Service Desk & ITOps Agent – Guía de Configuración

Descripción General

Esta guía le explica cómo configurar todos los componentes necesarios para el Service Desk & ITOps Agent en su entorno. Siga los pasos con atención y proporcione los datos solicitados a nuestro equipo de implementación.

---

1. Requisitos Previos: Requisitos de Red y Sistema

1.1 Requisitos de la Plataforma SaaS

Red

• HTTPS de salida (TCP 443) permitido hacia:
  • *.beakops.com (dominio exacto proporcionado durante la incorporación)
• Resolución DNS habilitada para los dominios anteriores
• No se requiere tráfico de entrada

---

1.2 Requisitos del Gateway de IA On-Prem

Requisitos del Sistema

Requisito	Valor
SO	Windows Server 2019 o posterior (unido al dominio)
CPU	Mínimo 4 núcleos
RAM	Mínimo 16 GB
Almacenamiento	20 GB de espacio libre
Red	NIC de 1 Gbps

Componentes Requeridos

Componente	Requisito
.NET Framework	Versión 4.6 o posterior
PowerShell	Versión 5.0 o posterior
Utilidad msiexec	Debe estar incluida en PATH
Protocolo TLS	TLS 1.2 o superior
Visual C++ Redistributable	Microsoft Visual C++ 2013 o posterior
WinRM (Windows Remote Management)	Debe estar habilitado
RSAT (Herramientas de Administración Remota del Servidor)	Debe estar instalado y habilitado

Configuración de Variables de Entorno

• Asegúrese de que la ruta del ejecutable de PowerShell esté agregada a la variable de entorno PATH del sistema.
• Esto es necesario para que el Beak On-Prem AI Gateway pueda invocar de forma fiable comandos de PowerShell durante la ejecución.

---

Directiva de Ejecución de PowerShell

• La Directiva de Ejecución de PowerShell debe establecerse en RemoteSigned.
• Esta directiva actúa como salvaguarda contra la ejecución de scripts potencialmente dañinos.
• RemoteSigned requiere que los scripts descargados estén firmados digitalmente.
• Esta configuración puede aplicarse directamente en el endpoint o administrarse de forma centralizada mediante Directiva de Grupo.

---

Exclusiones del Proceso del Agente

Para evitar la detección de falsos positivos por parte de aplicaciones antivirus:

• Se recomienda agregar exclusiones para los ejecutables del agente.
• Nombres de ejecutables recomendados para excluir:
  • beakservicemanager.exe
  • beakgateway.exe

---

Disponibilidad

• El Beak On-Prem AI Gateway debe mantener una disponibilidad del 99,9%.
• Esto garantiza una disponibilidad constante para las cargas de trabajo de IA y las integraciones.
• Las ventanas de mantenimiento rutinario deben:
  • Programarse durante períodos de bajo uso
  • Comunicarse con antelación

---

Impacto de la No Disponibilidad

Si el Beak On-Prem AI Gateway no está disponible, puede ocasionar:

• Interrupción del servicio: Las aplicaciones impulsadas por IA y los Flujos de Trabajo dependientes pueden fallar o tener un rendimiento deficiente.
• Impacto en el negocio: Retrasos en los procesos de automatización, generación de informes y toma de decisiones.
• Riesgo operativo: Puede requerirse un mayor esfuerzo manual o procedimientos alternativos hasta que el gateway sea restaurado.

---

Requisitos de Red

• HTTPS de salida (TCP 443) hacia la plataforma SaaS
• Conectividad con los Controladores de Dominio:
  • TCP/UDP 389 (LDAP) o 636 (LDAPS)
  • TCP/UDP 88 (Kerberos)
  • TCP/UDP 53 (DNS)
  • TCP 445 (SMB) – si es necesario para consultas de replicación

---

Requisitos de Lista Blanca de Red

Incluya todos los subdominios de beakops.com en la lista blanca para garantizar la conectividad completa con la plataforma Beak:

Dominio	Puerto	Protocolo
app.beakops.com	443	TCP / HTTPS
beakstream-bootstrap.beakops.com	9094	TCP
beakstream-bk0.beakops.com	9094	TCP
beakstream-bk1.beakops.com	9094	TCP
beakstream-bk2.beakops.com	9094	TCP

