Si estás creando automatizaciones que llaman a la API de NinjaOne o extrayendo datos de herramientas como Microsoft Defender o Tenable, necesitas un sitio donde ejecutar esos scripts y otro donde guardar las credenciales que utilizan. Hacerlo desde cualquier estación de trabajo o desde tu propia cuenta de técnico es la vía más rápida para que las credenciales acaben filtradas o se usen de formas que no puedes rastrear con facilidad.
Un servidor API resuelve este problema. Es un dispositivo Windows dedicado, aislado en su propia organización y rol, que guarda tus credenciales de API en campos personalizados seguros que solo pueden ver los administradores del sistema. Esta guía te explica cómo configurarlo desde cero.
Requisitos del servidor API de NinjaOne
Necesitarás:
- Un dispositivo o máquina virtual con Windows. Puede ser físico, una VM de HyperV o una VM en el cloud; lo que importa es el sistema operativo.
- Acceso como administrador del sistema en NinjaOne.
- Una lista clara de los servicios con los que quieres que interactúe este servidor (como mínimo, la API de NinjaOne, más cualquier otro como Defender o Tenable).
El único requisito imprescindible: nadie salvo los administradores del sistema de NinjaOne debería tener acceso a este dispositivo. Va a guardar credenciales con permisos de nivel administrador del sistema.
Paso a paso: cómo configurar tu servidor API
Paso 1: crea una organización dedicada
Crea una organización nueva para alojar tu servidor API. Así queda totalmente separado del resto de tus organizaciones y no aparece mezclado con datos reales de clientes o endpoints.
Para crear una organización nueva:
Haz clic en el «+» de la esquina superior derecha > selecciona Organización > ponle un nombre como «API Server» > haz clic en Guardar en la esquina superior derecha.
Paso 2: crea un rol de dispositivo personalizado
Ve a Administración > Dispositivos > Roles.
Haz clic en Sistemas Windows para desplegarlo > pasa el cursor sobre Windows Server (o Equipos de escritorio y portátiles Windows, si tu servidor API funciona con Windows 11) y haz clic en los tres puntos > haz clic en Añadir rol secundario.
Ponle al rol el nombre «API Server» y créalo bajo el rol principal que corresponda a tu sistema operativo.
Paso 3: crea campos personalizados seguros
Sin salir de la página Roles, en la parte izquierda ve a Campos personalizados de dispositivo y crea tres campos nuevos, todos con el tipo de campo Seguro.
Haz clic en Añadir campo personalizado > selecciona Seguro > en la etiqueta introduce «NinjaOne Instance».
En la parte izquierda ve a Permisos > establece Automatizaciones en Solo lectura > establece API en Ninguno > establece el acceso de todos los técnicos en Editable > haz clic en Enviar.
Repite exactamente el mismo proceso para los dos campos siguientes, cambiando solo las etiquetas:
- NinjaOne Client ID
- NinjaOne Client Secret
Pon las etiquetas exactamente como aparecen arriba. NinjaOne convierte la etiqueta en un nombre de campo en camelCase de forma automática, y ese nombre distingue entre mayúsculas y minúsculas cuando lo referencias después en un script.
Establece el permiso de API en Ninguno en los tres campos. No hay ningún motivo para dar acceso a nivel de API a un campo que almacena justamente las credenciales que autentican tus llamadas a la API.
Consejo: si tienes previsto extraer datos de otros servicios como Defender o Tenable, repite este proceso y crea campos personalizados seguros dedicados para las credenciales de cada uno.
Paso 4: asigna los campos a tu rol
Vuelve a Roles en la parte izquierda > despliega Sistemas Windows > despliega tu rol principal > busca API Server y haz clic en los tres puntos de la derecha > haz clic en Editar.
Haz clic en Gestionar pestañas en la esquina superior derecha > haz clic en Añadir pestaña y crea una pestaña nueva (por ejemplo, «API Credentials») > una vez creada, haz clic en el desplegable de la esquina superior derecha y cambia a la pestaña nueva > en la barra de búsqueda de la izquierda escribe «NinjaOne» > añade los tres campos personalizados seguros creados en el paso 3 > haz clic en Guardar cambios en la esquina superior derecha.
Paso 5: crea y aplica tu política
Ve a Políticas > haz clic en Añadir política de agente > ponle el nombre «API Server» > en Rol selecciona el rol de Windows Server (o Windows Desktop) bajo el que creaste el rol personalizado > haz clic en Crear > cuando se abra, haz clic en Cerrar en la esquina superior derecha.
A continuación, ve a Organizaciones > selecciona tu organización API Server > haz clic en Políticas en la parte izquierda > busca la fila de API Server y abre el desplegable > asigna la política que acabas de crear > haz clic en Guardar en la esquina superior derecha > una vez guardado, haz clic en Cerrar.
Paso 6: crea una categoría de automatización
En Administración, ve a Biblioteca > haz clic en Automatización en la parte izquierda > selecciona la pestaña Categorías > haz clic en Crear categoría en el extremo derecho > ponle un nombre como «API Scripts» > haz clic en Crear.
Así mantienes organizados tus scripts relacionados con la API y tienes una categoría que después puedes restringir solo a los administradores del sistema.
Paso 7: instala el agente
Descarga el instalador del agente de NinjaOne para tu organización API Server y ejecútalo en tu dispositivo o VM dedicados. Si vas a reutilizar un dispositivo existente, muévelo a la organización API Server, actualiza su rol y confirma que la política API Server se aplica mediante la nueva asignación.
