> ## Documentation Index
> Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt
> Use this file to discover all available pages before exploring further.

# Idira (formerly CyberArk)

> Ingestar eventos de auditoría y sincronizar usuarios desde Idira (anteriormente CyberArk) Privilege Cloud e Identity

## Información general

Wirespeed se conecta a CyberArk Identity Security Platform Shared Services (ISPSS) para:

* **Sincronizar usuarios** tanto desde CyberArk Privilege Cloud (cuentas del vault) como desde CyberArk Identity (usuarios del directorio federado).
* **Ingestar eventos de auditoría** de los servicios PAM (Privilege Cloud), IDP (Identity) y ADM (Admin) como registros, y ejecutar detecciones gestionadas de Wirespeed sobre ellos (fallos de MFA, fallos de inicio de sesión en el vault, acceso no autorizado a safes y contraseñas).
* **Remediar usuarios** mediante Privilege Cloud (deshabilitar / habilitar / terminar sesiones PSM) e Identity Administration (bloquear / desbloquear / terminar sesiones SSO), con enrutamiento automático según la población de origen del usuario.

> [!WARNING]
>
> Esta integración está en **Beta**. Las acciones de remediación están implementadas, pero deshabilitadas hasta que la integración pase a GA.

## Requisitos previos

Necesitará:

* Un inquilino **CyberArk Identity Security Platform Shared Services (ISPSS)** con los servicios Privilege Cloud, Identity y/o Admin habilitados.
* Permiso para crear aplicaciones web OAuth2 y usuarios de servicio en **Identity Administration**.
* Permiso para crear una **entrada de integración SIEM** en el espacio de administración de Privilege Cloud.

> [!NOTE]
>
> Los inquilinos de CyberArk solo permiten hasta **dos integraciones SIEM** a la vez. Wirespeed consume una ranura.

## Configuración

La configuración implica cuatro elementos en su inquilino de CyberArk:

1. Un usuario de servicio con el que autenticarse.
2. Dos asignaciones de rol para ese usuario de servicio (una para Privilege Cloud y otra para Identity Administration).
3. Una aplicación web OAuth2 Server (usada solo para el flujo de auditoría/SIEM).
4. Una entrada de integración SIEM para generar una clave API.

Siga los pasos siguientes en orden.

### Paso 1 — Crear el usuario de servicio

1. Inicie sesión en **Identity Administration** como administrador.
2. Vaya a **Core Services → Users** y haga clic en **Add User**.
3. Complete los datos del usuario. Establezca el nombre de usuario en algo memorable, por ejemplo `wirespeed-svc@<your-tenant>`. El sufijo `@<your-tenant>` se añade automáticamente.
4. En **Status**, marque:
   * **Is Service User**
   * **Is OAuth confidential client**
   * **Password never expires**
5. Haga clic en **Create User**. Anote el nombre de usuario y la contraseña: los necesitará más adelante.

### Paso 2 — Asignar roles al usuario de servicio

El usuario de servicio necesita dos asignaciones de rol: una para gestionar las operaciones del directorio de Identity y otra para acceder a las API de Privilege Cloud.

#### 2a. Rol de Identity Administration

1. Vaya a **Core Services → Roles** y haga clic en **Add Role**.
2. Asígnele un nombre (por ejemplo, `Wirespeed Integration`).
3. En la pestaña **Administrative Rights**, añada:
   * **User Management** — necesario para sincronizar y bloquear usuarios del directorio de Identity.
   * **Report Management** — necesario para la consulta Redrock que obtiene usuarios del directorio federado (`DsUsers`).
4. En la pestaña **Members**, añada el usuario de servicio.
5. Haga clic en **Save**.

#### 2b. Rol de administrador de Privilege Cloud

1. En Identity Administration, busque el rol integrado **Privilege Cloud Administrators** (o cualquier rol que conceda derechos equivalentes; consulte la [documentación de roles de Privilege Cloud](https://docs.cyberark.com/identity-administration/latest/en/content/coreservices/getstarted/ispss-user-roles.htm) de CyberArk).
2. En la pestaña **Members**, añada el usuario de servicio.
3. Haga clic en **Save**.

