Señales externas / 05
Enviar señales desde una tarea de Windows
Enviar el resultado de una tarea, autorizar a su cuenta Windows y comprobarlo en Sentinelia.
Qué puedes enviar
Una tarea de copia, un script o una aplicación local puede entregar sus resultados a Attacus. El servicio comprueba la identidad Windows que realiza la llamada, guarda los datos aceptados y gestiona su entrega a Sentinelia. No necesitas introducir el secreto del agente en la tarea.
Este recorrido utiliza una señal de demostración: sql / copia_correcta / produccion, de tipo booleano. Es un dato enviado por un script; Attacus no ejecuta una copia SQL ni comprueba por sí mismo que haya terminado correctamente.
Cada nueva señal debe aprobarse expresamente, con el contexto de seguridad Windows que elija el administrador. La aprobación corresponde a su categoría, clave y tag: cambiar cualquiera de esos campos crea otra identidad que necesita su propia aprobación. Aprobar una señal no autoriza automáticamente otras señales del mismo script, categoría o usuario. La fecha _aceptada_en asociada la genera Attacus como parte de esa aprobación; no requiere una segunda aprobación independiente.
Instala Attacus Beta 0.2.0 y completa la conexión con Sentinelia antes de comprobar la recepción remota. El MSI incluye el script C:\Program Files\Attacus\Enviar-SenalAttacus.ps1. Utiliza Windows PowerShell 5.1 y ejecútalo desde la cuenta que vaya a ejecutar la tarea. En Windows de 32 bits, utiliza la ruta de instalación correspondiente.
Proponer la señal desde la cuenta de la tarea
Ejecuta este ejemplo con tu cuenta de prueba:
& 'C:\Program Files\Attacus\Enviar-SenalAttacus.ps1' `
-Categoria sql `
-Clave copia_correcta `
-Tag produccion `
-Tipo booleano `
-Valor true
La primera llamada de una señal desconocida devuelve pendiente_aprobacion y aceptada: false. Es el paso previsto: registra una propuesta para que la revise un administrador. Ese primer valor no se transmite ni queda guardado para enviarlo al aprobar.
No eleves la tarea para intentar resolver este rechazo. La aprobación administrativa y el permiso para emitir son pasos distintos. Si la tarea se ejecutará con otra cuenta, realiza la propuesta con esa identidad.
Abrir el listado de señales externas
Abre Señales en Attacus.
Pulsa Señales externas….
Pulsa Actualizar si acabas de ejecutar el script.
Selecciona sql / copia_correcta, con tag produccion.
El listado se abre en una ventana independiente y presenta diez elementos por página. Las pendientes llevan una etiqueta ámbar y las aprobadas una verde. El panel lateral muestra la identidad, el estado, los intentos rechazados retenidos y la última fecha de intento.
El contador registra intentos rechazados, no envíos aceptados. ≥ indica un mínimo conservado: el detalle alcanza cinco emisores recientes o se han descartado entradas por el límite de memoria. No representa un histórico completo.
Elegir el contexto permitido
Pulsa Revisar y aceptar… o haz doble clic en la fila. Comprueba categoría, clave, tag y tipo antes de seleccionar permisos.
El editor separa dos paneles:
| Panel | Qué representa |
|---|---|
| Contexto observado | El usuario y los grupos habilitados que Windows presentó en las llamadas recibidas |
| Contexto permitido | Los usuarios o grupos que estás proponiendo autorizar para futuros envíos |
Marca el usuario de la tarea en el contexto observado y pulsa Añadir seleccionados →. La cuenta pasa al contexto permitido. No necesitas añadir todos sus grupos. En este ejemplo se autoriza únicamente al usuario del laboratorio.
Seleccionar usuarios o grupos… abre el selector de Windows y admite varias entidades. Comprueba la ubicación local o el dominio, escribe sus nombres y utiliza Comprobar nombres. Si hay varias coincidencias, elige la cuenta concreta. También puedes cambiar las entidades marcadas, quitarlas o desplegar Añadir por nombre Windows o SID.
Los nombres se muestran cuando Windows puede resolverlos; en otro caso aparece el SID. Attacus guarda los SID. Modificar el contexto permitido no cambia los datos del contexto observado ni aplica todavía los permisos.
Qué implica autorizar ese contexto Windows
El administrador decide quién podrá enviar esta señal, no solo quién podrá aprobarla. El contexto observado muestra lo que Windows comunicó; no es una recomendación para autorizar todas esas entidades.
| Elección del administrador | Alcance del permiso |
|---|---|
| Usuario concreto | Autoriza los envíos realizados bajo esa identidad Windows |
| Grupo | Autoriza a las cuentas que Windows reconoce como miembros habilitados de ese grupo durante la ejecución |
| Varias entidades | Basta con que coincida el usuario o uno de los grupos habilitados permitidos |
Elegir un grupo amplio, como Todos o Usuarios, permite emitir a muchas más cuentas que seleccionar el usuario concreto de la tarea. Revisa ese alcance antes de confirmar. No se autoriza automáticamente a todos los grupos que aparezcan en el contexto observado.