En NinjaOne, haz clic en el signo «+» de la esquina superior derecha > haz clic en Dispositivo > haz clic en Ordenador > selecciona tu organización API Server y el rol de servidor API > haz clic en Generar instalador > después descarga el instalador o copia el enlace y ejecútalo en tu dispositivo.
Espera a que el dispositivo se registre por completo antes de continuar.
Si vas a reutilizar un dispositivo existente, puedes hacerlo desde la cuadrícula de búsqueda de dispositivos:
En el panel de navegación azul de la izquierda, selecciona la pestaña Dispositivos > en la lista de dispositivos, busca el dispositivo existente > marca la casilla junto al nombre del dispositivo > haz clic en Editar > haz clic en Organización/Ubicación y cambia a la organización API Server > haz clic en Actualizar
Con el dispositivo aún seleccionado, haz clic en Editar > haz clic en Rol de dispositivo y elige el rol personalizado API > haz clic en Actualizar.
Con el dispositivo aún seleccionado, haz clic en Editar > haz clic en Política y elige la política API Server > haz clic en Actualizar.
Paso 8: crea las credenciales de API
Una vez conectado tu dispositivo, ve a Administración > Aplicaciones > API y haz clic en Añadir aplicación cliente en la esquina superior derecha.
Selecciona API Services (machine-to-machine) y crea una aplicación cliente con:
- Scopes: Monitoring and Management
- Tipo de concesión: Client credentials
- URL de redirección: déjala vacía
Haz clic en Añadir. NinjaOne generará un client ID y un client secret.
Paso 9: rellena tus campos personalizados
Copia el client ID y el client secret de la aplicación que acabas de crear > ve a tu dispositivo API Server > pasa el cursor sobre la pestaña personalizada y selecciona la pestaña API Credentials > haz clic en el icono de edición del extremo derecho > pega el client ID y el client secret en los campos correspondientes.
En el campo de instancia, introduce tu región de NinjaOne (la encontrarás en la URL de inicio de sesión):
- app.ninjarmm.com o us2 para instancias de EE. UU.
- ca.ninjarmm.com para instancias de Canadá
- eu.ninjarmm.com para instancias de Europa
- oc.ninjarmm.com para instancias del sudeste de Asia-Pacífico
- jp.ninjarmm.com para instancias de Japón
- fed.ninjarmm.com para instancias FedRAMP Moderate
Consejo: estos nombres de campo distinguen entre mayúsculas y minúsculas una vez convertidos a camelCase (ninjaoneClientId, ninjaoneClientSecret, ninjaoneInstance). Si tus scripts referencian los campos y no devuelven nada al ejecutarse, comprueba que las etiquetas coinciden exactamente.
Cuando hayas rellenado y probado tus credenciales, vuelve a Administración > Dispositivos > Campos personalizados de dispositivo > busca «ninjaone» y haz clic en el nombre de los campos para cambiar el permiso de acceso de todos los técnicos en los tres campos de Editable a Solo lectura, de modo que los valores no puedan modificarse después de la configuración.
Paso 10: restringe el acceso de los técnicos
Este es el paso que hace que la configuración sea segura. Sin él, cualquier técnico puede ver credenciales con acceso de nivel administrador del sistema.
Ve a Administración > Cuentas > Roles de técnico.
Para cada rol de técnico que no deba tener acceso (en la mayoría de los casos, todos excepto los administradores del sistema):
Haz clic en el rol que quieras para abrir el editor > ve a Organizaciones en la parte izquierda.
- En Organizaciones, establece la organización API Server en Sin acceso.
- En Dispositivos, establece el rol API Server en Sin acceso.
- En Políticas, establece la política API Server en Sin acceso.
- En la biblioteca de automatización, establece tu categoría API Scripts en Sin acceso
Cómo verificar la configuración de tu servidor API Cuando hayas terminado, deberías tener:
- Una organización dedicada que contiene un solo dispositivo: tu servidor API.
- Un rol personalizado con campos seguros que almacenan tu client ID, tu client secret y tu instancia.
- Una política aplicada únicamente a esa organización.
- Una categoría de automatización restringida para tus scripts de API.
- Todos los roles de técnico sin privilegios de administrador bloqueados para ver la organización, el rol de dispositivo, la política y la categoría de automatización.
Si un técnico de nivel 1 puede entrar en la organización API Server y ver algo, vuelve al paso 10.
Por qué esto importa
Las credenciales de API con el tipo de concesión client credentials tienen mucho peso. Según los scopes que selecciones, quien las tenga puede leer y escribir datos en todo tu entorno de NinjaOne. Guardar esas credenciales en un campo personalizado sin protección, en un dispositivo compartido, o dejarlas visibles para todos los técnicos convierte una configuración de automatización útil en un riesgo.
Crear un servidor API dedicado te llevará unos veinte minutos la primera vez. A cambio obtienes una estructura limpia y auditable: un único sitio para las credenciales, una política que las gobierna y un modelo de permisos de técnico que mantiene todo el conjunto bien restringido. Una vez creado, añadir una integración nueva es tan sencillo como crear unos cuantos campos personalizados más y dejar el script en tu categoría API Scripts.
Algunos ejemplos de para qué se utiliza esta configuración:
Importar datos de vulnerabilidades desde Microsoft Defender, para que los resultados de los análisis lleguen directamente a NinjaOne en lugar de quedarse en una consola aparte.
Importación de vulnerabilidades de Microsoft Defender
Informes sobre parches del SO Windows, con el estado de los parches de todo tu entorno reunido en una vista consolidada.
Informes sobre parches del SO Windows
Sincronización del estado de los parches, para mantener los datos de parches actualizados entre NinjaOne y otra fuente de verdad en lugar de depender de comprobaciones manuales.
Sincronización del estado de los parches