---

Configuración de la Cuenta de Servicio

1. Crear la Cuenta de Servicio

1. Inicie sesión en un sistema unido al dominio con RSAT o Usuarios y Equipos de Active Directory (ADUC).
2. Navegue hasta la Unidad Organizativa (OU) deseada donde desea crear la cuenta.
3. Haga clic derecho → Nuevo > Usuario
4. Complete:
   • Nombre completo: Beak Agent Service Account
   • Nombre de inicio de sesión del usuario: beaksvc
5. Establezca una contraseña segura y marque:
   • La contraseña nunca expira
   • El usuario no puede cambiar la contraseña
   • (Opcional) La cuenta está deshabilitada – déjela sin marcar
6. Finalice la creación y anote el nombre de usuario (p. ej., domain\beaksvc) y la contraseña de forma segura.

2. Delegar Acceso a la Cuenta de Servicio

1. En ADUC, haga clic derecho sobre la OU de destino (donde se realizarán las operaciones de usuario/grupo).
2. Haga clic en "Delegar control".
3. Haga clic en "Siguiente" y agregue el usuario: beaksvc
4. Elija: "Delegar las siguientes tareas comunes"
5. Marque:
   • Crear, eliminar y administrar cuentas de usuario
   • Restablecer contraseñas de usuario y forzar el cambio de contraseña en el próximo inicio de sesión
   • Leer toda la información del usuario
   • Crear, eliminar y administrar grupos
   • Modificar la pertenencia a un grupo
6. Complete el asistente.

3. Agregar al Grupo de Administración Remota

1. En ADUC, vaya a la carpeta Builtin.
2. Abra el grupo: Remote Management Users
3. Haga clic derecho y seleccione "Agregar al grupo"
4. Agregue el usuario beaksvc al grupo.

---

1.3 Lista de Verificación Previa al Despliegue

• Reglas de firewall actualizadas para SaaS + Gateway On-Prem
• Windows Server aprovisionado (cumple los requisitos, unido al dominio)
• Resolución DNS configurada para el dominio SaaS
• Cuenta de servicio de AD creada con derechos delegados
• Conectividad del servidor del gateway validada con los Controladores de Dominio

---

2. Configuración de Microsoft Entra ID (Azure AD) para SSO

2.1 Registrar una Nueva Aplicación

1. Inicie sesión en el Portal de Azure.
2. Navegue a Microsoft Entra ID → Registros de aplicaciones.
3. Haga clic en + Nuevo registro.
4. Complete:
   • Nombre: Service Desk Agent
   • Tipo de cuenta: Seleccione su opción preferida (generalmente "Cuentas solo en este directorio organizativo")
   • URI de redirección: elija web e introduzca el URI de redirección proporcionado por nuestro equipo de implementación (p. ej., https://client.servicedeskagent.com/auth/callback)
5. Haga clic en Registrar

---

2.2 Capturar la Información de la Aplicación (Cliente)

Tras el registro, anote los siguientes valores:

• ID de aplicación (cliente)
• ID de directorio (inquilino)

---

2.3 Configurar la Autenticación

1. Vaya a Autenticación en el Registro de la Aplicación.
2. Confirme el URI de redirección.
3. Establezca el Tipo de cliente predeterminado en Sí (para compatibilidad con dispositivos móviles y de escritorio).
4. En Concesión implícita y flujos híbridos, marque:
   • Tokens de id.
   • Tokens de acceso
5. Haga clic en Guardar

---

2.4 Crear un Secreto de Cliente

1. Vaya a Certificados y secretos.
2. En Secretos de cliente, haga clic en + Nuevo secreto de cliente.
3. Descripción: Service Desk Agent Secret
4. Elija la expiración: p. ej., 12 meses o más si está permitido
5. Haga clic en Agregar
6. Copie el valor del secreto de inmediato.

