> For the complete documentation index, see [llms.txt](https://docs.dispel.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.dispel.com/documentation/documentation-es/proteger-y-gobernar/identity-providers/active-directory.md).

# Active Directory

Usa Active Directory como tu proveedor de identidad para que los usuarios inicien sesión en Dispel con sus credenciales de Active Directory a través de LDAPS.

## Configurando una integración con Active Directory <a href="#configuring-an-active-directory-integration" id="configuring-an-active-directory-integration"></a>

Conecta Dispel con el **Active Directory (AD)** para que tu equipo pueda iniciar sesión con sus credenciales corporativas existentes, con acceso concedido automáticamente según los grupos de AD a los que los usuarios ya pertenecen.

***

### Antes de comenzar <a href="#before-you-begin" id="before-you-begin"></a>

Estos recursos son necesarios para permitir que los usuarios inicien sesión en Dispel a través de tu Active Directory.

* **Una cuenta de servicio de AD de solo lectura**: Dispel la usa para buscar usuarios y grupos. Debe tener privilegio mínimo y no necesita acceso de escritura.
* **Los nombres de host de tus controladores de dominio** (por ejemplo `dc01.corp.example.com`), accesibles desde Dispel a través de **LDAPS (puerto 636)**.
* **El certificado de la CA** que emitió los certificados TLS de tus controladores de dominio.
* **Las unidades organizativas (OU)** donde residen tus usuarios y grupos.

***

### 1. Abre la configuración de Active Directory <a href="#id-1.-open-the-active-directory-settings" id="id-1.-open-the-active-directory-settings"></a>

Navega a **Configuración → Autenticación → Active Directory** en el panel de Dispel.

<figure><img src="https://1282599663-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-a5e4e108ec026492bf2c642249fba1dc49494502%2FScreenshot%202026-07-29%20at%204.43.53%E2%80%AFPM.png?alt=media" alt=""><figcaption></figcaption></figure>

***

### 2. Asigna un nombre a la integración y define el identificador de inicio de sesión <a href="#id-2.-name-the-integration-and-set-the-sign-in-identifier" id="id-2.-name-the-integration-and-set-the-sign-in-identifier"></a>

Completa la **Conexión** sección.

<figure><img src="https://1282599663-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-d98e1227d88d12bc8afc75b02bedd57c4afb9a15%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Campo                                 | Qué es                                                                                                                           | Dónde encontrarlo                                                                                    |
| ------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------- |
| **Nombre**                            | Una etiqueta amigable para esta integración, que se muestra solo dentro de Dispel.                                               | Tu elección; p. ej., "AD corporativo" o "Directorio de planta".                                      |
| **Identificador de inicio de sesión** | La palabra clave corta y única que tus usuarios introducen al iniciar sesión con este directorio. Usa letras, números y guiones. | Tu elección; p. ej., `plant-directory`. Debe ser único entre tus integraciones.                      |
| **Dominio de Active Directory**       | El nombre de dominio DNS de tu AD.                                                                                               | Tu dominio AD/DNS, p. ej., `corp.example.com`. Pregunta a tu administrador de AD si no estás seguro. |

***

### 3. Añade tus controladores de dominio <a href="#id-3.-add-your-domain-controllers" id="id-3.-add-your-domain-controllers"></a>

Enumera los controladores de dominio a los que Dispel debe conectarse. Añade uno por fila; puedes añadir varios para redundancia.

<figure><img src="https://1282599663-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6a0922c8b797f53a8d7deb15cda58dc015734cc5%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Campo           | Qué es                                                                                              | Dónde encontrarlo                                                                                                 |
| --------------- | --------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------- |
| **Controlador** | El nombre de host (o IP) de un controlador de dominio, al que se accede por LDAPS en el puerto 636. | p. ej., `dc01.corp.example.com`. De tu administrador de AD o de DNS. Asegúrate de que sea accesible desde Dispel. |

> **Consejo:** Después de guardar y probar, cada controlador muestra un estado de salud - **Saludable**, **Inaccesible**, **Fallo de TLS**, o **Fallo de enlace** - para que puedas detectar problemas de conexión de un vistazo.