El permiso se vincula a la identidad Windows de quien envía, no a un archivo de script concreto. Otra tarea o aplicación ejecutada bajo una identidad permitida también puede enviar esa misma señal. Si necesitas separar responsabilidades, utiliza cuentas o grupos adecuados para cada tarea y aprueba cada señal con su contexto correspondiente. Attacus identifica al emisor, pero no comprueba que una copia haya terminado bien ni que el valor enviado describa correctamente el trabajo.
Una tarea programada puede ejecutarse con una cuenta distinta de la que abre Attacus. Propón la señal y comprueba el envío con la cuenta que realmente ejecutará la tarea. Windows puede limitar los grupos que esa cuenta utiliza en una ejecución normal; por ejemplo, pertenecer a Administradores no garantiza que el proceso pueda utilizar ese grupo. Autoriza la cuenta concreta cuando necesites identificar al responsable de la tarea.
Si cambia la cuenta de la tarea, revisa el contexto permitido mediante otra operación administrativa. Aprobar con UAC no concede permiso de envío a cualquier proceso elevado: cada llamada vuelve a comprobar la habilitación de la señal y la identidad del emisor. Una vez aprobada, los envíos que cumplan el contexto no necesitan otra confirmación UAC por cada dato.
Revisar y aprobar con UAC
Comprueba Habilitar el envío de esta señal y su fecha de aceptación.
Pulsa Aceptar señal con este contexto….
Revisa la definición, las identidades autorizadas y la señal de fecha asociada.
Pulsa Confirmar y autoriza el aviso de Windows.
Espera el resultado de Attacus y vuelve al listado.
Para habilitar una señal debes incluir al menos una identidad autorizada. Volver a editar o Escape durante la revisión regresa al editor sin aprobar. El editor también puede cerrarse con Cerrar, el aspa o Escape. Si no llega la respuesta de una operación, consulta su resultado antes de repetirla.
Volver a ejecutar y comprobar la recepción
Ejecuta de nuevo el mismo comando desde la cuenta autorizada. La aprobación no reproduce el valor de la propuesta inicial.
Una respuesta positiva incluye aceptada: true, aceptada_en, entrega_id y confirmacion_remota: false. Confirma que Attacus ha guardado el dato y su fecha en su cola local. El script no necesita UAC para emitir.
En Sentinelia, abre Agentes, localiza el equipo y utiliza Ver telemetría. Busca la categoría sql y comprueba las dos señales con tag produccion:
| Señal | Significado |
|---|---|
| copia_correcta | El resultado booleano que envió la tarea |
| copia_correcta_aceptada_en | Cuándo Attacus aceptó ese dato |
La fecha asociada no indica cuándo terminó la copia ni cuándo Sentinelia confirmó la recepción. Si necesitas la hora de finalización, envíala como otra señal de tipo datetime. Cada definición nueva necesita su propia aprobación.
Para llevarlo a una tarea completa, consulta el caso de copias de Hyper-V: notificación en positivo y alerta por silencio. Incluye scripts PowerShell y la configuración de Sentinelia para alertar si falla la operación o deja de llegar un resultado dentro del plazo previsto.
Cambiar permisos o deshabilitar
Selecciona una señal aprobada y pulsa Editar contexto permitido…. Ajusta las identidades o la habilitación y utiliza Guardar contexto permitido… para preparar su revisión y confirmación administrativa.
La categoría, la clave, el tag, el tipo y la unidad de la definición aprobada permanecen estables. Quitar un permiso o deshabilitar impide nuevas aceptaciones, pero no elimina los datos ya aceptados ni el histórico remoto.
Al regresar del editor, el listado actualiza la información y conserva la selección. Las aprobaciones y permisos sobreviven al reinicio del servicio. Las propuestas pendientes y los intentos rechazados se mantienen solo en memoria y desaparecen al reiniciar.
Interpretar la salida del script
| Código de salida | Resultado |
|---|---|
| 0 | Dato aceptado y persistido por Attacus |
| 2 | Rechazo funcional, por ejemplo pendiente de aprobación o sin permiso |
| 1 | Error de ejecución o transporte |
Lee también el código y el mensaje del resultado JSON. Ante un rechazo, comprueba la señal, si está habilitada y la cuenta que ejecuta la tarea. Ejecutar como administrador no sustituye la aprobación de esa señal ni concede permiso a otras cuentas.
El script no repite automáticamente un envío cuya respuesta se haya perdido. Comprueba lo ocurrido antes de decidir otro envío. Consulta tipos, permisos y entrega para los formatos, límites y posibilidades de repetición.