Comparta con nosotros:

• ID de aplicación (cliente)
• ID de directorio (inquilino)
• Valor del Secreto de Cliente

---

2.5 Conceder Permisos de API

1. En el Registro de la Aplicación, vaya a Permisos de API.
2. Haga clic en + Agregar un permiso.
3. Elija: Microsoft Graph → Permisos delegados
4. Agregue:
   • User.Read
   • User.ReadBasic.All
   • User.ReadWrite (si es necesario)
   • Directory.Read.All
   • Directory.ReadWrite.All (si el agente gestionará atributos de usuario)
5. Haga clic en Agregar permisos
6. Haga clic en Conceder consentimiento de administrador para [Su Organización]

Comparta con nosotros:

• Confirmación de que se ha concedido el consentimiento de administrador

---

3. Configuración de Microsoft Teams

3.1 Crear un Bot de Azure

1. Vaya a: https://portal.azure.com

2. Busque y seleccione "Azure Bot" en Azure Marketplace.
   

3. Haga clic en "Crear" y complete los datos básicos:

   • Identificador del bot: beakservicedeak
   • Suscripción: Seleccione su suscripción activa de Azure
   • Grupo de recursos: Elija un grupo existente o cree uno nuevo
     
   • Tipo de aplicación: Inquilino único
     
   • ID de aplicación de Microsoft: Seleccione "Crear nuevo ID de aplicación de Microsoft"
     

4. Haga clic en "Revisar + crear" y luego en "Crear".

5. Tras el despliegue:

   • Navegue al recurso del Bot
   • Vaya a "Canales" en Configuración
   • Haga clic en "Microsoft Teams" → Guardar para habilitar el canal de Teams

6. Vaya a la sección "Configuración" y anote:

   • ID de aplicación de Microsoft
   • Punto de conexión de mensajería (puede dejarse en blanco o usar un marcador de posición como https://client.beakops.com/api/messages; el equipo de implementación de BeakOps proporcionará el punto de conexión HTTPS final)
     

7. Haga clic en "Administrar contraseña" para abrir la pantalla de Registro de la Aplicación.

8. Haga clic en "Nuevo secreto de cliente":

   • Establezca una descripción y fecha de expiración
   • Haga clic en "Agregar"
   • Copie el secreto de cliente (no se mostrará de nuevo)
     

9. Navegue a la pestaña Autenticación:

   • En Configuración → Seleccione el tipo de cuenta: Inquilino único
     

10. Navegue a Permisos de API:

    • Haga clic en "+ Agregar un permiso"
    • En API de Microsoft, elija Microsoft Graph
    • Seleccione Permiso de aplicación
    • Busque y agregue: User.Read.All
    • Haga clic en Agregar permiso
    • Haga clic en Conceder consentimiento de administrador para [Su Organización]

Comparta con nosotros:

• Identificador del Bot
• ID de aplicación de Microsoft
• Secreto de cliente
• ID de inquilino de Azure

---

3.2 Habilitar Aplicaciones Personalizadas (si aún no está habilitado)

1. Inicie sesión en el Centro de Administración de Teams.
2. En la navegación izquierda, vaya a Aplicaciones de Teams → Administrar aplicaciones
3. Asegúrese de que "Permitir la interacción con aplicaciones personalizadas" esté habilitado

---

3.3 Cargar la Aplicación Service Desk Agent

1. En el Centro de Administración de Teams, vaya a Aplicaciones de Teams → Administrar aplicaciones
2. Haga clic en Cargar nueva aplicación
3. Busque y seleccione el paquete .zip proporcionado por nuestro equipo de implementación
4. Confirme la carga
   

---

3.4 Conceder Consentimiento de Administrador

1. En el Centro de Administración de Teams, vaya a Aplicaciones de Teams → Directivas de permisos
2. Localice la directiva aplicada a sus usuarios
3. Asegúrese de que la aplicación Service Desk Agent esté permitida
4. Cuando se le solicite, haga clic en Conceder consentimiento de administrador

---

3.5 Distribuir la Aplicación a los Usuarios

1. Vaya a Aplicaciones de Teams → Directivas de configuración
2. Seleccione la directiva de su organización (o cree una nueva)
3. Agregue la aplicación Service Desk Agent en Aplicaciones ancladas
4. Asigne la directiva a:
   • Todos los usuarios (en toda la organización), o
   • Grupos seleccionados (p. ej., TI, RRHH)

Comparta con nosotros:

• Confirmación de que el bot es visible en Teams
• Qué grupos/usuarios han sido asignados

