====== Funciones de seguridad ======

{{indexmenu_n>70}}

<wrap #ks1 />
===== Sistema de autenticación con terceros =====

<wrap #ks1_1 />
==== Local Pandora FMS ====

Autenticación por defecto, indica que se realizará usando la base de datos interna de Pandora FMS. Los usuarios tipo //superadmin//  por seguridad siempre se autentican de esta manera, el resto de los tipos de autenticaciones tiene la opción local como respaldo (//fallback//).

<wrap #ks1_2 />
==== Active Directory ====

  * <wrap :en>**Automatically create remote users**</wrap>: Habilita o deshabilita la creación automática de usuarios remotos. Esta opción hace posible que Pandora FMS cree los usuarios automáticamente una vez inicien sesión (//login//). Si activa esta característica, los siguientes campos quedarán disponibles:
  * <wrap :en>**Save Password**</wrap>: Si se activa permite guardar las contraseñas de AD en la base local de Pandora FMS.
  * <wrap :en>**Advanced Configuration AD**</wrap>: Si se activa esta opción, se utilizará la configuración de <wrap :en>Advanced Permissions AD</wrap>.
      * <wrap :en>**Advanced Permissions AD**</wrap>: Lista los permisos avanzados que se han añadido en <wrap :en>**Add new permissions**</wrap>.
  * <wrap :en>**Automatically create profile**</wrap>: Estando activa la creación automática de usuarios remotos, este campo hace posible asignarles un tipo de perfil a estos usuarios que se crean automáticamente. Los perfiles por defecto son: ''Chief Operator'', ''Group Coordinator'', ''Operator (Read)'', ''Operator (Write)'' y ''Pandora Administrator''. Los diferentes perfiles disponibles pueden ser consultados en la sección <wrap :en>**Profiles → Profile management**</wrap>.
  * <wrap :en>**Automatically create profile group**</wrap>: Al activar la creación automática de usuarios remotos, este campo hace posible asignarles un grupo a estos usuarios creados automáticamente. Los diferentes grupos disponibles pueden ser consultados en la sección <wrap :en>**Profiles → Manage agent groups**</wrap>.
  * <wrap :en>**Automatically create profile tags**</wrap>: Estando activa la creación automática de usuario remotos, este campo hace posible asignarle un perfil a un grupo las //tags//  deseadas.Los diferentes grupos disponibles pueden ser consultados en la sección <wrap :en>**Profiles → Module tags**</wrap>.
  * <wrap :en>**Autocreate blacklist**</wrap>: Permite escribir una lista de usuarios, separados por comas, //que no serán creados// de forma automática.
  * <wrap :en>**Active Directory server**</wrap>: Defina aquí la ruta en la que se encuentra nuestro servidor de Active Directory.
  * <wrap :en>**Active Directory port**</wrap>: Para definir el número de puerto del servidor Active Directory (''389'' por defecto).
  * <wrap :en>**Start TLS**</wrap>: Define si usará o no el protocolo <wrap :en>Transport Layer Security</wrap> (TLS) en las comunicaciones entre el cliente y el servidor.
  * <wrap :en>**Enable secondary active directory**</wrap>: Permite activar la conexión a un servidor <wrap :en>**Active Directory**</wrap> secundario. Cuenta con los mismos campos que el servidor primario pero además admite configurar un tiempo de expiración en la búsqueda (<wrap :en>**AD search timeout**</wrap>) con un valor por defecto de 5 segundos.
  * <wrap :en>**Double authentication**</wrap>: Los usuarios puedan elegir si habilitar la autenticación en dos pasos en sus cuentas. Para saber más sobre cómo activar la autenticación en dos pasos en una cuenta, puede leer esta [[#ks1_4|sección]]. Esta funcionalidad necesita que el servidor y los dispositivos móviles tengan una fecha y hora sincronizadas y lo más precisas posibles.
  * En el caso de que haya un cambio de contraseña en los usuarios, MS Windows® permite usar por defecto una contraseña antigua durante 60 minutos en Active Directory. Al ser una configuración de Windows, este comportamiento es totalmente ajeno a Pandora FMS. Si se desea modificar puede consultar la documentación de [[https://docs.microsoft.com/en-us/troubleshoot/windows-server/windows-security/new-setting-modifies-ntlm-network-authentication|Microsoft®]].
  * <wrap :en>**Domain**</wrap>: Definir el dominio que utilizará el Active Directory.
      * Por ahora los grupos primarios de un usuario no son compatibles con la configuración de grupos avanzada en la Autenticación AD.
      * Si utiliza la configuración avanzada (<wrap :en>**Advanced Configuration AD**</wrap>) asegúrese de colocar la ruta completa en el campo dominio (<wrap :en>**Domain**</wrap>).
      * Si la instalación de Active Directory es con LDAP, debe definir aquí la ruta LDAP en la que se encuentra el servidor, generalmente:

<file>
ldap://addc.mydomain
</file>

<wrap #ks1_3 />
==== LDAP ====

  * Para poder hacer uso de este modo, es necesario tener instaladas las dependencias de **OpenLDAP**.
  * Dependiendo del sistema operativo utilizado, se utilizan los comandos:

<code bash>
yum install openldap*
</code>

O

<code bash>
apt install ldap-utils
</code>

Campos importantes:

  * <wrap :en>**LDAP server**</wrap> y <wrap :en>**Secondary LDAP server**</wrap>: Dependiendo del entorno, se puede acceder directamente al servidor (''x.x.x.x.x'') o por medio de un enlace (''<nowiki>ldap://x.x.x.x.x</nowiki>'', ''<nowiki>ldaps://x.x.x.x.x</nowiki>'').
  * <wrap :en>**Login attribute**</wrap> y <wrap :en>**Secondary Login attribute**</wrap>: Ambos campos diferencian mayúsculas de minúsculas.
  * <wrap :en>**Fallback to local authentication**</wrap>: Si se activa esta opción, se hará una [[#ks1_1|autenticación local]] si falla LDAP. Los usuarios administradores siempre tendrán //fallback// habilitado, para no perder acceso a Pandora FMS en caso de fallo del sistema de autenticación remota.
  * <wrap :en>**Automatically create remote users**</wrap>: Habilita o deshabilita la creación automática de usuarios remotos. Esta opción hace posible que Pandora FMS cree los usuarios automáticamente una vez hayan iniciado sesión (//login//) usando LDAP.
  * <wrap :en>**LDAP function**</wrap>: A la hora de realizar las búsquedas en LDAP, podrá elegir si utilizar la función nativa de PHP o utilizar el comando local ''ldapsearch''. Se recomienda utilizar el comando local para aquellos entornos que tengan un LDAP con muchos elementos.

<wrap :en>**Advanced Config LDAP**</wrap>

  * Si la opción está activada, aparecerá una lista con todos los permisos avanzados guardados. Se pueden añadir nuevos permisos seleccionando el perfil, los grupos y las //tags//, junto al filtro de atributos. Si el usuario cumple con alguno de esos atributos (por ejemplo, una unidad organizativa o grupo concreto) entonces se creará el usuario.
  * //Si esta opción no está activada//, se utilizará el sistema sencillo para la creación de perfiles de usuario (<wrap :en>**Automatically create profile**</wrap>, <wrap :en>**Automatically create profile group**</wrap>, <wrap :en>**Automatically create profile tags**</wrap>, <wrap :en>**Automatically assigned no hierarchy**</wrap>).

<WRAP center round important 90%>

Los atributos deben tener el siguiente formato **Nombre_atributo = Valor_Atributo**.