***

### 4. Elige la confianza del certificado <a href="#id-4.-choose-certificate-trust" id="id-4.-choose-certificate-trust"></a>

Bajo **Confianza del certificado**, elige cómo Dispel valida el certificado TLS de tus controladores de dominio. **Se recomienda encarecidamente la validación completa.**

<figure><img src="https://1282599663-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-bd1dd84fed3f3497cd68da90f5d5c4efdc7f0b10%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Opción                                                    | Qué significa                                                                                    | Cuándo usarlo                                                                                  |
| --------------------------------------------------------- | ------------------------------------------------------------------------------------------------ | ---------------------------------------------------------------------------------------------- |
| **Validar la cadena y el nombre de host** *(recomendado)* | Dispel verifica la cadena del certificado **y** y que el nombre de host coincida. Lo más seguro. | Casi siempre. Sube tu certificado de CA                                                        |
| **Omitir la comprobación del nombre de host**             | La cadena sigue verificándose; solo se omite la coincidencia del nombre de host.                 | Solo si el nombre de host de tu certificado no coincide con la dirección a la que te conectas. |
| **Desactivar la validación**                              | La conexión está **no** autenticada y podría ser interceptada.                                   | No se recomienda. Requiere una confirmación explícita.                                         |

| Campo                 | Qué es                                                                                                                                  | Dónde encontrarlo                                                        |
| --------------------- | --------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------ |
| **certificado de CA** | El certificado público de la autoridad que firmó los certificados de tus controladores de dominio. Pega el texto PEM o sube un archivo. | De tu PKI o administrador de AD. Formatos aceptados: **PEM, CRT o CER**. |

***

### 5. Añade las credenciales de la cuenta de servicio <a href="#id-5.-add-the-service-account-credentials" id="id-5.-add-the-service-account-credentials"></a>

Bajo **Cuenta de servicio**, proporciona la cuenta de solo lectura que Dispel usa para consultar tu directorio.

<figure><img src="https://1282599663-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6ef23b59a1eac4c022eb0e39b658dd157de489fb%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Campo                         | Qué es                                                | Dónde encontrarlo                                                                                                                                                                                 |
| ----------------------------- | ----------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **DN de vinculación o UPN**   | La cuenta de servicio con la que Dispel se autentica. | El UPN de la cuenta (p. ej., `svc-dispel@corp.example.com`) o el nombre distinguido (p. ej., `CN=svc-dispel,OU=Service Accounts,DC=corp,DC=example,DC=com`). Usa una **cuenta de solo lectura** . |
| **Contraseña de vinculación** | La contraseña de la cuenta de servicio.               | Configurado por quien creó la cuenta de servicio. (Una vez guardado, se oculta; introduce un valor nuevo solo para reemplazarlo.)                                                                 |

***

### 6. Define la asignación de identidades <a href="#id-6.-set-the-identity-mapping" id="id-6.-set-the-identity-mapping"></a>

Bajo **Identidad**, dile a Dispel dónde encontrar usuarios y grupos, y qué atributos leer.

<figure><img src="https://1282599663-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-9f6db0d32b9d7b0b837eebf35e7326fb99288cd3%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Campo                            | Qué es                                                                                | Dónde encontrarlo                                                                                                 |
| -------------------------------- | ------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------- |
| **Base de búsqueda de usuarios** | La OU (nombre distinguido) bajo la cual Dispel busca usuarios.                        | p. ej., `OU=Users,DC=corp,DC=example,DC=com`. De la estructura de tu AD (Usuarios y equipos de Active Directory). |
| **Base de búsqueda de grupos**   | La OU bajo la cual Dispel busca grupos.                                               | p. ej., `OU=Groups,DC=corp,DC=example,DC=com`. De la estructura de tu AD.                                         |
| **Atributo de inicio de sesión** | El atributo de AD que los usuarios escriben como nombre de usuario al iniciar sesión. | Elige entre los atributos descubiertos; normalmente `sAMAccountName` o `userPrincipalName`.                       |

**Avanzado** (opcional - despliega para ajustar):

| Campo                   | Qué es                                                                   | Dónde encontrarlo                         |
| ----------------------- | ------------------------------------------------------------------------ | ----------------------------------------- |
| **Nombre para mostrar** | El atributo usado para el nombre para mostrar de un usuario.             | Normalmente `displayName` o `cn`.         |
| **Correo electrónico**  | El atributo usado para la dirección de correo electrónico de un usuario. | Normalmente `mail` o `userPrincipalName`. |

***

### 7. Prueba la conexión <a href="#id-7.-test-the-connection" id="id-7.-test-the-connection"></a>

Haga clic en **Probar conexión**. Dispel se enlaza con la cuenta de servicio y comprueba cada controlador de dominio.