---

4. Configuración de Active Directory On-Prem (mediante Beak On-Prem AI Gateway)

4.1 Preparar el Entorno

1. Identifique un Windows Server (unido al dominio) donde se instalará el Beak On-Prem AI Gateway.
2. Asegúrese de que el servidor tenga acceso a internet de salida por HTTPS (puerto 443).
3. Permita el tráfico de firewall hacia el punto de conexión SaaS del Service Desk Agent (detalles proporcionados durante la incorporación).
4. Ejecute el siguiente script para verificar la conectividad desde el Beak AI On-Prem Gateway hacia Active Directory:

<#----------------------------------------------------------------
 • Enables WinRM
 • Creates/ensures HTTP listener on port 5985
 • Enables Basic auth + unencrypted traffic (for cross-domain remoting)
 • Adds service account to "Remote Management Users"
 • Enables WinRM firewall rules
----------------------------------------------------------------#>

$AllowedUser = '<DOMAIN>\BEAKSVC'  # ← your service account

Write-Host "`n[1] Enabling PowerShell Remoting..." -ForegroundColor Cyan
Enable-PSRemoting -Force

Write-Host "`n[2] Configuring WinRM to start automatically..." -ForegroundColor Cyan
Set-Service WinRM -StartupType Automatic
Start-Service WinRM

Write-Host "`n[3] Setting WinRM authentication and listener (HTTP:5985)..." -ForegroundColor Cyan
Set-Item WSMan:\localhost\Service\AllowUnencrypted -Value $true
Set-Item WSMan:\localhost\Service\Auth\Basic -Value $true

# Ensure HTTP listener exists
if (-not (Get-ChildItem WSMan:\localhost\Listener | Where-Object { $_.Keys -match 'Transport=HTTP' })) {
    New-Item -Path WSMan:\localhost\Listener -Transport HTTP -Address * -Port 5985
    Write-Host "✓ HTTP listener created on port 5985" -ForegroundColor Green
} else {
    Write-Host "✓ HTTP listener already present" -ForegroundColor Green
}

Write-Host "`n[4] Adding $AllowedUser to 'Remote Management Users'..." -ForegroundColor Cyan
try {
    Add-LocalGroupMember -Group 'Remote Management Users' -Member $AllowedUser -ErrorAction Stop
    Write-Host "✓ User added to Remote Management Users group" -ForegroundColor Green
}
catch {
    Write-Warning "User may already be added or couldn't be added: $_"
}

Write-Host "`n[5] Enabling Windows Firewall rule for WinRM (HTTP-In)..." -ForegroundColor Cyan
Enable-NetFirewallRule -DisplayName 'Windows Remote Management (HTTP-In)'

Write-Host "`n[6] Local WinRM test:" -ForegroundColor Cyan
Test-WSMan localhost

Write-Host "`n✅ DONE: '$AllowedUser' can now use WinRM to connect to this domain controller." -ForegroundColor Green

---

4.2 Instalar el Beak On-Prem AI Gateway

1. Descargue el paquete instalador del Beak On-Prem AI Gateway (los pasos se proporcionarán durante la incorporación).
2. Ejecute el instalador en el Windows Server preparado.
3. Verifique que el gateway se conecte correctamente a:
   • Active Directory
   • Plataforma SaaS

---

4.3 Validar la Conexión

1. Realice un restablecimiento de contraseña de prueba en una cuenta que no sea de producción para confirmar la integración con AD.
2. Use el siguiente script para realizar la prueba:

<#--------------------------------------------------------------
Remote-PasswordReset.ps1
• Uses service account to connect to DC
• Resets a user's password in Active Directory
• Must be run from a domain-joined machine with network access to DC
---------------------------------------------------------------#>

# --- Service Account Credentials ---
$svcUser = '<DOMAIN>\<SERVICE_ACCOUNT>'              # e.g. BEAKOPS\BEAKSVC
$svcPasswordPlain = '<SERVICE_ACCOUNT_PASSWORD>'     # e.g. NW8!E2pJc
$svcSecure = ConvertTo-SecureString $svcPasswordPlain -AsPlainText -Force
$svcCred = [PSCredential]::new($svcUser, $svcSecure)

# --- Domain Controller ---
$dc = '<DOMAIN_CONTROLLER_FQDN>'                    # e.g. dc.beakops.com

# --- Target User ---
$SamAccountName = '<TARGET_SAMACCOUNTNAME>'          # e.g. testuser
$NewPassword = '<NEW_PASSWORD>'                      # e.g. P@ssword123!