</WRAP>

  * <wrap :en>**Enable secondary LDAP**</wrap>: Si habilita un servidor LDAP secundario como respaldo, aparecerán campos respectivos del servidor LDAP principal.
  * <wrap :en>**Double authentication**</wrap>: Los usuarios podrán elegir si habilitar la [[#ks1_4|autenticación en dos pasos en sus cuentas]]. Esta funcionalidad necesita que el servidor y los dispositivos móviles tengan una fecha y hora sincronizadas y lo más precisas posibles.

<wrap #ks1_4 />
==== Doble autenticación ====

Para usar esta funcionalidad el administrador deberá activar la doble autenticación en la sección de autenticación de la configuración global de la Consola web de Pandora FMS:

<wrap :en>**Management → Settings → System Settings → Authentication → Double authentication**</wrap>.

Los usuarios podrán elegir si habilitar la //autenticación en dos pasos// en sus cuentas accediendo a la opción de [[:es:documentation:pandorafms:management_and_operation:11_managing_and_administration#ks1_1_1|Editar mi usuario]].

<WRAP center round info 90%>

Esta funcionalidad necesita que el **PFMS server** y los [[:es:documentation:pandorafms:technical_annexes:36_pfms_double_authentication_setup|dispositivos móviles]] tengan una fecha y hora sincronizadas de manera precisa.

</WRAP>

También será necesario disponer de la aplicación generadora de códigos en un dispositivo móvil de la propiedad de cada usuario. Para conocer dónde y cómo descargarla:

<WRAP center round download 90%>

[[https://support.google.com/accounts/answer/1066447]]

</WRAP>

<WRAP center round tip 90%>

Se puede utilizar el sistema de notificación PFMS para informar a todos los usuarios que está disponible 2FA y cómo activar esta opción personal. Para ello en el menú <wrap :en>**Operation → Workspace → Messages → New message**</wrap> se redacta un mensaje al grupo ''All'' similar a este:

{{ :wiki:pfms-management-settings-system_settings-authentication-2fa_enabled_notification.png  }}

</WRAP>

<wrap :en>**Force 2FA for all users is enabled**</wrap>

Al habilitar esta opción forzará a que todos los usuarios utilicen la //autenticación en dos pasos//.

<WRAP center round info 90%>

Para desactivar esta funcionalidad a un usuario específico sin usar la interfaz gráfica, [[:es:documentation:pandorafms:technical_reference:03_anexo_cli#disable_double_auth|un administrador puede utilizar la CLI PFMS]].

</WRAP>

<wrap #ks1_5 />
==== SAML ====

**SAML** es un estándar abierto de autentificación y autorización basado en XML. **Pandora FMS** puede funcionar como un proveedor de servicios con su proveedor de identidades SAML interno.

<WRAP center round important 90%>

Los administradores siempre se autentican contra la base de datos local.

</WRAP>

Se deben realizar varios pasos antes de poder utilizar SAML en Pandora FMS.

Tener [[#ks1_5_1|operativo un servidor SAML]].

[[#ks1_5_2|Configurar los parámetros en Pandora FMS]].

Si se piensa utilizar [[#ks1_5_3|Azure con SAML]] se debe configurar dicho servidor.

<wrap #ks1_5_1 />
=== Instalación de SimpleSAMLphp 2.0 ===

Se debe descargar SimpleSAMLphp versión 2.3.2 desde su repositorio oficial:

<WRAP center round download 90%>

https://github.com/simplesamlphp/simplesamlphp/releases/tag/v2.3.2

</WRAP>

y luego ser //subido// al **Pandora FMS server**. Si el PFMS server tiene acceso a internet y se tiene instalado **wget** se puede utilizar directamente la siguiente instrucción en un directorio que cuente con espacio y derechos de escritura suficientes:

<code bash>
wget https://github.com/simplesamlphp/simplesamlphp/releases/download/v2.3.2/simplesamlphp-2.3.2-full.tar.gz
</code>

Se descomprime el fichero descargado con:

<code bash>
tar -xvf simplesamlphp-2.3.2-full.tar.gz
</code>

Se debe mover la carpeta a su ubicación final:

<code bash>
mv simplesamlphp-2.3.2 /opt/simplesamlphp
</code>

Para compartir acceso con Pandora FMS se debe crear el siguiente enlace simbólico:

<code bash>
ln -s /opt/simplesamlphp/public /var/www/html/simplesamlphp
</code>

**SimpleSAMLphp** basa su configuración en el fichero ''config.php'', con la ubicación final establecida anteriormente se ha de renombrar la plantilla que trae por defecto:

<code bash>
mv /opt/simplesamlphp/config/config.php.dist /opt/simplesamlphp/config/config.php
</code>

Así se tendrá la ruta completa del fichero de configuración en:

<file>
/opt/simplesamlphp/config/config.php
</file>

Con el editor de texto favorito se deben editar los siguientes valores (nótese que se debe cambiar ''pandora.local'' por la URL de la Consola web PFMS y conservar la coma al final de línea ya que forman parte de bloques de instrucciones):

<code | /opt/simplesamlphp/config/config.php>
'baseurlpath' => 'https://pandora.local/simplesamlphp/',
'auth.adminpassword' => '123pandora',
</code>

<WRAP center round info 90%>
\\
  * Nótese que se debe cambiar ''pandora.local'' por la URL de la Consola web PFMS y conservar la coma al final de línea ya que forma parte de bloques de instrucciones.
  * Siempre se debe utilizar una URL en vez de una dirección IP. Siguiendo el caso dado de utilizar ''pandora.local'', esta "//URL//" se debe agregar al fichero ''/etc/hosts'' del sistema operativo (nota: solamente con propósitos didácticos).
\\
</WRAP>

Se deben guardar los cambios del fichero y salir a la línea de comandos.

<WRAP center round important 90%>

Si aparece algún error de permisos por cache se debe aplicar:

<code bash>
mkdir /var/cache/simplesamlphp && chown apache:apache /var/cache/simplesamlphp
</code>

\\

</WRAP>

De esta manera se tendrá a **SimpleSAMLphp** en funcionamiento y deberá mostrar la página de inicio en la URL ''<nowiki>https://pandora.local/simplesamlphp/</nowiki>'' (se debe cambiar ''pandora.local'' por la URL de la Consola web PFMS).

<WRAP center round info 90%>

Dado el caso que se conecte por HTTP en vez de HTTPS la autenticación fallará hasta que el servidor web Apache sea configurado para que //escuche// por el puerto seguro ''443''.

</WRAP>

{{ wiki:pfms-saml-image_28.png  }}

Para acceder a la administración de **SimpleSAMLphp** primero se debe cambiar el nombre al fichero ''authsources.php.dist'':

<code bash>
mv /opt/simplesamlphp/config/authsources.php.dist /opt/simplesamlphp/config/authsources.php
</code>

Se copia el contenido del XML descargado anteriormente, se pega y se procesa; esto generará un texto de configuración para PHP el cual se copia **y se adiciona** al final del fichero ''/opt/simplesamlphp/metadata/saml20-idp-remote.php''. Luego se deben guardar dichas adiciones y salir de la edición de dicho fichero.

Se accede mediante la URL ''<nowiki>https://pandora.local/simplesamlphp/admin/</nowiki>'' (se debe cambiar ''pandora.local'' por la URL de la Consola web PFMS):

{{ wiki:pfms-saml-image_30.png  }}

<wrap #ks1_5_2 />
=== Configuración de Pandora FMS con SAML ===

<WRAP left round box 50%>

Menú <wrap :en>**Management → Setup → Setup → Authentication**</wrap>

</WRAP>
\\ \\ \\ \\ \\ 
Los siguientes valores son comunes:

{{ :wiki:pfms-saml-image_70.png  }}

Algunos campos notables:

  * **Atributo de nombre de grupo SAML**: Campo SAML donde buscar el nombre del grupo (mientras auto crear usuarios remotos esté activado)
  * **Ruta de SimpleSAML**: Directorio donde se encuentra la carpeta ''simplesamlphp''.
  * **SAML de origen**: Nombre ''authsource'', por ejemplo ''example-userpass''.
  * **Atributo de correo SAML**: Campo SAML donde buscar el correo electrónico del usuario (mientras auto crear usuarios remotos esté activado)

<WRAP center round info 90%>

Antes de configurar cualquier servicio de terceros con SAML se recomienda [[:es:documentation:pandorafms:technical_annexes:45_simplesaml_2_local|probar y comprobar localmente]] la instalación realizada de **SimpleSAMLphp**.