<figure><img src="https://1282599663-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-c5b37669559382afc58b977bc800e61b296c6206%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

* Un **Aprobado** desbloquea la asignación de grupos y te permite habilitar la integración.
* Si un controlador muestra **Fallo de TLS**, **Fallo de enlace**, o **Inaccesible**, consulta [Solución de problemas](#troubleshooting) más abajo.

> **Nota:** Si cambias alguna configuración de conexión más adelante, el resultado de la prueba anterior se vuelve **Obsoleto** - vuelve a probar antes de habilitar.

***

### 8. Asigna grupos de AD a grupos de Dispel <a href="#id-8.-map-a-d-groups-to-dispel-groups" id="id-8.-map-a-d-groups-to-dispel-groups"></a>

Bajo **Acceso a grupos**, asigna cada grupo de Active Directory al grupo de Dispel cuyo acceso debe conceder. **Los usuarios que no entren en ningún grupo asignado no pueden iniciar sesión**, así que asigna al menos uno.

<figure><img src="https://1282599663-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-6faf89ae9eeaf03c1c10a4dec3387878abb60bcb%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Columna                      | Qué es                                                    | Dónde encontrarlo                                           |
| ---------------------------- | --------------------------------------------------------- | ----------------------------------------------------------- |
| **Grupo de AD**              | El grupo de Active Directory del que leer la pertenencia. | Empieza a escribir para buscar los grupos de tu directorio. |
| **Grupo de la organización** | El grupo de Dispel cuyo acceso reciben esos miembros.     | Elige entre tus grupos de Dispel existentes.                |

Usa **Añadir asignación** para añadir más filas. Los miembros se mantienen sincronizados automáticamente: los usuarios añadidos a un grupo de AD asignado obtienen acceso, y los usuarios eliminados lo pierden.

***

### 9. (Opcional) Prueba el inicio de sesión de un usuario <a href="#id-9.-optional-test-a-user-sign-in" id="id-9.-optional-test-a-user-sign-in"></a>

Antes de habilitarlo, puedes simular el inicio de sesión de un usuario real con **Probar inicio de sesión de usuario** para confirmar que se le permitiría iniciar sesión y que aterrizaría en los grupos correctos.

<figure><img src="https://1282599663-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-3811d6a9b2386fe71ed7178b0634ab8eff5880a2%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

| Campo                 | Qué es                                                      | Dónde encontrarlo                                                                                                        |
| --------------------- | ----------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------ |
| **Nombre de usuario** | Un nombre de usuario real del directorio con el que probar. | El valor de inicio de sesión de cualquier usuario de AD (que coincida con el atributo de inicio de sesión que elegiste). |
| **Contraseña**        | La contraseña de ese usuario.                               | La propia contraseña del usuario. Se usa solo para la prueba y nunca se almacena.                                        |

Haga clic en **Ejecutar prueba** para ver si el acceso sería **concedido** o **denegado**, y qué grupos se resuelven.

***

### 10. Habilita la integración <a href="#id-10.-enable-the-integration" id="id-10.-enable-the-integration"></a>

Cuando la prueba de conexión pase y al menos un grupo esté asignado, haz clic en **Habilitar**. Ahora tus usuarios pueden iniciar sesión con sus credenciales de Active Directory usando el identificador de inicio de sesión del Paso 2.