> [!WARNING]
>
> La asignación del rol de Privilege Cloud es **obligatoria** para que la integración pueda llamar a las API de PasswordVault. Sin ella, el token de plataforma que genera Wirespeed será rechazado con 401 por los endpoints de PasswordVault.

### Paso 3 — Crear la aplicación web OAuth2 de auditoría (plantilla Server)

Esta aplicación se usa solo para la SIEM Audit API. Todas las demás llamadas a la API de Wirespeed usan un token de plataforma genérico, que no requiere una aplicación web personalizada.

1. Vaya a **Apps & Widgets → Web Apps** y haga clic en **Add Web Apps**.
2. En la pestaña **Custom**, busque **OAuth2 Server**, haga clic en **Add** y confirme.
3. En la pestaña **Settings**, establezca:
   * **Application ID**: `WirespeedAudit` (o cualquier identificador apto para URL; anótelo para más adelante).
   * **Application Name**: `Wirespeed Audit`.
4. En la pestaña **General Usage**, establezca **Client ID Type** en **Confidential**.
5. En la pestaña **Tokens**, establezca:
   * **Token Type**: **JwtRS256**.
   * **Auth Methods**: active **Client Creds**.
   * **Token Lifetime**: al menos 15 minutos.
6. En la pestaña **Scope**, haga clic en **Add** y cree un ámbito:
   * **Name**: `isp.audit.events:read`
7. En la pestaña **Advanced**, pegue este script y haga clic en **Save**:
   ```js theme={null}
   setClaim('tenant_id', TenantData.Get("CybrTenantID"));
   setClaim('aud', 'cyberark.isp.audit');
   ```
8. En la pestaña **Permissions**, añada el usuario de servicio del paso 1 con los permisos **Run**, **View**, **Grant** y **Automatically Deploy**.
9. Haga clic en **Save** en la parte superior.

### Paso 4 — Crear la entrada de integración SIEM

1. Cambie al espacio **Administration** (el portal de administración a nivel de inquilino).
2. Vaya a **My environment → Integrations → Export to SIEM**.
3. Haga clic en **Create → Create SIEM integration**.
4. Asígnele un nombre (por ejemplo, `Wirespeed`) y haga clic en **Apply**.
5. Anote la **API key** que se genera: solo se muestra una vez. La página también muestra una **API base URL**; en general no necesita copiarla (Wirespeed la deriva del token de plataforma), pero téngala a mano por si la derivación automática no funciona para su inquilino.

### Paso 5 — Conectar Wirespeed

1. En Wirespeed, vaya a **Integraciones → Añadir integración → Idira (anteriormente CyberArk)**.

2. Acepte el aviso de Beta.

3. Facilite:

   | Campo | Valor |
   | - | - |
   | **URL de Identity** | La URL de Identity Admin, por ejemplo `https://aab1234.id.cyberark.cloud` (cópiela de la barra de direcciones del portal Identity Admin). |
   | **ID de la aplicación de servidor OAuth2 de auditoría** | El Application ID del paso 3 (por ejemplo, `WirespeedAudit`). |
   | **Inicio de sesión del usuario de servicio** | El inicio de sesión completo del paso 1, incluido el sufijo del inquilino (por ejemplo, `wirespeed-svc@aab1234`). |
   | **Contraseña del usuario de servicio** | La contraseña del paso 1. |
   | **Clave API de SIEM** | La clave API del paso 4. |

4. Haga clic en **Add**. Wirespeed genera un token de plataforma, deriva su subdominio de Privilege Cloud a partir de él e inicia la primera sincronización de auditoría y usuarios.