</WRAP>

<wrap #ks1_5_3 />
=== Configuración de Azure con SAML ===

En servicios de Azure® se debe acceder a la sección **Extra ID**:

{{ wiki:pfms-saml-image_40.png  }}

Acceder luego a **Aplicaciones empresariales**:

{{ wiki:pfms-saml-image_42.png  }}

Se crea una nueva aplicación (o se utiliza una existente):

{{ wiki:pfms-saml-image_44.png  }}

Se accede a inicio de sesión único:

{{ wiki:pfms-saml-image_46.png  }}

Se edita la configuración básica de SAML:

{{ wiki:pfms-saml-image_48.png  }}

Se rellenan los siguientes campos, con el ID para la aplicación, la dirección del **SimpleSAMLphp** instalado  (se debe cambiar ''pandora.local'' por la URL de la Consola web PFMS) y la dirección donde Azure® tendrá que redirigir cuando se cierre la sesión:

{{ wiki:pfms-saml-image_50.png  }}

Descargar el fichero XML con metadatos de federación el cual se utilizará más adelante:

{{ wiki:pfms-saml-image_52.png  }}

Y por último se debe guardar el ID que de  el paso anterior y la URL del identificador extra:

{{ wiki:pfms-saml-image_54.png  }}

<wrap #ks1_5_3_1 />
== Configuración en SimpleSAMLphp ==

Se debe editar el fichero ''/opt/simplesamlphp/config/authsources.php'' con los siguientes valores:

{{ wiki:pfms-saml-image_56.png  }}

Y por la página web de SimpleSAMLphp al menú de **Federación** y luego a la sección **Herramientas** para la conversión de XML a PHP:

{{ wiki:pfms-saml-image_58.png  }}

Se debe cambiar el nombre de ''saml20-idp-remote.php.dist'' con:

<code bash>
mv /opt/simplesamlphp/metadata/saml20-idp-remote.php.dist /opt/simplesamlphp/metadata/saml20-idp-remote.php

</code>

Se copia el contenido del XML descargado anteriormente, se pega y se procesa; esto generará un texto de configuración para PHP el cual se copia y pega dentro del fichero ''/opt/simplesamlphp/config/authsources.php'' **reemplazando todo su contenido**.

Si todo está correcto se procede a realizar una prueba:

{{ wiki:pfms-saml-image_60.png  }}

Obteniendo el siguiente resultado:

{{ wiki:pfms-saml-image_62.png  }}

El correo electrónico e identificador de usuario se puede sacar de los atributos que devuelve Azure® en la prueba realizada anteriormente:

{{ :wiki:pfms-saml-image_80.png  }}

{{ :wiki:pfms-saml-image_90.png  }}
 
Para la configuración avanzada se puede profundizar el //mapeo// de propiedades o seleccionar una por defecto en caso de no hacer coincidencia con ninguna:

{{ :wiki:pfms-saml-image_100.png  }}

<wrap #ks2 />
===== Cifrado de contraseñas =====

Pandora FMS permite cifrar las contraseñas que se almacenan en la base de datos.

La clave de cifrado se genera a partir de una contraseña proporcionada por el usuario <wrap hi>**y no se guarda en la base de datos** (//ni la contraseña ni la clave//)</wrap>, de modo que las contraseñas no se puedan recuperar de un volcado de la base de datos.

