# Cuentas

> Añade varias cuentas a una máquina, decide con cuál llega cada acceso y consulta el inventario de cuentas privilegiadas que los agentes encuentran en tus máquinas.

URL: https://docs.ironchip.com/pam/administracion/cuentas/

Esta página explica las cuentas de PAM: con qué cuentas entra el broker en cada máquina y qué cuentas existen en tus máquinas según sus agentes. Es para quien administra los recursos y quiere tener controladas las cuentas privilegiadas.

## Las cuentas de una máquina

Cada recurso SSH, RDP, PostgreSQL o MySQL tiene su **cuenta propia**, la que escribiste al darlo de alta. Además, puedes añadirle otras cuentas, cada una con su secreto y su rotación. Así, por ejemplo, el equipo de operaciones entra como `ops` y el de bases de datos como `dba` en la misma máquina.

Con qué cuenta llega cada persona lo decide su [acceso](https://docs.ironchip.com/pam/administracion/accesos/), en el paso **Account on the machines**:

- **Each machine's own account**: llega con la cuenta propia de cada máquina.
- **A specific account, on every machine**: llega con esa cuenta en todas las máquinas a las que llega el acceso. Una máquina que no tenga esa cuenta rechaza la conexión.

En los dos casos la sesión es de la persona: se graba y se juzga como quien la abrió.

### Añadir una cuenta a una máquina

1. Abre la página del recurso y ve a la pestaña **Accounts**.

   [Imagen: Pestaña Accounts de un recurso con las cuentas del broker y las que encuentra el agente]

2. Haz clic en **Add account**.
3. Escribe **Username** y, en SSH y RDP, el dominio si es una cuenta de dominio.
4. Elige el **Method**. Por defecto, **Managed by Ironchip**: la contraseña la pone el enforcer de la máquina (si se arrancó con `-rotate-accounts` incluyendo la cuenta) o, en una cuenta de dominio, el [directorio](https://docs.ironchip.com/pam/administracion/directorio/). En una base de datos, escribe además **Admin account** y **Admin password**.
5. Haz clic en **Add account**.

La cuenta adicional aparece como un recurso más con el nombre `<máquina>.<cuenta>`, tiene su propia página con su pestaña **Credential** y sigue la dirección y el sitio de su máquina. VNC, Kubernetes y HTTP no tienen cuentas.

**Remove** quita la cuenta del broker y borra su secreto. La cuenta sigue existiendo en la máquina, pero los accesos que llegan con ella dejan de llegar a esta máquina.

## Inventario de cuentas

Si la máquina tiene el [agente](https://docs.ironchip.com/pam/administracion/agente/), informa cada pocos minutos de sus cuentas: root y las cuentas con las que entran personas, quién administra la máquina, las claves SSH con las que se entra en cada cuenta y, en Windows, los servicios que se ejecutan con cada cuenta.

Ve a **PAM > Hosts > Accounts** para ver todas las cuentas de todas las máquinas:

[Imagen: Página Accounts con las cuentas de cada máquina, si la administran, sus claves y si Ironchip las gestiona]

| Columna              | Qué muestra                                                                                                        |
| -------------------- | ------------------------------------------------------------------------------------------------------------------ |
| **Account**          | La cuenta, su `uid` y su shell, si es de dominio, si no puede iniciar sesión y qué servicios se ejecutan con ella. |
| **Machine**          | La máquina.                                                                                                        |
| **Administers it**   | Si administra la máquina: `root`, el grupo `sudo` o una regla de `sudo`, o **no**.                                 |
| **Keys**             | Las claves SSH autorizadas en la cuenta.                                                                           |
| **Last sign-in**     | El último inicio de sesión.                                                                                        |
| **Password changed** | El último cambio de contraseña.                                                                                    |
| **Ironchip**         | Los recursos que entran con ella, si Ironchip la gestiona o **Not managed**.                                       |

Arriba, los contadores **Machines reporting**, **Accounts**, **Administer a machine** y **Of those, not managed**. Marca **Only those that administer a machine** y **Only those Ironchip does not manage** para ver las cuentas privilegiadas que todavía no controlas.

### Gestionar una cuenta encontrada

1. En la fila de la cuenta, haz clic en **Manage**.
2. Confirma con **Manage**.

La cuenta se añade a las cuentas de su máquina con una contraseña que gestiona Ironchip: el enforcer pone la primera (si `-rotate-accounts` la incluye) y después cambia cada día y tras cada sesión.

**Manage** no aparece cuando cambiar la contraseña rompería algo o no serviría de nada: si se ejecutan servicios con la cuenta, si nadie puede iniciar sesión con ella, si ya es una cuenta de dominio o si un recurso ya entra con ella. La máquina necesita un recurso SSH o RDP.

## Más información

- [Rotación de contraseñas](https://docs.ironchip.com/pam/boveda/rotacion/)
- [Exposición](https://docs.ironchip.com/pam/administracion/exposicion/): claves SSH y sesiones que no pasan por Ironchip.