------- | | Correo electrónico | Protocolo | `SMTP` o `EXCHANGE` | SMTP | | Correo electrónico | IP address or hostname | El servidor de correo. El cortafuegos debe permitir que esta instancia lo alcance. Obligatorio | | | Correo electrónico | Puerto | `25` sin cifrar, `465` con SSL implícito, `587` con STARTTLS. Obligatorio | | | Correo electrónico | Cuenta | Nombre de usuario para la autenticación SMTP. Déjelo vacío para un relé abierto autorizado | | | Correo electrónico | Contraseña | Contraseña de esa cuenta | | | Correo electrónico | Remitente | La dirección De de todo lo que envía la solución. Use un buzón dedicado | | | Correo electrónico | Use SSL | Cifra desde el inicio de la conexión, normalmente con el puerto 465 | | | Correo electrónico | Usar TLS | Eleva la conexión con STARTTLS tras el saludo inicial, normalmente con el puerto 587 | | | Correo electrónico | Plantilla | Personaliza el prefijo del asunto y el cuerpo del correo de notificación | | | Correo electrónico | Recipients | Direcciones que usa **Probar conexión**, separadas por comas. Probar no guarda | | | SMS | Mensaje | Interruptor global del canal SMS. Apagado, no se usa SMS ni siquiera con un proveedor configurado | | | SMS | Proveedor | Qué gateway usar. **Custom** integra cualquier proveedor mediante una API REST | | | SMS | Longitud del código | Dígitos del código de un solo uso enviado por SMS | 4 | | SMS | Provider (JSON) | Endpoint y parámetros de autenticación de un proveedor personalizado. La estructura depende del proveedor | | | Suscripción | Tipo de mensaje | El evento que puede desencadenar una notificación. Viene con **Sessions - Command reject**, **Job - Command reject**, **Storage - Connectivity** y **Component - Server performance** | | | Suscripción | Inbox | Envía la notificación a la bandeja de entrada de los destinatarios elegidos, dentro de la consola | | | Suscripción | Receptor | Los usuarios o grupos que reciben ese evento, fijados con **Editar receptor** | | {% hint style="warning" %} No habilite **Use SSL** y **Usar TLS** a la vez: elija el que admita su servidor de correo. Use **Probar conexión** antes de guardar; ejercita los valores actuales sin persistirlos. {% endhint %} Las notificaciones de aprobación viajan por este canal: cuando un usuario pide acceso se envía un correo a los aprobadores, y cuando la solicitud se resuelve se notifica al solicitante. Ninguna de las dos cosas ocurre si el servidor de correo de aquí está mal. ## Almacenamiento **Configuración del sistema › Almacenamiento**. Dos repositorios independientes, una pestaña cada uno. | Pestaña | Campo | Qué hace | Predeterminado | | -------------------------- | -------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------- | | Almacenamiento de objetos | Nombre | Etiqueta del backend | | | Almacenamiento de objetos | Tipo | `Server` (disco local), `S3`, `Ceph`, `Swift`, `OSS`, `Azure`, `OBS`, `COS`, `SFTP` o `Null` (descartar) | | | Almacenamiento de objetos | Campos de conexión | Según el tipo: endpoint, bucket o contenedor, clave de acceso, secreto, región | | | Almacenamiento de objetos | Default | Qué backend recibe las grabaciones nuevas. Solo uno a la vez | `default` | | Almacenamiento de objetos | Descripción | Texto libre | | | Almacenamiento de comandos | Nombre, Tipo, campos de conexión | Un índice externo para el texto de los comandos ejecutados. Vacío de forma predeterminada, en cuyo caso los comandos permanecen en la base de datos local | Vacío | Vienen dos entradas que no pueden eliminarse: **default**, el sistema de archivos local del servidor, y **null**, que descarta las grabaciones, útil para sesiones que deliberadamente no se conservan. La solución comprime las grabaciones antes de almacenarlas, tanto en disco local como en backends externos, sin pérdida de fidelidad en la reproducción. {% hint style="warning" %} Retención y almacenamiento no son la misma palanca. **Retenciones › Session log** caduca los *metadatos* de la base de datos; la vida de los *archivos* de grabación es la que diga la política de ciclo de vida del propio bucket. Configure ambas cosas, o seguirá pagando por objetos cuyos registros ya han desaparecido, o peor aún, perderá archivos cuyos registros sugieren que siguen ahí. {% endhint %} ## Retenciones **Configuración del sistema › Retenciones**. Cuántos días se conserva cada tipo de registro antes de que las tareas nocturnas de limpieza lo borren. Todos los campos son un número entero de días y todos son obligatorios. | Sección | Campo | Qué cubre | Predeterminado | | ---------- | -------------------------------------------- | ------------------------------------------------------------------------------------------ | -------------- | | Log record | Login log retention days | Autenticaciones en la consola: éxitos, fallos, bloqueos, cierres de sesión | 180 | | Log record | Task log retention days | Ejecuciones de las tareas programadas del propio sistema | 180 | | Log record | Operate log retention days | Cambios administrativos en usuarios, activos, permisos y ajustes | 180 | | Log record | Password change log keep days | Cambios automáticos de credenciales en los activos gestionados | 999 | | Log record | FTP log retention