Una vez el usuario configura la contraseña, el cifrado funciona de forma transparente para el usuario.

<WRAP center round important 90%>

Si se pierde la contraseña proporcionada por el usuario no podrá recuperar las contraseñas almacenadas en la base de datos de Pandora FMS. Guárdese en lugar seguro o hágase un respaldo (//backup//) de los ficheros ''config.php'' y ''pandora_server.conf''.

</WRAP>

<wrap #ks2_1 />
==== Detalles técnicos ====

Las contraseñas se cifran utilizando el cifrado Rijndael con bloques de 128 bits en modo ECB. Una clave de 256 bits se genera en el arranque a partir del MD5 de la contraseña configurada por el usuario.

<wrap #ks2_2 />
==== Configuración en una instalación nueva de Pandora FMS ====

Para habilitar el cifrado de claves, **la contraseña se debe configurar tanto en el Servidor de Pandora FMS como en la Consola web.**

Los pasos a seguir para el cifrado son los siguientes:

  * Detener el servidor, tanto en **Command Center (Metaconsola)** como en los **nodos**.

  * Actualizar los campos ''encryption_passphrase'' en ''/etc/pandora/pandora_server.conf'' y ''/var/www/html/pandora_console/include/config.php'', tanto en **Command Center (Metaconsola)** como en los **nodos**.

<code>
$config["encryption_passphrase"]="your encryption passphrase";
</code>

  * Lanzar el //script// de cifrado tanto en **Command Center (Metaconsola)** como en los **nodos**.

<code bash>
/usr/bin/pandora_encrypt_db /etc/pandora/pandora_server.conf
</code>

<WRAP center round tip 90%>

Se deberá reiniciar el servidor de Pandora FMS después de haber efectuado los cambios y haber lanzado el //script//.

</WRAP>

<wrap #ks2_3 />
==== Cambiando la contraseña de cifrado ====

Es posible cambiar la contraseña de cifrado en caso de que se haya visto comprometida. Primero se deben descifrar las contraseñas almacenadas en la base de datos:

<code>
/usr/bin/pandora_encrypt_db -d /etc/pandora/pandora_server.conf
</code>

A continuación, después de haber cambiado la contraseña de cifrado (como se describe en la sección para la [[#ks2|configuración en una instalación nueva]]), se pueden cifrar de nuevo:

<code bash>
/usr/bin/pandora_encrypt_db /etc/pandora/pandora_server.conf
</code>

<WRAP center round important 90%>

A partir de 7.0 NG 739 se incluye el [[:es:documentation:pandorafms:management_and_operation:11_managing_and_administration#ks3|gestor de credenciales seguro]]. **Consulte la siguiente sección para finalizar correctamente este proceso.**

</WRAP>

**Gestor de credenciales:**

En caso de disponer de una base de datos cifrada, para poder seguir utilizando el gestor de credenciales sin perder datos //será necesario descifrar todo// menos la tabla **tcredential_store**.

Para ello ejecútense los siguientes comandos:

<code bash>
/usr/bin/pandora_encrypt_db -d -m /etc/pandora/pandora_server.conf
</code>

Con lo que quedará descifrado.

Una vez descifrado, se volverá a cifrar de nuevo:

<code bash>
/usr/bin/pandora_encrypt_db /etc/pandora/pandora_server.conf
</code>

Si solo desea cifrar de cero, bastará con ejecutar el último comando.

<wrap #ks2_4 />
==== Quitando la contraseña de cifrado ====

<WRAP center round important 90%>

Se recomienda mantener de manera cifrada **toda** contraseña almacenada en Pandora FMS.

</WRAP>

  * Detenga el servidor, tanto en **Command Center (Metaconsola)** como en los **nodos**.
  * Lanzar el //script//  de descifrado tanto en **Command Center (Metaconsola)** como en los **nodos**.