<figure><img src="https://1282599663-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-104bfb7e54151452d54d9142b51006dff58d2b66%2Fimage.png?alt=media" alt=""><figcaption></figcaption></figure>

***

### Cómo inician sesión los usuarios <a href="#keeping-access-in-sync" id="keeping-access-in-sync"></a>

Una vez habilitada la integración, los usuarios inician sesión con sus credenciales de Active Directory en lugar de una contraseña de Dispel:

1. En la pantalla de inicio de sesión de Dispel, el usuario introduce tu **identificador de inicio de sesión**, luego su **nombre de usuario y contraseña de AD**.
2. Dispel autentica las credenciales directamente contra tu directorio; no hay redirección a un proveedor de identidad externo.
3. Si tiene éxito, inician sesión.

Dispel lee el correo electrónico y el nombre para mostrar del usuario del directorio, usando los atributos que configuraste.

{% hint style="info" %}
**Primero hay que invitar a los usuarios**. Autenticar contra AD confirma quién es un usuario, pero no concede acceso por sí solo. Para Active Directory, las invitaciones se crean automáticamente cuando un usuario pertenece a un grupo de AD asignado: la sincronización de grupos lo invita (y revoca el acceso cuando se le elimina del grupo). Un usuario que no esté en ningún grupo asignado no puede iniciar sesión.
{% endhint %}

***

### Mantener el acceso sincronizado <a href="#keeping-access-in-sync" id="keeping-access-in-sync"></a>

Una vez habilitada la integración, Dispel mantiene automáticamente alineada la pertenencia a grupos de Dispel con tus grupos de Active Directory asignados según un calendario recurrente: los usuarios añadidos a un grupo asignado obtienen acceso, y los usuarios eliminados de un grupo asignado pierden acceso sin pasos manuales.

Si acabas de cambiar la pertenencia en Active Directory y quieres que se refleje de inmediato, usa **Sincronizar ahora**.

<figure><img src="https://1282599663-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F5T5Fo32wwisEqZbODG7j%2Fuploads%2Fgit-blob-849ef03373977b675bfde69590b540f5f0fd8eee%2Fimage.png?alt=media" alt="" width="375"><figcaption></figcaption></figure>

* **Sincronizar ahora** aparece en la parte superior derecha del encabezado de la página de Active Directory, y\
  solo después de que la integración esté **habilitada**.
* Haz clic para ejecutar una sincronización inmediatamente. Mientras trabaja, el botón muestra\
  **Sincronizando…**, y la **Última sincronización** se actualiza cuando termina.
* No necesitas hacer esto de forma rutinaria - las sincronizaciones automáticas mantienen todo actualizado por su cuenta. Úsalo cuando quieras aplicar un cambio sin esperar a la siguiente\
  sincronización programada.

***

### Gestionar la integración <a href="#managing-the-integration" id="managing-the-integration"></a>

* **Aplicar cambios**: guardar cambios en una integración existente. Cambiar la configuración de conexión marca el resultado de la prueba como obsoleto; vuelve a probar antes de confiar en él.
* **Deshabilitar**: detener el inicio de sesión del directorio sin eliminar la configuración. El inicio de sesión local y de emergencia sigue disponible; puedes volver a habilitarlo en cualquier momento.
* **Eliminar**: eliminar la integración por completo, incluidos los controladores de dominio, la confianza del certificado y las asignaciones de grupos.

***

### Solución de problemas <a href="#troubleshooting" id="troubleshooting"></a>

| Estado / mensaje            | Lo que normalmente significa                        | Qué comprobar                                                                                                                                 |
| --------------------------- | --------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------- |
| **Inaccesible**             | Dispel no puede alcanzar el controlador de dominio. | El nombre de host es correcto y es accesible desde Dispel por el puerto 636.                                                                  |
| **Fallo de TLS**            | No se pudo validar el certificado.                  | Se ha subido el certificado de CA correcto (Paso 4), y coincide con los certificados de tus controladores.                                    |
| **Fallo de enlace**         | La cuenta de servicio no pudo autenticarse.         | El Bind DN/UPN y la contraseña son correctos, los atributos de inicio de sesión/correo electrónico son correctos y la cuenta está habilitada. |
| **Se deniega a un usuario** | El usuario no está en ningún grupo asignado.        | Confirma que pertenece a un grupo de AD asignado y que la asignación de grupos (Paso 8) es correcta.                                          |


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.dispel.com/documentation/documentation-es/proteger-y-gobernar/identity-providers/active-directory.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.