Cómo integrar la consola de NetBackup en CyberArk PAM con PSM

Si tu organización exige que la consola de administración de NetBackup en Windows se ejecute a través de CyberArk Privileged Session Manager, enfócalo como un problema de integración de aplicaciones de escritorio. Primero busca en CyberArk Marketplace un conector con soporte oficial. Si no existe ninguno adecuado, CyberArk documenta un flujo de trabajo para crear un conector universal personalizado que emplea AutoIt para iniciar la aplicación, recibir las propiedades de sesión desde PSM, automatizar la autenticación y devolver el proceso de la aplicación a PSM para su supervisión.

Una breve conversación entre administradores sirve de base para esta respuesta. El requisito era concreto: el equipo ya había integrado una consola web, pero ahora necesitaba dar de alta el archivo ejecutable de la consola de administración de NetBackup. Un participante apuntó directamente a AutoIt y a la documentación sobre conectores universales de CyberArk.

¿Por qué integrar un ejecutable difiere de una consola web?

Una consola web suele encajar en un componente de conexión de PSM basado en navegador. CyberArk puede abrir el navegador, dirigirse a una URL, inyectar o intermediar credenciales y grabar la sesión privilegiada mediante un flujo web estándar.

Un ejecutable de Windows plantea un reto distinto porque el formulario de inicio de sesión, la clase de ventana, el ciclo de vida del proceso, las ventanas secundarias, los campos de credenciales y el comportamiento general pertenecen a un cliente nativo. PSM necesita un componente de conexión capaz de iniciar ese programa y completar su secuencia de acceso sin exponer la contraseña privilegiada al usuario.

Por tanto, el requisito va más allá de agregar un ejecutable a CyberArk: el conector debe entender el arranque de la aplicación y su secuencia de autenticación.

Si los requisitos de seguridad pueden satisfacerse con la administración Web UI de NetBackup, la guía de NetBackup 11 sobre Web UI y RBAC resulta relevante porque el acceso por navegador suele ser más fácil de gobernar. Si la consola de escritorio es un requisito estricto, continúa con el diseño de un conector nativo de PSM.

¿Conviene buscar primero un conector prediseñado?

Sí. La propia documentación sobre conectores universales de CyberArk remite a los administradores a CyberArk Marketplace antes de desarrollar un componente a medida. Un conector oficial o comunitario ahorra tiempo de desarrollo y puede incluir ya el inicio de la aplicación, la gestión de procesos y la automatización del inicio de sesión.

El debate de Reddit no confirma que exista un conector para la consola de administración de NetBackup en el Marketplace, por lo que no debes darlo por sentado. Busca por NetBackup, Veritas, Cohesity y el nombre exacto de la aplicación cliente que utilices en tu entorno.

Verifica además si el conector coincide con la versión exacta de tu consola. Las aplicaciones de gestión de escritorio cambian los títulos de ventana, las rutas del ejecutable, los cuadros de diálogo de autenticación y los controles entre versiones. Un conector preparado para un cliente antiguo puede iniciar el proceso pero fallar durante el inicio de sesión.

Si no encuentras un conector adecuado, la vía documentada del conector universal personalizado es el paso siguiente más seguro.

¿Cómo funciona el modelo de conector AutoIt de CyberArk?

El conector universal personalizado de CyberArk recurre a un script de AutoIt como despachador para la aplicación de destino. El script identifica el ejecutable del cliente, lo inicia, recupera la información de sesión desde PSM, automatiza el inicio de sesión y comunica el identificador de proceso (PID) para que PSM supervise la sesión.

CyberArk suministra una plantilla llamada PSMAutoItDispatcherSkeleton.au3 en el área de componentes de PSM. El procedimiento documentado consiste en copiar esa plantilla a un equipo de desarrollo, definir el ejecutable de la aplicación, sustituir la sección de gestión de inicio de sesión con la lógica específica del programa y probar el conector con la herramienta Generic Client Driver suministrada.

Este enfoque está mucho más estructurado que una macro básica de inicio de sesión en AutoIt, ya que el conector usa la API de conectores universales de PSM para obtener propiedades como el nombre de usuario, la dirección y la contraseña desde la sesión privilegiada. Así, el flujo de credenciales permanece dentro de la arquitectura PAM sin necesidad de registrar secretos en el código del script.

Diseña el conector alrededor de controles de ventana estables, estados de aplicación y propiedades de sesión de PSM, en lugar de recurrir a coordenadas de ratón grabadas.

¿Qué debe automatizar el conector de NetBackup?

Automatiza únicamente los pasos necesarios para obtener una sesión autenticada en la consola de NetBackup. En la práctica, esto implica ejecutar el ejecutable exacto de la consola administrativa, esperar a que aparezca la ventana de inicio de sesión, rellenar el servidor o dominio requerido, suministrar las credenciales privilegiadas a través de PSM, confirmar el acceso, verificar que la aplicación cargó correctamente y reportar el PID correcto a PSM.

Los campos concretos de la ventana de NetBackup no se detallan en el hilo original de Reddit, por lo que tendrás que identificarlos en la versión de la consola que tengas instalada. Documenta la ruta del ejecutable, el título de la ventana principal, la clase de ventana, el título del cuadro de diálogo de acceso, los identificadores de control y cualquier mensaje de autenticación secundario.

Si la consola de NetBackup delega la autenticación en Windows o en otro proveedor de identidades, el conector puede requerir un flujo diferente al de una consola con formulario propio de usuario y contraseña. Comprueba este comportamiento de forma manual en el equipo de desarrollo de PSM antes de escribir la automatización.

Para problemas de cuentas de servicio en el propio servidor de NetBackup, la guía de instalación con cuentas de dominio en NetBackup trata una capa de identidad independiente. No mezcles las cuentas de servicio de NetBackup con la cuenta de usuario con privilegios que CyberArk gestiona hacia la consola.