<code bash>
/usr/bin/pandora_encrypt_db -d /etc/pandora/pandora_server.conf
</code>

  * Comentar **encryption_passphrase**  en ''/etc/pandora/pandora_server.conf''  y ''/var/www/html/pandora_console/include/config.php'' tanto en **Command Center (Metaconsola)** como en los **nodos**.

<code>
# $config["encryption_passphrase"]="your encryption passphrase";
</code>

<WRAP center round tip 90%>

Se deberá reiniciar el servidor de Pandora FMS después de haber efectuado los cambios y haber lanzado el //script//.

</WRAP>

<wrap #ks3 />
===== Política de contraseñas de usuarios =====

<WRAP left round box 50%>

Menú <wrap :en>**Management → Settings → System Settings → Password policy**</wrap> {{wiki:pfms-general_settings-password.png?nolink&21x21}}.

</WRAP>
\\ \\ \\ \\ \\
Para activar la política de contraseñas se debe tener perfil de administrador (<wrap :en>**Pandora administrator**</wrap>) o ser un **[[:es:documentation:pandorafms:introduction:03_glossary#superadmin|superadmin]]** .

Campos importantes:

  * <wrap :en>**Enable password policy**</wrap>: Por defecto desactivada, al activarla se mostrarán el resto de los campos.
  * <wrap :en>**Min. password size**</wrap>: Por defecto cuatro caracteres el largo mínimo de contraseña.
  * <wrap :en>**Password expiration**</wrap>: Por defecto cero ''0'' días (contraseñas sin expiración).
  * <wrap :en>**The password must include numbers**</wrap>: La contraseña debe tener números, desactivado por defecto .
  * <wrap :en>**The password must include symbols**</wrap>: La contraseña debe tener símbolos, desactivado por defecto.
  * <wrap :en>**Force password change on first login**</wrap>: Forzar cambio de contraseña en el primer inicio de sesión después de la creación del usuario, desactivado por defecto.
  * <wrap :en>**Block user if login fails**</wrap> y <wrap :en>**Number of failed login attempts**</wrap>: Minutos (''5'' por defecto) que permanece bloqueado el usuario si consume el número máximo de intentos fallidos (''5'' intentos de manera predeterminada).
  * <wrap :en>**Apply password policy to admin users**</wrap>: Aplica la política de contraseñas también a usuarios administradores, //activado por defecto//.
  * <wrap :en>**Enable password history**</wrap> y <wrap :en>**Compare to previous password**</wrap>: Trabajan de manera conjunta para evitar que un usuario reutilice contraseñas. El primer //token// debe estar activado y el segundo debe ser mayor a cero (por defecto ''3''), de esta manera la nueva contraseña de un usuario se comparará con las contraseñas utilizadas anteriormente por el mismo usuario.
  * <wrap :en>**Activate reset password**</wrap>: Deshabilitado por defecto, si se activa permite solucionar el olvido de contraseñas por parte de los usuarios.
  * <wrap :en>**Exclusion word list for passwords**</wrap>: Permite agregar una lista de contraseñas explícitamente excluidas de su uso en Pandora FMS.

<wrap #ks4 />
===== Log de auditoría =====

<WRAP left round box 50%>

Menú <wrap :en>**Management → Admin tools → System Audit Log**</wrap>.

</WRAP>
\\ \\ \\ \\ \\
Pandora FMS guarda un //log// con todos los cambios y acciones de importancia producidos en la Consola de Pandora FMS. Allí se podrán ver una serie de entradas relacionadas con la actividad de la Consola, información sobre el usuario, tipo de acción, fecha y una pequeña descripción de los eventos registrados.

{{  :wiki:pfms-management-admin_tools-system_audit_tools.png  }}

Se pueden filtrar cuales entradas a mostrar por diferentes criterios, incluyendo: acciones, usuario y dirección IP. Incluso se puede realizar una búsqueda de texto y determinar las horas máximas a buscar, con la opción de guardar dicho filtro si es de uso frecuente.

[[:es:documentation:start|Volver al índice de la documentación de Pandora FMS]]