days | Transferencias de archivos intermediadas por la solución | 180 | | Log record | Session log retention days | Metadatos de sesión: usuario, activo, inicio, fin, duración, protocolo | 200 | | Log record | Activity log retention days | Actividad general del usuario en la consola: consultas, visualizaciones, acceso a recursos | 180 | | Database | Job execution retention days | Ejecuciones de los trabajos de automatización contra los activos | 180 | | Database | Cloud sync task history retention days | Ejecuciones de sincronización contra fuentes externas | 180 | | Database | Change secret and push record retention days | Cada operación de rotación y de envío: activo, cuenta, hora, resultado | 180 | {% hint style="info" %} **Password change log keep days** viene con 999 mientras todo lo demás viene con 180, y la diferencia es intencionada. Ese registro es el que reconstruye quién tuvo qué credencial y cuándo, así que es el que menos le conviene que caduque el primero. {% endhint %} Una ventana de retención no se recupera retroactivamente: acortarla descarta el historial de inmediato, y una pregunta formulada fuera de la ventana ya no puede responderse. ## Componentes **Configuración del sistema › Componentes**. La pestaña **Básico** contiene el comportamiento global; la pestaña **Componentes** es una lista de solo lectura de los servicios registrados. | Sección | Campo | Qué hace | Predeterminado | | ----------------------- | ----------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------- | | Básico | Registration | Permite que un componente recién instalado se registre en esta instancia. Obligatorio | Habilitado | | SSH & Terminal Protocol | Client connection | Ofrece al usuario un cliente SSH nativo. Apagado, el acceso de terminal pasa únicamente por el cliente web integrado | Habilitado | | SSH & Terminal Protocol | Contraseña | Permite la autenticación por contraseña contra el componente de terminal. El secreto gestionado se inyecta sin mostrarse al usuario | Habilitado | | SSH & Terminal Protocol | Clave pública | Permite la autenticación por clave pública SSH contra el componente de terminal | Habilitado | | SSH & Terminal Protocol | Asset sorting | Orden de la lista de activos que ve el usuario: `Name` o `Address` | Name | | SSH & Terminal Protocol | Asset page size | Activos por página en esa lista. `Auto` la ajusta al tamaño de la ventana | Auto | | DB & Database Proxy | Database proxy | Habilita el conector de bases de datos y, con él, los clientes de base de datos nativos. Apagado, elimina las sesiones de base de datos intermediadas de toda la plataforma | Habilitado | {% hint style="warning" %} Desactive **Registration** en cuanto estén registrados los componentes que necesita. Mientras está activo, cualquier cosa que conozca la dirección de esta instancia puede registrarse como componente. Vuelva a activarlo solo los minutos que haga falta para añadir uno. {% endhint %} La pestaña **Componentes** informa, por servicio, de su nombre, sesiones en línea actuales, uso de CPU y memoria, estado de carga (`Normal`, `High load`, `Offline`), ID, tipo y dirección remota. No tiene campos editables. ## RemoteApp **Configuración del sistema › RemoteApp**. Políticas de puertos, las reglas que eligen una de ellas y el catálogo de aplicaciones publicadas. Una política de **Puertos TCP** fija los puertos en los que el conector *escucha* para cada protocolo, es decir, los puertos a los que se conecta el cliente del usuario en la solución, no los que la solución usa para alcanzar el activo. Esos están en [Puertos y protocolos](/es/pam/reference/ports.md), y son números distintos a propósito. | Sección | Campo | Qué hace | Predeterminado | | ---------------------- | ----------------- | ------------------------------------------------------------------------------------------------- | -------------- | | Puertos TCP | Nombre | Etiqueta de la política. Obligatorio | | | Puertos TCP | Asset | Vincula la política a un activo. Si se deja vacío, la política se elige por regla de origen de IP | | | Puertos TCP | HTTP port | `0` deshabilita el protocolo para esta política | 0 | | Puertos TCP | HTTPS port | `0` deshabilita el protocolo para esta política | 0 | | Puertos TCP | SSH port | Escucha de las sesiones SSH intermediadas | 2222 | | Puertos TCP | RDP port | Escucha de las sesiones RDP intermediadas | 3389 | | Puertos TCP | VNC port | Escucha de las sesiones VNC intermediadas | 15900 | | Puertos TCP | MySQL port | Escucha del proxy MySQL | 33061 | | Puertos TCP | MariaDB port | Escucha del proxy MariaDB, separada para poder servir ambos motores | 33062 | | Puertos TCP | PostgreSQL port | Escucha del proxy PostgreSQL | 54320 | | Puertos TCP | Redis port | Escucha del proxy Redis | 63790 | | Puertos TCP | SQLServer port | Escucha del proxy SQL Server | 14330 | | Puertos TCP | Oracle port range | Rango reservado para las conexiones Oracle, que usan varios puertos a la vez | 30000–30030 | | Puertos TCP | Activo | Una política inactiva nunca se elige, ni siquiera vinculada a un activo | Activo | | Puertos TCP | Descripción | Texto libre. Anote para qué segmento de red es la política | | | Reglas de origen de IP | Nombre | Etiqueta de la regla. Obligatorio | | | Reglas de origen de IP | Prioridad | Orden de evaluación. **El menor se evalúa primero** | 50 | | Reglas de origen de IP | Asset IP | Las direcciones o CIDR de activo que cubre la regla. Obligatorio | | | Reglas de origen de IP | Endpoint | Qué política de puertos TCP se les aplica | | | Reglas de origen de IP | Activo | Una regla inactiva se omite sin llegar a eliminarse | | | Reglas de origen de IP | Descripción | Texto libre | | {% hint style="info" %} Los puertos de escucha no estándar no son arbitrarios. `2222`, `15900`, `33061`, `54320`, `63790` y `14330` se sitúan todos junto al puerto convencional del mismo protocolo, de modo que la escucha no choque con un servicio del mismo tipo que corra en el propio servidor de la solución. Oracle necesita el **rango entero** abierto entre los clientes y la solución, no un solo puerto. {% endhint %} La selección funciona desde el activo hacia fuera: cuando arranca una sesión, la solución busca una regla de origen de IP activa cuya **Asset IP** cubra el destino y aplica la política de esa regla. Si no coincide ninguna, se aplica la política **Default**. El área **Virtual access applications**, en la misma pantalla, contiene el catálogo de aplicaciones publicadas, las máquinas en las que se ejecutan y los proveedores de aplicaciones que sirven las sesiones. Las máquinas de publicación se eligen al azar con preferencia por la última usada; etiquete una máquina en el activo para fijarla. La cuenta que se usa en la máquina de publicación es, por orden de preferencia, una con el nombre del usuario de la consola, una cuenta dedicada a él, o una cuenta pública compartida. ## Herramientas del sistema **Configuración del sistema › Herramientas**. Diagnósticos de red que se ejecutan **desde el propio servidor de la solución**, que es lo que los hace valiosos: responden a si la solución puede alcanzar un activo, que es una pregunta distinta de si puede hacerlo su estación de trabajo. | Campo | Qué hace | Predeterminado | | ------------------------- | ------------------------------------------------------------------------------------------------------ | -------------- | | Herramientas en la cabina | Interruptor global. Apagado, retira las herramientas para todo el mundo, sean cuales sean sus permisos | Habilitado | Las pestañas son **Ping**, **Telnet**, **Nmap**, **Tcpdump** y **Traceroute**. Cada una toma un destino y muestra la salida en bruto del comando; **Telnet** y **Nmap** toman además puertos, y **Tcpdump** toma una interfaz más filtros de origen y destino. **Dirección** es un campo de solo lectura que muestra a qué se resolvió un nombre de host, lo que lo convierte en una comprobación rápida de DNS desde el servidor. Mantenga el interruptor encendido y restrinja las herramientas por función. Nmap y Tcpdump son herramientas de reconocimiento en las manos equivocadas, y los paquetes capturados merecen la misma confidencialidad que los activos de los que proceden. ## Inquilinos **Configuración del sistema › Inquilinos**. Cada tenant es una organización aislada con sus propios activos, usuarios, permisos, registros y ajustes; el administrador de uno no ve otro. | Campo | Qué hace | Predeterminado | | -------------- | ----------------------------------------------------------------------------------------- | -------------- | | Nombre | Nombre del tenant | | | Descripción | Para qué sirve: un departamento, una sucursal, un cliente | | | Administrators | Los usuarios que lo gestionan | | | Miembros | Los usuarios que pertenecen a él | | | Configuración | Parámetros por tenant, como una fuente de autenticación exclusiva y la política de sesión | | El listado cuenta usuarios, grupos de usuarios, activos y autorizaciones de activo por tenant. Vienen dos tenants: **DEFAULT**, al que pertenece todo lo creado sin tenant, y **SYSTEM**, que usan los componentes internos de la propia solución y que no debe editarse. ## Áreas sin campos configurables | Área | Qué es en su lugar | | --------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Operaciones** | Una lista de solo lectura de las tareas programadas de la propia solución, con la cola, el recuento de éxitos, el ciclo y la próxima ejecución de cada una. El sistema las gestiona; usted las consulta | | **Supervisión** | Una vista en vivo de los workers y las colas de tareas, que se abre desde Operaciones. Su valor está en que un worker caído significa que no se está ejecutando ninguna automatización | | **Licencia** | Detalles de la licencia e importación | ## Páginas relacionadas * [Puertos y protocolos](/es/pam/reference/ports.md), los puertos usados hacia los activos, frente a las escuchas configuradas en RemoteApp * [Registro de auditoría](/es/pam/administration/audit/audit-trail.md), los registros que caducan los ajustes de Retenciones * [La bóveda de credenciales](/es/pam/administration/accounts/vault.md), lo que la pestaña Almacenamiento de cuentas traslada a una bóveda externa * [Políticas de inicio de sesión](/es/pam/administration/access/login-policies.md), reglas por usuario, frente a los ajustes globales de Seguridad * [Grabaciones de sesión](/es/pam/administration/audit/recordings.md), lo que guardan los ajustes de Almacenamiento