> [!NOTE]
>
> El **subdominio de Privilege Cloud** se deriva automáticamente del token de plataforma en la primera conexión y se usa para construir tanto la URL de PasswordVault (`<sub>.privilegecloud.cyberark.cloud`) como la URL de auditoría (`<sub>.audit.cyberark.cloud`). Si su inquilino usa una URL de auditoría no estándar (por ejemplo, hosts compartidos por región como `eu.audit.cyberark.cloud`), establezca manualmente la anulación de **URL base de la API de auditoría** en las opciones avanzadas de la integración.

## Qué se ingesta

### Usuarios (diariamente a las 14:00 UTC, y de inmediato al conectar)

Wirespeed sincroniza **ambas** poblaciones de usuarios de CyberArk porque son conjuntos distintos con rutas de remediación diferentes:

| Origen | Población | Superficie de remediación |
| - | - | - |
| **PasswordVault** (prefijo `pcloud:`) | Cuentas del vault que pueden contener credenciales privilegiadas, recuperar contraseñas e iniciar sesiones PSM. | API de PasswordVault (deshabilitar/habilitar vault, terminación de sesiones en vivo de PSM). |
| **Directorio de Identity** (prefijo `ds:`) | Usuarios federados de AD/LDAP/AzureAD que se autentican en el inquilino mediante SSO. Pueden ser o no usuarios del vault. | API de Identity Administration (bloqueo/desbloqueo de UserMgmt, terminación de sesiones SSO). |

El `directoryId` de cada usuario lleva el prefijo del origen (`pcloud:17`, `ds:a41ca4c8-…`) para que las acciones de remediación sepan qué API llamar. Una misma persona puede aparecer una vez bajo cada prefijo si existe en ambas poblaciones.

Los usuarios de componentes (CPM, PSM, ENE, etc.) se filtran de la sincronización de PCloud: solo se muestran cuentas humanas y de servicio reales.

### Registros de auditoría (cada minuto)

Wirespeed consulta la SIEM Audit API en busca de eventos bajo tres códigos de aplicación:

* **PAM** — Privilege Cloud (autenticación en el vault, acceso a credenciales, sesiones privilegiadas, rotación de credenciales, gestión de safes).
* **IDP** — Identity (autenticación, MFA, cierre de sesión, SAML, comprobaciones de riesgo).
* **ADM** — Admin (control de acceso, gestión de usuarios, cambios de configuración).

En la primera conexión, Wirespeed recupera los **últimos 7 días** de eventos (la ventana de retención del flujo de auditoría). Después, cada consulta abre una nueva ventana temporal de `createQuery` desde una marca de agua de inicio almacenada hasta ahora, y usa `cursorRef` solo para paginar dentro de esa ventana.

### Detecciones gestionadas

CyberArk no genera detecciones propias. Wirespeed evalúa los eventos de auditoría recopilados para:

| Detección | Condición |
| - | - |
| Bloqueo MFA de CyberArk Identity | Un desafío MFA de Identity o Admin falla porque la cuenta está bloqueada |
| MFA de CyberArk Identity rechazada | Un desafío MFA de Identity o Admin falla, no se responde o se responde incorrectamente |
| Error de inicio de sesión en CyberArk Vault | Falla una autenticación o un inicio de sesión en el vault (PAM00004, PAM00102-104) |
| Operación no autorizada en un Safe de CyberArk | Se deniega una operación de safe (PAM00017, PAM00025-026, PAM00040-047) |
| Uso no autorizado de contraseña de CyberArk | Se deniega una recuperación o un uso de contraseña (PAM00306-307) |

Las detecciones del vault ignoran las cuentas de componentes de CyberArk (connector, PVWA, CPM, PSM y usuarios de servicio similares). Cada detección se puede desactivar por equipo en **Configuración > Reglas de detección > Gestionadas por Wirespeed**.