# --- Open Remote Session ---
$session = New-PSSession -ComputerName $dc -Credential $svcCred

# --- Run Password Reset Remotely ---
Invoke-Command -Session $session -ArgumentList $SamAccountName, $NewPassword -ScriptBlock {
    param($sam, $pwd)
    Import-Module ActiveDirectory
    try {
        # Reset password
        Set-ADAccountPassword -Identity $sam -Reset `
            -NewPassword (ConvertTo-SecureString $pwd -AsPlainText -Force) -ErrorAction Stop
        # (Optional) Force change at next logon
        Set-ADUser -Identity $sam -ChangePasswordAtLogon $true
        "Password reset successful for $sam"
    }
    catch {
        "Failed to reset password for $sam: $_"
    }
}

# --- Cleanup ---
Remove-PSSession $session

Comparta con nosotros:

• Confirmación de que el gateway está instalado y conectado
• Nombres de dominio completos (FQDN) de Active Directory y Exchange Server
• Credenciales de la cuenta de servicio (nombre de usuario y contraseña)
• Registros de validación (si se requieren)

---

5. Preparación de Conocimientos y PNTs

5.1 Recopilar Documentación

Reúna todos los Procedimientos Normalizados de Trabajo (PNTs), políticas y documentos de proceso relevantes. Algunos ejemplos incluyen:

• TI: proceso de restablecimiento de contraseñas, solución de problemas de VPN, directrices de instalación de software
• RRHH: políticas de permisos, preguntas frecuentes sobre nóminas, pasos de incorporación
• Finanzas: proceso de reembolso, Flujos de Trabajo de aprobación de gastos

---

5.2 Dar Formato a los Documentos

Tipos de archivos aceptados:

• .docx (Word)
• .pdf
• .txt (texto plano)

Asegúrese de que los documentos sean:

• Claros y estén actualizados
• Sin datos sensibles o confidenciales innecesarios

---

5.3 Organizar el Contenido

• Agrupe los documentos por función (p. ej., TI, RRHH, Finanzas)
• Use nombres de archivo claros
  Ejemplo: IT_PasswordReset_SOP.pdf
• Proporcione los flujos de trabajo de escalación por separado
  Ejemplo: Escalation_Rules.docx

Comparta con nosotros:

• El conjunto de documentos finalizado para su incorporación al sistema

---

6. Pruebas y Validación (UAT)

6.1 Preparar Cuentas de Prueba

Cree cuentas de prueba en:

• Microsoft Entra ID (Azure AD)
• Jira Service Manager (JSM)
• Active Directory On-Prem (que no sea de producción)

---

6.2 Definir Escenarios de Prueba

Los escenarios típicos para las Pruebas de Aceptación de Usuario (UAT) incluyen:

• Restablecer la contraseña de un usuario a través de Active Directory
• Crear un ticket en Jira Service Manager
• Consultar una política de RRHH a partir de los PNTs cargados

---

6.3 Ejecutar las Pruebas

1. Use Microsoft Teams para interactuar con el Service Desk Agent.
2. Ejecute cada escenario de prueba paso a paso.
3. Verifique:
   • Respuestas correctas
   • Acciones desencadenadas
   • Escalaciones adecuadas

Comparta con nosotros:

• Resultados de las pruebas
• Cualquier problema o comportamiento inesperado

---

7. Lista de Verificación Final

Antes de entregar al equipo de implementación de Beak, confirme lo siguiente:

• El SSO de Azure AD está configurado y probado
• La cuenta de servicio en Entra ID está creada con los permisos correctos
• El bot de Teams está instalado, el consentimiento de administrador ha sido concedido y ha sido distribuido
• La cuenta de servicio de Jira Service Manager está creada con el token de API
• La cuenta de servicio de AD on-prem está creada con derechos delegados
• El Beak On-Prem AI Gateway está instalado y conectado
• Los PNTs y documentos han sido recopilados y compartidos
• Las cuentas de prueba están preparadas
• Los escenarios de prueba de UAT han sido ejecutados

---