# Directorio

> Conecta Active Directory, LDAP o Entra ID para que Ironchip rote las contraseñas de las cuentas de dominio con las que entra el broker en tus máquinas.

URL: https://docs.ironchip.com/pam/administracion/directorio/

Esta página explica cómo conectar el directorio de tu compañía para que Ironchip gestione las contraseñas de las **cuentas de dominio** con las que entra el broker. Es para quien administra PAM y el directorio.

Un recurso entra con una cuenta de dominio cuando su usuario es `DOMINIO\cuenta`, `cuenta@dominio` o lleva un dominio en su campo. Si su método es **Managed by Ironchip**, la contraseña se cambia en el directorio cada día, tras cada sesión y cuando lo pides, y **todos los recursos que entran con la misma cuenta reciben la nueva**. La contraseña sigue la [complejidad de la compañía](https://docs.ironchip.com/pam/boveda/rotacion/#complejidad-de-las-contrase%C3%B1as).

## Directorios compatibles

| Directorio                           | Quién cambia la contraseña               |
| ------------------------------------ | ---------------------------------------- |
| **Active Directory**                 | El almacén de secretos, por LDAP con TLS |
| **OpenLDAP, or another LDAP server** | El almacén de secretos, por LDAP         |
| **Entra ID, cloud-only accounts**    | Ironchip, por Microsoft Graph            |

Entra ID (antes Azure AD) solo sirve para cuentas creadas en la nube. Las cuentas sincronizadas desde un Active Directory local se cambian en ese Active Directory.

## Antes de empezar

- El permiso **PAM directory**.
- **Active Directory o LDAP:** una cuenta de servicio con permiso para restablecer la contraseña de las cuentas que gestionará Ironchip, y nada más. El almacén de secretos tiene que llegar al directorio por red.
- **Entra ID:** una aplicación registrada con el permiso `User.ReadWrite.All` y un rol de directorio que pueda restablecer las contraseñas de esas cuentas, con un secreto de cliente.

## Conectar Active Directory o LDAP

1. Ve a **PAM > Hosts > Directory**.

   [Imagen: Página Directory con el tipo de directorio, la dirección, la cuenta de servicio y dónde están las cuentas]

2. En **Directory**, elige **Active Directory** u **OpenLDAP, or another LDAP server**.
3. En **Address**, escribe la dirección, por ejemplo `ldaps://dc1.corp.example`. Puedes poner varios controladores separados por comas: se prueban por orden.
4. En **Account the secret store signs in with**, escribe el DN de la cuenta de servicio, por ejemplo `CN=ironchip-pam,OU=Service Accounts,DC=corp,DC=example`, y su contraseña en **Its password**.
5. En **Where accounts are**, escribe dónde están las cuentas, por ejemplo `OU=Admins,DC=corp,DC=example`.
6. En **Accounts are found by (optional)**, deja el atributo por defecto (`sAMAccountName` en Active Directory, `uid` en LDAP) o escribe otro, como `userPrincipalName`.
7. Si tu directorio usa una CA propia, pega su certificado en **CA certificate (optional, PEM)**.
8. Haz clic en **Connect**.

Active Directory solo cambia contraseñas con TLS: usa `ldaps://` o marca **StartTLS on ldap://**. No marques **Do not check its certificate** fuera de un laboratorio.

Después de conectar, haz clic en **Change its password**: el almacén cambia la contraseña de la cuenta de servicio y, desde ese momento, solo él la conoce.

## Conectar Entra ID

1. Ve a **PAM > Hosts > Directory** y elige **Entra ID, cloud-only accounts** en **Directory**.
2. Escribe **Tenant (directory) id**, **Application (client) id** y **Client secret**.
3. Haz clic en **Connect**. Ironchip inicia sesión en Entra ID con la aplicación para comprobarla.

El secreto de cliente se guarda en el almacén de secretos. Para cambiarlo, crea uno nuevo en Entra ID y guárdalo aquí.

## Usar una cuenta de dominio en un recurso

1. Al dar de alta un recurso SSH o RDP, escribe la cuenta con su dominio (`CORP\svc-ops`, `svc-ops@corp.example` o el dominio en su campo).
2. Elige **Managed by Ironchip** como método.

La contraseña se cambia en ese momento en el directorio y, a partir de ahí, según el calendario del recurso. Consulta [Rotación de contraseñas](https://docs.ironchip.com/pam/boveda/rotacion/).

## Cambiar o quitar el directorio

- Para cambiar la dirección o la cuenta, edita los campos y haz clic en **Save**. Los campos de contraseña y certificado vacíos conservan los que ya tiene el almacén.
- **Remove** olvida el directorio. No se puede mientras haya recursos cuyas cuentas roten a través de él, ni tampoco cambiar a otro tipo de directorio.