## Remediación

Mientras la integración está en Beta, todas las acciones de remediación devuelven un error indicando que la remediación aún no está habilitada. Una vez promovida a GA, estarán disponibles las acciones siguientes:

| Acción | Usuario del vault (`pcloud:`) | Usuario del directorio (`ds:`) |
| - | - | - |
| **Desactivar usuario** | `POST /PasswordVault/API/Users/{id}/disable/` | `POST /UserMgmt/ChangeUserAttributes` con `LockedByAdmin: true` |
| **Activar usuario** | `POST /PasswordVault/API/Users/{id}/enable/` | `POST /UserMgmt/ChangeUserAttributes` con `LockedByAdmin: false` |
| **Revocar sesiones de usuario** | Buscar el nombre de usuario, buscar `LiveSessions`, `POST .../Terminate/` para cada sesión PSM | `POST /Security/EndUserSessions` (termina las sesiones SSO) |

> [!WARNING]
>
> La acción **Revocar sesiones de usuario** requiere configuración adicional de Privilege Cloud:
>
> * `AllowPSMNotifications` debe estar establecido en **Yes** en la configuración de PVWA.
> * El usuario de servicio debe ser miembro del grupo **Terminating Live Sessions Users and Groups** en PVWA.

## Límites y salvedades

* **Retención del flujo de auditoría**: 7 días. Si Wirespeed no puede consultar durante más tiempo (por ejemplo, una interrupción prolongada), el vacío es irrecuperable.
* **Límite de velocidad del flujo de auditoría**: 1 llamada a la API por minuto e integración. Wirespeed consulta con un cron de 1 minuto y lo respeta.
* **Lista de usuarios de PasswordVault**: limitada a 6000 usuarios en una sola respuesta. Los inquilinos de vault más grandes se truncarían actualmente.
* **Integraciones SIEM por inquilino**: 2. Wirespeed consume una.
* **Credenciales del usuario de servicio**: rote la contraseña del usuario de servicio en Identity Administration y, a continuación, actualícela en la configuración de la integración de Wirespeed.
* **La terminación de sesiones en vivo de PSM** requiere `AllowPSMNotifications=Yes` en PVWA y que el usuario de servicio esté en el grupo de configuración del vault **Terminating Live Sessions Users and Groups**. Sin eso, solo funciona la terminación de sesiones del lado SSO (sigue siendo eficaz para bloquear nuevas sesiones privilegiadas).

## Solución de problemas

Si ve errores de autenticación tras la configuración, las causas más habituales son:

| Síntoma | Causa probable |
| - | - |
| `invalid_scope` al generar el token de auditoría | El ámbito `isp.audit.events:read` en la pestaña Scope de la aplicación OAuth de auditoría no coincide exactamente (distingue mayúsculas, minúsculas y puntuación). |
| El token de auditoría se genera, pero las llamadas a la API de auditoría dan 401 | No se guardó el script de claims `aud` / `tenant_id` (paso 3.7), o al usuario de servicio le falta el permiso **Run** en la aplicación OAuth de auditoría. |
| Las llamadas de auditoría dan 401 incluso con el token correcto | Falta el encabezado `x-api-key` o es incorrecto. |
| La sincronización de usuarios no devuelve usuarios / 401 | El usuario de servicio no está asignado a un rol de administrador de Privilege Cloud (paso 2b), o el subdominio derivado automáticamente es incorrecto: establezca `pcloudSubdomain` manualmente en las opciones avanzadas de la integración. |
| Las llamadas de auditoría fallan con errores DNS / 404 | La URL de auditoría derivada automáticamente `<sub>.audit.cyberark.cloud` es incorrecta para su inquilino. Establezca `auditApiBaseUrl` manualmente en las opciones avanzadas con la URL mostrada en la página de integración SIEM. |
| Las acciones de remediación devuelven «not yet enabled» | La integración sigue en Beta. Contacte con su equipo de cuenta de Wirespeed para promoverla a GA. |
| Revoke Sessions devuelve 403 | El usuario de servicio no es miembro del grupo **Terminating Live Sessions Users and Groups**, o `AllowPSMNotifications` no está habilitado. |


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.