¿Por qué es importante SendPID en un conector de PSM?

CyberArk documenta SendPID como la función que comunica el ID de proceso del cliente de conexión al servidor PSM. Tras ese traspaso, PSM supervisa el cliente de destino y permite la interacción habitual del usuario definida para esa sesión.

Si el conector inicia NetBackup y finaliza sin enviar el proceso correcto, PSM puede considerar la sesión terminada aunque la ventana de la consola siga visible. Esto produce un comportamiento confuso en el que la automatización del acceso parece funcionar pero la sesión se cierra de golpe a continuación.

Las aplicaciones nativas también pueden generar procesos secundarios, y el proceso arrancado al principio puede no ser el que se mantenga activo; comprueba qué proceso retiene la ventana principal útil de NetBackup tras la autenticación.

CyberArk advierte además de que el título de la ventana principal y el nombre de clase son determinantes para evitar que la aplicación quede oculta y para asegurar la grabación de sesión. Captura esos valores durante el desarrollo y facilítalos al administrador de PSM que configure el componente.

¿Cómo se debe probar el conector?

Desarrolla y prueba el conector AutoIt en un equipo de desarrollo independiente, tal como recomienda CyberArk. Utiliza el Generic Client Driver y valores de prueba antes de trasladar el componente a un servidor de producción de PSM.

Una secuencia de pruebas metódica ahorra sorpresas. Primero confirma que el script abre la consola de NetBackup y que detecta la ventana de inicio de sesión. Después, recupera valores ficticios de propiedades de sesión, rellena un campo cada vez y, por último, prueba un inicio de sesión real con el traspaso adecuado del PID.

Prueba también situaciones de fallo: una contraseña incorrecta, un servidor principal de NetBackup inaccesible, una cuenta caducada, lentitud en la red y ventanas de diálogo imprevistas. Un conector PAM que solo funcione en condiciones ideales puede dejar bloqueados a los administradores en el momento exacto en que necesiten un acceso de emergencia.

El Generic Client Driver genera registros detallados para la depuración del conector. Conserva esos registros de desarrollo: resultan infinitamente más útiles que intentar depurar una sesión opaca de PSM en producción tras el despliegue.

¿Cómo empaquetar el conector personalizado?

CyberArk documenta compilar el script de AutoIt como ejecutable de 64 bits y empaquetarlo junto con los archivos requeridos por el componente de conexión. El paquete incorpora un archivo package.json que identifica las rutas de la aplicación cliente que PSM debe permitir en AppLocker.

Este empaquetado es fundamental porque un ejecutable personalizado copiado sin control en un servidor PSM puede ser bloqueado por AppLocker aunque la lógica de AutoIt sea correcta. El ejecutable de destino de NetBackup, el despachador, las DLL requeridas y cualquier otra dependencia deben formar parte de un diseño de despliegue controlado.

CyberArk aconseja compilar AutoIt en vez de ejecutar scripts directamente con AutoIt3.exe, ya que reduce riesgos de seguridad. También desaconseja ubicar el ejecutable directamente bajo C:\ y documenta el uso de la estructura de componentes de PSM y sus herramientas de despliegue.

Gestiona el paquete como código de acceso privilegiado: controla sus versiones, somételo a revisión, fírmalo digitalmente si tus políticas lo exigen y conserva una copia funcional previa para posibles rollbacks.

¿Qué errores de seguridad conviene evitar?

No escribas la contraseña de NetBackup en disco, no la imprimas en los registros, no la muestres en cuadros de diálogo ni la dejes visible en la interfaz tras el acceso. Las directrices de CyberArk advierten explícitamente a los desarrolladores de conectores que eviten la exposición de credenciales en la interfaz de usuario y que limpien cualquier dato sensible registrado durante la sesión.

No cedas el control al usuario antes de que la automatización del inicio de sesión haya concluido. PSM puede bloquear la entrada del usuario durante el proceso de acceso, y el conector debe activar el traspaso de control únicamente cuando la autenticación se haya completado de manera satisfactoria.

Limita además lo que se puede ejecutar dentro de la sesión de PSM. Una sesión privilegiada de la consola de NetBackup no debe transformarse en un escritorio de uso general donde la misma credencial custodiada pueda reutilizarse en aplicaciones ajenas.

Por último, valida la grabación y la finalización de sesión. Cerrar la consola de NetBackup debe terminar la conexión de forma limpia, y desconectar la sesión de PSM no debe dejar una consola autenticada ejecutándose sin supervisión en el host de PSM.

¿Qué implementaría ante este requisito de NetBackup?

Primero buscaría en CyberArk Marketplace un conector con mantenimiento que coincida con la versión de la consola de administración de NetBackup. Si no existiera ninguno, crearía un conector universal personalizado a partir de la plantilla AutoIt facilitada por CyberArk en un equipo de desarrollo independiente.

El primer objetivo sería lograr un inicio fiable y el seguimiento del proceso, dejando la inyección de credenciales para una fase posterior. Una vez resuelto eso, añadiría la lectura de propiedades de sesión de PSM, automatizaría los controles exactos de acceso de NetBackup, invocaría SendPID solo cuando la consola estuviera autenticada y comprobaría tanto la grabación como el cierre limpio de la sesión.

El debate de origen apunta en una dirección concreta, AutoIt, y la documentación vigente de CyberArk respalda ese camino. No entrega un conector terminado para NetBackup ni un script listo para producción. Desarrollar la integración como un conector universal estándar de PSM mantiene la solución dentro de los marcos de soporte y evita convertir un acceso administrativo privilegiado en una frágil macro de escritorio.