Integración con Windows legacy

Principio rector: BIAM no se instala en los servidores Windows. La infraestructura Windows existente (dominio, aplicaciones) no se modifica; BIAM la gobierna desde fuera, por red.

Active Directory

Lo único que BIAM necesita del dominio:

• Conectividad LDAPS (636) desde la VM app hacia los controladores de dominio, con el certificado de la CA del dominio confiado en la VM app.
• Una cuenta de servicio con delegación mínima sobre las OUs gestionadas: crear/mover/deshabilitar usuarios y restablecer contraseñas. No requiere Domain Admin.

La conexión se configura desde la consola de BIAM y queda cifrada en la base de datos. Con eso BIAM crea usuarios en la OU correcta, compone cn/sn según las reglas de la organización, mueve usuarios entre OUs (con aprobación a 4 ojos) y sincroniza atributos.

Aplicaciones legacy

Tres vías, en orden de preferencia:

1. Conector con API: si la aplicación expone API (REST/SOAP), se usa un conector empaquetado (.biampkg) del Hub o desarrollado a medida.
2. Handler script: un script versionado que BIAM ejecuta con contrato JSON (los secretos viajan solo por stdin, la evidencia queda redactada).
3. Handler RPA: para aplicaciones sin API ni CLI. Se ejecutan serializados (una sesión activa por conector, como un operador humano). Si la automatización exige interfaz Windows, se usa el runner AutoIt dedicado vía WinRM.

Entornos air-gapped

Para redes sin salida a internet: los paquetes de conectores y las licencias se instalan offline — se sube el .biampkg con su firma (verificación Ed25519 local, sin red). El Hub de Bayoex solo es necesario si se quiere instalación remota con un clic.

Resumen para el equipo Windows

Pregunta	Respuesta
¿Hay que instalar agentes en los DCs o servidores?	No
¿Hay que abrir puertos entrantes hacia Windows?	Solo 636 (LDAPS) en DCs; WinRM solo si hay runner RPA
¿Qué cuenta usa BIAM?	Una cuenta de servicio con delegación mínima por OU
¿Los usuarios finales tocan BIAM?	Solo administradores/operadores; el resto ni lo ve